Un ingénieur d'OpenAI est accusé d'avoir caché un dispositif d'enregistrement dans une salle de conférence des dirigeants au siège de l'entreprise à San Francisco et fait désormais face à des accusations fédérales.

Fait surprenant dans cette affaire : selon les procureurs, la technologie IA aurait assisté le suspect dans ses préparatifs, tandis qu'OpenAI indique que ses propres modèles ont contribué à l'enquête.

Ce que les procureurs affirment qu'Alfozan a fait

Selon le Department of Justice, Abdulrahman Alfozan, 35 ans, a caché le dispositif d'enregistrement dans du papier toilette et l'a fixé au port USB d'un téléviseur le 28 septembre 2026. L'équipe de sécurité d'OpenAI a découvert l'appareil lors d'une fouille le 30 septembre.

WIRED a identifié l'appareil comme une carte Seeed XIAO ESP32-S3 Sense à 13,99 $ — une carte de développement disponible dans le commerce — équipée d'un stockage microSD chiffré. Après avoir examiné les images de surveillance, les autorités ont découvert un second enregistreur le 5 octobre dans un sac sans surveillance contenant les documents d'identité d'Alfozan.

Alfozan a été arrêté le 9 octobre et présenté au tribunal le 13 octobre. S'il est reconnu coupable, il risque cinq ans de prison et une amende de 250 000 $. Selon le New York Times, une autre audience est prévue le 19 octobre. Les procureurs n'ont fourni aucune information concernant un éventuel mobile.

La piste du chatbot et la réponse assistée par l'IA d'OpenAI

Les procureurs affirment qu'Alfozan a utilisé un agent de productivité professionnelle pour rechercher les salles de réunion des dirigeants et leurs emplois du temps. Ils allègent également qu'un compte de chatbot lié à son épouse a été utilisé pour vérifier la possibilité d'un enregistrement en continu, l'accès au Wi-Fi, l'écoute en direct et le chiffrement de la carte SD.

OpenAI a déclaré dans un communiqué sur X que ses modèles avaient permis au personnel de sécurité de comprendre l'appareil et d'identifier la personne qui l'avait placé. L'IA n'a toutefois été qu'une partie de l'enquête : les images de caméras, les enregistrements de conversations et les preuves matérielles ont également aidé les enquêteurs.

L'entreprise a indiqué n'avoir trouvé aucune preuve que les poids des modèles, le code source de ses modèles ou les données clients aient été consultés ou volés sans autorisation.

Ce qu'un seul initié peut coûter

Si des données confidentielles avaient été compromises, la situation aurait été bien pire et bien plus coûteuse. IBM indique que les fuites de données coûtent en moyenne 4,99 millions de dollars aux entreprises à l'échelle mondiale, et les organisations qui utilisent des outils d'IA de sécurité et d'automatisation déclarent des coûts de fuite inférieurs de 1,93 million de dollars à ceux des entreprises qui n'en utilisent pas.

Les attaques internes créent des risques financiers supplémentaires. Le Ponemon Institute et DTEX estiment que le coût moyen de confinement d'un incident de fuite interne est de 247 587 $, et pour les entreprises ayant mis plus de jours à contenir un incident, le coût moyen est de 21,9 millions de dollars. Ces chiffres reflètent les coûts moyens du secteur, et non les pertes attribuées à OpenAI.

Pourquoi les budgets et la supervision de l'IA augmentent

PwC a constaté que 84 % des responsables sécurité et finance interrogés s'attendent à une hausse des budgets cyber, tandis que 58 % des responsables sécurité priorisent les dépenses en IA.

Gartner prévoit que les dépenses consacrées aux plateformes de gouvernance de l'IA passeront de 492 millions de dollars en 2026 à plus d'un milliard de dollars d'ici 2030. BCG a constaté que près de la moitié des entreprises tirent déjà de la valeur de l'IA, mais que seules 5 % disposent de contrôles complets pour les agents autonomes — un écart pertinent au regard du type d'agent IA professionnel cité dans les accusations.

Un combat distinct sur la surveillance des modèles

Par ailleurs, Cryptopolitan a rapporté que trois anciens chercheurs d'OpenAI ont contesté la manière dont l'entreprise surveille ses modèles avancés et ont réclamé des revues de sécurité indépendantes. Ce débat concerne le comportement des modèles plutôt que la prétendue surveillance clandestine, mais les deux affaires montrent à quelle vitesse la confiance et la supervision deviennent des enjeux commerciaux pour les entreprises d'IA.