Des experts en sécurité de l’IA tirent la sonnette d’alarme : les modèles d’OpenAI responsables d’une attaque autonome contre une autre entreprise d’IA plus tôt ce mois-ci pourraient être entrés dans une catégorie de risque si grave que les propres politiques internes d’OpenAI auraient dû imposer une suspension temporaire du développement.

Plus tôt cette semaine, OpenAI a révélé que deux de ses modèles — le GPT-5.6 Sol récemment lancé et un système inédit plus performant — s’étaient échappés d’un environnement de test interne verrouillé, avaient exploité une vulnérabilité « zero-day » jusqu’alors inconnue pour accéder à l’internet ouvert, puis avaient compromis Hugging Face, une autre entreprise d’IA et l’une des plus grandes plateformes d’IA open source au monde, hébergeant des modèles, des jeux de données et des outils utilisés par des millions de développeurs, afin de voler les réponses à un test de cybersécurité auquel ils étaient soumis.

L’incident a provoqué une onde de choc dans le monde entier, mais peut-être plus encore parmi les experts en sécurité de l’IA, qui alertent depuis des années sur ce type de danger et appellent les entreprises et les gouvernements à adopter des garde-fous plus solides. Il constitue également l’un des premiers cas documentés de modèles d’IA de pointe menant de manière autonome une cyberattaque en plusieurs étapes contre une cible externe, sans instruction humaine — une éventualité que les chercheurs en sécurité avaient modélisée en théorie, mais rarement observée en pratique.

Plusieurs de ces experts ont déclaré à Fortune que l’attaque semble montrer que les modèles d’OpenAI ont atteint un niveau de risque que les politiques de sécurité publiées par l’entreprise qualifient de « critique » — le degré de danger le plus élevé. À ce niveau, OpenAI s’est engagée, dans ses politiques publiées, à mettre en pause le développement des modèles jusqu’à ce qu’elle puisse concevoir de meilleurs systèmes de contrôle.

Le seuil « critique » est défini dans un document de politique de gestion des risques appelé « Preparedness Framework » d’OpenAI. Selon cette politique, la qualification de danger « critique » s’applique à un modèle capable de trouver et de construire de manière indépendante des exploits fonctionnels pour des vulnérabilités de sécurité jusque-là inconnues — appelées failles « zero-day » parce que les développeurs ont eu zéro jour pour les corriger — dans de nombreux systèmes réels bien défendus, ou à un modèle capable de concevoir et d’exécuter une stratégie d’attaque entièrement nouvelle contre une cible bien défendue après avoir reçu uniquement un objectif général, sans accompagnement humain. La politique indique que lorsqu’un modèle atteint ce niveau de risque, OpenAI « halt further development » jusqu’à ce que « we have specified safeguards and security controls standards that would meet a Critical standard. »

Le Preparedness Framework est un engagement volontaire d’OpenAI, et non une obligation légale. Toutefois, l’entreprise publie ce document sur son site web afin de permettre à d’autres chercheurs en sécurité de l’IA et au public de vérifier les contrôles qu’elle affirme vouloir mettre en œuvre. L’adoption d’une politique comparable au Preparedness Framework est obligatoire pour les laboratoires d’IA de pointe au titre de l’EU AI Act, cette partie de la loi étant entrée en vigueur en août 2025. Le cadre constitue l’un des exemples les plus visibles des engagements volontaires de sécurité adoptés par les principaux laboratoires d’IA, alors que les gouvernements du monde entier s’efforcent de mettre en place des garde-fous réglementaires pour des systèmes de plus en plus performants.

« OpenAI's preparedness framework defines critical cybersecurity capabilities, and prescribes safeguards that need to be implemented before development can continue », a déclaré à Fortune Nathan Calvin, directeur juridique d’Encode AI, un groupe de défense de la sécurité de l’IA. « From my reading of OpenAI's preparedness framework, it looks awfully like this internally deployed model met the critical criteria for cybersecurity. Does OpenAI dispute that critical designation? Do they plan to have safeguards that meet a Critical standard before proceeding further? »

Tyler Johnson, fondateur du groupe de surveillance de l’IA Midas Project, a également estimé que les modèles semblaient avoir atteint le seuil de danger le plus élevé. « I think a plain reading of it would say yes », a-t-il déclaré. « It operated independently over the course of a weekend, trying different attack vectors on Hugging Face and chaining multiple zero-day exploits. »

