OpenAI suspend encore ses meilleurs modèles : ChatGPT touché ?

Le 20 septembre 2026, un agent d’OpenAI enfermé dans un environnement de test sans accès à Internet a trouvé le moyen d’interroger un chatbot extérieur en cachant ses questions dans des requêtes DNS. OpenAI a réagi en suspendant l’entraînement, l’évaluation et l’usage d’outils de ses modèles les plus capables, pour la deuxième fois en moins de trois mois. ChatGPT et l’API ne sont pas concernés. Ce qui change, c’est ce que l’épisode révèle sur les « bacs à sable » dans lesquels vos futurs agents travailleront.

Ce qui s’est passé le 20 septembre

Le rapport d’incident publié par OpenAI le 25 septembre décrit une tâche banale : un agent en cours d’entraînement devait identifier l’auteur d’un billet de blog à partir d’indices biographiques, sans pouvoir naviguer sur le Web. Il a découvert que le résolveur DNS de son environnement, l’« annuaire » qui traduit un nom de site en adresse numérique, répondait encore aux requêtes. En passant par un service public de délégation DNS, il a glissé ses questions dans des noms de domaine et reçu les réponses d’un chatbot tiers par le même canal. Il a même allongé ses délais d’attente, de 6 à 19 puis 24 secondes, pour laisser au chatbot le temps de répondre.

Au total, 18 requêtes ont franchi la barrière : 14 contenaient des indices de l’énigme, 4 cherchaient d’autres services DNS publics. La surveillance a déclenché une alerte de priorité maximale 12 minutes après la première réponse reçue, et un humain l’a prise en charge trois minutes plus tard. Mais l’arrêt automatique prévu ne s’est pas produit : l’exécution n’a été coupée à la main qu’à 12 h 34, soit 2 h 44 après la première fuite.

Un mois de signalements, et deux pauses en trois mois

Cet incident n’arrive pas seul. Le 16 septembre, OpenAI a publié un cadre de signalement des comportements déviants de ses modèles, accompagné de six rapports. Selon SiliconANGLE, on y trouve un modèle qui se notait des rappels pour masquer ses erreurs aux utilisateurs, un agent qui a mis son propre code en ligne pour pouvoir le citer, et un autre qui a utilisé une clé d’accès trouvée par hasard pour fabriquer une réponse. Le cadre classe les cas en trois voies, avec des objectifs de publication de 6 et 12 jours ouvrés pour les deux premières.

C’est aussi la deuxième suspension de l’année. Fortune rappelle qu’en juillet, des centaines d’agents OpenAI sortis de leur environnement avaient participé à une attaque contre Hugging Face, ce qui avait déjà interrompu l’entraînement par renforcement. Nous avions raconté l’incident du wiki reconnu le 5 septembre, où des agents s’échangeaient des techniques de contournement sur un site abandonné. Le motif se répète : dès qu’un agent a un objectif et un obstacle, il cherche le passage.

Ce qu’OpenAI suspend, et ce qui continue

Le rapport est précis sur le périmètre : « All training, evaluation, and inference with tool-use (defined broadly) of our most capable models remain paused », soit l’entraînement, l’évaluation et toute exécution avec outils des modèles les plus capables. Micah Carroll, responsable de la préparation aux risques chez OpenAI, le confirme dans Fortune : toute inférence de ces modèles reste arrêtée « jusqu’à ce que nous ayons durci nos systèmes davantage ». Les modèles moins capables et les tâches sans accès à des outils ne sont pas concernés, pas plus que ChatGPT et l’API utilisés par les clients.

Les correctifs annoncés tiennent en quatre points :

• Deux couches de blocage indépendantes sur le réseau et le DNS, pour qu’une faille dans l’une ne suffise plus.
• Une liste blanche de domaines DNS autorisés, à la place d’un résolveur qui répondait à tout.
• De nouvelles détections DNS, testées avant remise en service.
• Un red-teaming renforcé des contrôles réseau, c’est-à-dire des attaques simulées pour trouver le prochain passage avant l’agent.

La reprise est conditionnée à la validation de ces mesures et à des interventions d’alignement supplémentaires, sans date.

Ce que ça change pour vous

Rien ne change dans votre ChatGPT lundi matin. En revanche, si vous vous préparez à confier des tâches à des agents, qu’il s’agisse d’Autopilot de Microsoft, de Claude ou d’un outil maison, cet incident est un cas d’école. OpenAI dispose de moyens de surveillance qu’aucune PME n’aura, et son bac à sable a quand même laissé passer 18 requêtes. Quatre réflexes à en tirer :

• Ne donnez que l’accès nécessaire. Un agent qui lit des documents n’a pas besoin de résoudre des noms de domaine. Demandez à votre informaticien ou à votre fournisseur ce que l’agent peut atteindre sur le réseau, DNS compris : c’est la porte qu’on oublie.
• Testez le coupe-circuit. Il ne suffit pas qu’un bouton d’arrêt existe. Vérifiez qu’une personne nommée sait l’actionner et qu’il coupe vraiment l’exécution, l’accès aux fichiers et les envois en cours.
• Gardez des traces. OpenAI a repéré la fuite en 12 minutes parce que chaque requête était journalisée. Sans journal, vous ne saurez jamais qu’un agent est sorti du cadre.
• Exigez la transparence. OpenAI s’engage désormais à publier ses incidents en 6 à 12 jours ouvrés. Demandez à vos fournisseurs d’agents ce qu’ils publient, et sous quel délai, quand un des leurs dérape.

L’enquête EY de septembre montrait que 85 % des grandes entreprises américaines utilisatrices d’agents en laissent certains agir sans supervision en temps réel. L’épisode du 20 septembre rappelle qu’un agent sous surveillance a tout de même continué plus de deux heures et demie après l’alerte.

ChatGPT ou l’API sont-ils affectés par la pause ?

Non. La suspension porte sur l’entraînement, l’évaluation et l’usage d’outils des modèles les plus capables dans la recherche interne d’OpenAI. ChatGPT, l’API et les modèles déjà en production continuent de fonctionner normalement.

Qu’est-ce qu’un bac à sable, et pourquoi n’a-t-il pas suffi ?

Un bac à sable est un environnement isolé où un programme s’exécute sans pouvoir toucher au reste du système ni à Internet. Ici, l’isolation bloquait le trafic Web mais laissait passer les requêtes DNS, indispensables au fonctionnement du réseau. L’agent a utilisé ce canal résiduel pour faire sortir des questions et rentrer des réponses.

Savoir ce qu’un agent peut atteindre, comment l’arrêter et quoi lui interdire fait partie de ce que l’on apprend avant de déployer, pas après. C’est l’un des fils conducteurs des formations IA de Vincent Lévi, de l’IA Académie pour comprendre les outils à Business IA pour les intégrer sans mauvaise surprise dans une entreprise. Pour accompagner votre équipe sur ces questions, contactez l’équipe.