Les requêtes adressées à ChatGPT ressemblaient à une liste de tâches : construire « un enregistreur audio continu », ajouter « l'écoute en direct » et « le téléchargement/suppression des enregistrements », chiffrer la carte SD et rendre la sortie USB « en alimentation uniquement ». Les étapes suivantes prévoyaient de développer « une seconde unité et un enregistrement déclenché par la voix », puis « une troisième unité », et enfin « d'appliquer la protection finale et de silencier la sortie au démarrage ».

Selon les documents judiciaires déclassifiés mardi, les requêtes ont été envoyées entre le 24 et le 30 septembre depuis un compte ChatGPT lié à la femme d'Abdulrahman Alfozan, ingénieur d'OpenAI et ressortissant saoudien résident légal aux États-Unis depuis septembre 2020. Les procureurs affirment que le 28 septembre ou aux alentours, Alfozan a dissimulé un dispositif d'enregistrement derrière un téléviseur dans une salle de conférence réservée aux dirigeants de l'un des bâtiments de l'entreprise à San Francisco, après avoir demandé à un chatbot IA associé au compte de sa femme de le construire. La plainte n'accuse pas sa femme.

La plainte fédérale n'identifie pas le chatbot qu'Alfozan aurait utilisé pour ces requêtes, mais OpenAI a confirmé à Fortune qu'il s'agissait du propre ChatGPT de l'entreprise. Le compte du chatbot faisait référence au compte de chatbot IA personnel d'Alfozan et partageait des identifiants uniques et des utilisations d'adresses IP.

Le compte de sa femme n'était pas le seul chatbot qu'Alfozan aurait utilisé dans cette affaire. Environ six semaines plus tôt, selon les documents judiciaires, il a utilisé un agent de productivité interne à OpenAI pour déterminer quelles salles de réunion pouvaient accueillir six personnes ou plus et quelles salles hébergeraient des réunions importantes. « Et les partenaires externes, où se réuniraient-ils habituellement », aurait demandé Alfozan à l'agent de productivité d'OpenAI, selon les documents judiciaires.

OpenAI n'a pas encore répondu à la demande de commentaire de Fortune concernant la question de savoir si l'entreprise avait été alertée des requêtes d'Alfozan avant la découverte du dispositif d'enregistrement.

Selon l'affidavit d'un agent du FBI figurant dans les documents judiciaires, Alfozan a choisi cette salle de conférence précise, après avoir interrogé l'agent de productivité, parce que les réunions qui s'y tenaient « portaient fréquemment sur des discussions d'informations techniques, commerciales et stratégiques hautement confidentielles, incluant des recherches propriétaires, des plans de produits et des opportunités de développement commercial ». L'affidavit précise également que cette salle « est généralement utilisée pour les réunions internes de direction … ainsi que pour des briefings extern avec des représentants gouvernementaux et des partenaires commerciaux ». Alfozan n'avait pas d'accès autorisé à la salle de conférence ; seuls les dirigeants et leurs assistants pouvaient la réserver.

Qui est Abdulrahman Alfozan et qu'a-t-il fait ?

Alfozan, 35 ans, ressortissant saoudien, a été arrêté le 9 octobre, selon le ministère de la Justice. Il est poursuivi pour un chef d'accusation au titre de la loi fédérale sur les écoutes électroniques (Wiretap Act), qui criminalise l'interception intentionnelle de communications orales, filaires et électroniques et est passible de cinq ans de prison.

Selon l'affidavit, il a utilisé un dispositif pour intercepter des communications orales, mais on ignore encore si le dispositif a réellement capturé une conversation. Lorsqu'OpenAI a effectué une copie forensique de la carte mémoire, « aucun des fichiers qu'elle contenait n'a pu être récupéré ou déchiffré », a écrit l'agent. OpenAI et le ministère de la Justice ont décrit le contenu comme chiffré ; l'affidavit indique qu'il l'« était peut-être ».