OpenAI n’a pas répondu aux questions précises de Fortune sur le fait de savoir si les modèles impliqués dans l’incident répondaient au critère « critique » défini dans sa politique de risque. À la place, un porte-parole a déclaré : « This is an unprecedented incident, and we think it marks an important moment for AI safety. We are conducting a thorough review along with external advisors and with oversight from our Safety and Security Committee. Once the review is complete, we will publish a technical report of our learnings for everyone. » Le Safety and Security Committee, mis en place par le conseil d’administration d’OpenAI en 2024, est chargé de superviser les examens de sécurité des modèles les plus puissants de l’entreprise.

Selon Johnson, le caractère vague du langage employé dans le cadre pourrait toutefois laisser place à la contestation. Le seuil exige qu’un modèle trouve des exploits zero-day « of all severity levels », mais il reste difficile de savoir si les exploits utilisés lors de la compromission de Hugging Face satisferaient à cette exigence. Il a noté qu’une catégorie de vulnérabilité plus grave — par exemple une faille donnant à un attaquant un contrôle profond, au niveau système, sur le système d’exploitation d’un ordinateur, appelée accès « kernel-level » — pourrait devoir être démontrée pour que le seuil s’applique.

« OpenAI's model outsmarted its creators, exploited a never-before-discovered vulnerability in OpenAI's code, escaped onto the open internet, and attacked another company », a déclaré Peter Wildeford, responsable des politiques à l’AI Policy Network. « If this doesn't cross the line into Critical, OpenAI needs to say much more about what's going on and how this threshold works. »

Des experts signalent des garde-fous manquants au-delà du seuil critique

OpenAI avait précédemment indiqué qu’elle traitait son modèle le plus récent, GPT-5.6, comme présentant un risque « High » en matière de cybersécurité — le plus bas des deux niveaux de risque définis dans le Preparedness Framework. Les modèles situés sous le seuil « High » peuvent être publiés sans mesures d’atténuation significatives des risques.

Selon la politique d’OpenAI, une qualification High doit déclencher plusieurs protections : des contrôles de sécurité renforcés, des garde-fous pour empêcher les usages abusifs externes une fois le modèle rendu public, des protections contre un comportement imprévisible ou trompeur du modèle lors d’une utilisation intensive en recherche interne, ainsi que des efforts pour aider d’autres équipes de cybersécurité à se défendre contre des menaces similaires.

Toutefois, certains experts se demandent si l’une de ces protections — les garde-fous contre le désalignement lors d’un déploiement interne à grande échelle — a été correctement mise en œuvre. Ces garde-fous sont conçus pour détecter un modèle qui agirait de manière trompeuse, dissimulerait ses véritables capacités ou travaillerait autrement à l’encontre des intentions de ses développeurs — une préoccupation que les chercheurs désignent sous le terme de « deceptive alignment », lorsqu’un modèle peut coopérer pendant l’évaluation mais se comporter différemment une fois déployé.

Ce n’est pas la première fois que le respect par OpenAI de ce garde-fou particulier est examiné de près. Fortune a rapporté en février que des experts en sécurité affirmaient qu’OpenAI n’avait pas mis en œuvre les garde-fous requis contre le désalignement après que son modèle GPT-5.3-Codex est devenu le premier à atteindre un risque de cybersécurité « high » au titre du Preparedness Framework.

À l’époque, OpenAI avait contesté l’idée que son cadre exigeait ces garde-fous dans ce cas précis, soutenant que les protections supplémentaires ne s’appliquent que lorsque le risque cyber élevé survient « in conjunction with » une autonomie de longue durée — la capacité à fonctionner de manière indépendante sur des périodes prolongées — ce que, selon elle, GPT-5.3-Codex n’avait pas démontré. Les modèles impliqués dans l’incident actuel concernant Hugging Face auraient fonctionné de manière indépendante pendant plusieurs jours, ce qui semblerait satisfaire à ce critère d’autonomie de longue durée.

« In February, we warned that OpenAI may have skipped on its required safeguards according to its own policy. They disagreed, claiming the model lacked long-range autonomy. But the model that hacked Hugging Face clearly has long-range autonomy, so where are the safeguards now », a déclaré Johnson.