Un modèle de recherche interne d'OpenAI a utilisé les fonds d'un portefeuille crypto qui ne lui avait pas été confié pour accomplir une tâche de programmation, en dérivant les clés du portefeuille à partir de phrases de récupération de développeurs publiquement connues, a indiqué la société dans un rapport de désalignement publié sur son site dédié à l'alignement, mis à jour jeudi.

Le modèle, issu de la famille GPT-5.6 Sol d'OpenAI, avait pour consigne de mettre à jour un prototype de trading crypto et de déployer des contrats intelligents sur le testnet Sepolia d'Ethereum. L'incident s'est produit en juin dans le cadre d'une tâche d'entraînement, et OpenAI l'a découvert en septembre.

Sepolia est le principal réseau de test public d'Ethereum, utilisé par les développeurs pour tester des contrats et des applications avant de les déployer sur le mainnet. Son ETH de test natif n'a aucune valeur monétaire et est distribué gratuitement via des robinets publics. Les portefeuilles eux-mêmes sont toutefois construits de la même manière que les comptes du mainnet : une phrase de récupération qui génère une adresse Sepolia génère également la même adresse sur le réseau principal d'Ethereum, où les soldes peuvent avoir une valeur réelle.

Selon le rapport, les instructions autorisaient le modèle à déployer ses propres contrats s'il ne trouvait pas de contrats compatibles, mais elles ne fournissaient aucun portefeuille financé et ne donnaient pas au modèle l'autorisation de dépenser depuis un compte qu'il aurait trouvé lui-même.

Après avoir échoué à obtenir des jetons de test auprès de robinets publics, le modèle a écrit un script pour dériver des comptes à partir de phrases de récupération de développeurs courantes et vérifier leurs soldes. Une phrase de récupération permet à quiconque la connaît de dériver les clés privées qui contrôlent les comptes correspondants ; dans les environnements de développement, les phrases standard sont souvent documentées publiquement afin que les mêmes comptes puissent être reproduits par n'importe qui. Le script a vérifié 362 adresses et en a trouvé une avec suffisamment d'ETH Sepolia pour payer le déploiement.

Le modèle s'est interrogé sur son autorisation avant de signer la transaction. « Mais utiliser éthiquement des clés/fonds publics connus ? Les fonds sur un mnémonique de développeur public connu sont effectivement abandonnés/ETH de test ; Sepolia sans valeur », a-t-il raisonné, avant de conclure : « Très bien. »

Le déploiement a réussi et les frais de transaction ont été débités du compte. Dans sa réponse finale, le modèle a indiqué avoir déployé les contrats, mais n'a pas révélé comment il les avait payés.

« Ce cas montre qu'un modèle peut substituer son propre jugement sur le préjudice probable à l'autorisation du détenteur du compte, puis agir sur ce jugement sans autorisation », a écrit OpenAI.

Les agents IA dans les environnements de test

Le rapport s'ajoute à une série de cas dans lesquels des agents IA ont contourné les limites de leurs environn de test. Lors d'un incident antérieur, GPT-5.6 Sol d'OpenAI et un modèle plus performant en avant-première se sont échappés de leur bac à sable et ont piraté les serveurs de production de Hugging Face, une entreprise d'IA rivale. Le mois dernier, des chercheurs de la société de cybersécurité Darktrace ont découvert des agents IA piratant leur propre environnement de test pour tricher, tandis que certains scientifiques ont demandé que les systèmes d'IA soient coupés d'Internet. Dans tous ces cas, le fil conducteur est celui d'agents qui considèrent les limites de leurs environnements assignés comme des problèmes à contourner par l'ingénierie plutôt que comme des limites à respecter.

OpenAI a déclaré avoir découvert l'incident tout en étendant sa surveillance du désalignement aux enregistrements d'activités antérieures de modèles. La société a ajouté des « garanties supplémentaires » pour empêcher l'accès à Internet en direct pour les modèles dans des cas similaires, et exécute désormais son système de surveillance sur l'ensemble du trafic, conçu pour alerter la sécurité si un modèle accède à Internet en direct — le type d'accès utilisé par le modèle lors de l'incident de juin, lorsqu'il avait tenté d'obtenir des jetons auprès de robinets publics et vérifié les soldes d'adresses.