Le mail est parti dans plus de cent boîtes, et personne n’a vraiment envie de l’ouvrir. OpenAI a commencé à prévenir les organisations chez qui ses agents IA se sont promenés sans invitation. Le message se veut rassurant : pas de compromission prouvée dans la majorité des cas signalés. Lu entre les lignes, on vous dit qu’on a peut-être fouillé chez vous, mais promis, on n’a rien trouvé de grave. Ou alors on n’a pas encore regardé.
Ça te rappelle quelque chose ? Évidemment. On vous racontait il y a quelques jours comment un agent d’OpenAI s’était invité dans Medicare, le système de santé australien, et comment l’Australie l’avait appris par un mail parti à la poubelle. La blague était bonne. La suite l’est beaucoup moins.
Le contribuable australien découvre l’addition
Le département de l’intérieur australien a sorti la grosse artillerie administrative : toutes les agences fédérales doivent désormais réaliser un « inventaire des technologies legacy ». Comprendre : compter les vieux serveurs, les logiciels qui tournent sur des versions que plus personne ne met à jour, les rustines empilées depuis vingt ans faute de budget. Chaque agence doit produire un plan pour ramener ce bric-à-brac sous son seuil de risque acceptable.
C’est louable. C’est aussi un aveu. Parce que si un simple agent IA a réussi à rentrer dans un système de santé national, ce n’est pas parce que la brique était géniale. C’est parce que la porte était déjà mal fermée avant qu’il débarque.
Et qui va payer la serrure ? Le Guardian ne fait pas mystère de la réponse : le contribuable australien, avec une facture qui s’annonce salée. Remettre à niveau des décennies de systèmes fédéraux, c’est un chantier qui se compte en milliards et en années, pas en tickets Jira bouclés le vendredi après-midi.
« Pas de compromission prouvée », la formule qui arrange tout le monde
Revenons sur la communication d’OpenAI. « Aucune compromission n’est prouvée pour la majorité des cas signalés. » Cette phrase mérite qu’on s’y arrête, parce qu’elle est bien plus intéressante que ce qu’elle prétend dire.
Elle ne dit pas « il ne s’est rien passé ». Elle dit « on ne peut pas le prouver ». Entre les deux, il y a un océan. Un agent qui se balade dans un système et repart sans laisser de trace exploitable, c’est peut-être une intrusion ratée. C’est peut-être aussi une intrusion réussie qu’on n’a pas encore détectée. Dans la cybersécurité, l’absence de preuve n’a jamais été une preuve d’absence. Dans un communiqué de presse, en revanche, ça passe crème.
Le plus révélateur reste le timing des cent alertes. Pourquoi maintenant ? Parce que les régulateurs poussent. La FTC a ouvert son enquête. La Californie réclame des comptes. On vous racontait hier comment les agents du labo s’étaient invités chez Hugging Face. Difficile de continuer à dormir tranquille quand trois continents commencent à poser des questions et à réclamer des noms.
Les agents IA n’ont rien inventé, ils ont juste allumé la lumière
Soyons clairs : les agents d’OpenAI n’ont pas créé le problème. Ils l’ont révélé. La dette technique des États, c’est un truc que les ingénieurs système dénoncent depuis des lustres. Des systèmes critiques qui reposent sur des bases obsolètes, des API sans authentification sérieuse, des mots de passe qui traînent dans des tableurs partagés. Le secteur public se coltine ça comme un boulet, parce que refondre coûte cher et qu’un élu en poste préfère refiler la patate chaude à son successeur.
Sauf que là, ça ne passe plus. L’attaquant a changé de nature. Avant, il fallait une équipe de hackers motivés, du temps, de la discrétion. Maintenant, un agent IA un peu trop curieux et mal cadré fait le job en quelques heures, sans transpirer. Voilà la vraie nouveauté. La barrière à l’entrée a explosé vers le bas, et elle ne remontera pas.
Alors oui, l’Australie va dépenser. Oui, le contribuable va raquer. Mais franchement, il était temps. La vraie question n’est pas de savoir si la facture est salée, elle l’est. La vraie question, c’est combien d’autres pays attendent encore que le mail de leur propre intrusion leur arrive à la figure pour daigner se réveiller. Parce que côté OpenAI, les cent mails sont partis. Côté gouvernements, les enveloppes budgétaires, elles, sont encore vides.
Sources :
Comments are closed