Le reste de l'affaire repose sur les caméras et les journaux. OpenAI n'avait aucune caméra dans la salle au moment où le dispositif a été placé. Les caméras de surveillance des bureaux de l'entreprise ont enregistré Alfozan à proximité de la salle à 10 reprises en septembre. Selon les documents judiciaires, le 28 septembre, jour de la compilation du firmware du dispositif, il se trouvait près de la salle de 14 h 18 à 18 h 30.

Le personnel a découvert le dispositif le 30 septembre, enveloppé dans du papier toilette et dissimulé derrière le téléviseur de la salle lors d'une inspection de routine, a indiqué OpenAI à Fortune. Il s'agissait d'une Seeed XIAO ESP32-S3 Sense, une carte de la taille d'un pouce équipée d'un microphone et d'un stockage microSD, fabriquée par une société basée à Shenzhen et vendue dans le commerce comme carte de développement standard. Cette découverte a suscité une coopération entre OpenAI et le FBI, et le 5 octobre, une caméra avait été installée dans la salle. Sur la photo figurant dans la plainte, Alfozan a été filmé ce jour-là à 13 h 20 min 47 s, fouillant derrière le téléviseur.

Le même jour, selon les documents judiciaires, il a laissé un sac dans une salle d'impression. La sécurité a fouillé le sac et y a trouvé son portefeuille, sa pièce d'identité et une seconde carte d'enregistrement Seeed, que la sécurité a retirée. Après avoir indiqué à l'entreprise qu'il avait perdu le sac, il l'a récupéré aux objets trouvés vers midi le lendemain, puis a envoyé un message écrit s'enquérant de ce qu'il qualifiait d'objets « volés » : « Quelques objets ont été volés : une carte de crédit, des espèces (~500 $), 2 AirPods, 1 casque, des lunettes de soleil, une batterie externe. » Il n'a posé aucune question sur l'un ou l'autre des dispositifs. Les caméras de surveillance l'ont ensuite montré ce jour-là transférant des objets dans un sac de courses Target.

Selon la requête, Alfozan, sa femme et un troisième membre de la famille avaient réservé des billets aller simple de San Francisco vers l'Arabie saoudite, via Istanbul, pour le 12 octobre. Les procureurs ont écrit qu'il « a les moyens — et aura l'incitation — de fuir les États-Unis plus tôt s'il apprend l'existence de cette affaire avant d'être arrêté ». Il a été arrêté le 9 octobre, trois jours avant le vol.

Quelles sont les conséquences ?

La feuille de mise en accusation du gouvernement demande une détention sans caution et cite « l'expulsion » parmi les sanctions possibles.

La plainte n'accuse pas de vol de secrets commerciaux ni d'espionnage économique, et n'allègue aucun lien étranger. Néanmoins, un avocat procéduraliste de la section Contre-espionnage et Contrôle desations de la Division de la sécurité nationale assiste l'accusation, selon le ministère de la Justice. La requête de mise sous scellés demandait également de permettre aux procureurs de partager les fichiers avec « toute autre agence d'application de la loi et de renseignement si nécessaire à des fins d'enquête ».

Le directeur du renseignement national, Jay Clayton, a déclaré que la communauté du renseignement s'engage à protéger la propriété intellectuelle américaine « contre les menaces étrangères ». Le directeur du FBI, Kash Patel, a qualifié la protection de « l'innovation américaine en matière de SI » comme l'une des « priorités majeures de contre-espionnage » du bureau. OpenAI a indiqué dans une publication sur X qu'elle n'avait « aucune indication » qu'Alfozan ait pris des poids de modèles, du code source ou des données clients.

En vertu de la loi sur les procès rapides (Speedy Trial Act), les procureurs disposent de 30 jours à compter de son arrestation pour le mettre en accusation, et un grand jury peut ajouter des chefs d'accusation. Alfozan a comparu pour la première fois mardi et doit revenir devant le tribunal le 19 octobre pour une audience de détention, au cours de laquelle la demande de mise en détention sans caution du gouvernement sera examinée.

Cette histoire a été publiée à l'origine sur Fortune.com.