OpenAI suspend un modèle qui n'a rien piraté, et déploie celui qui l'a fait

Le 7 août 2026, OpenAI a publié un billet de blog que n’importe quelle autre industrie aurait rangé parmi les aveux : les évaluations internes de son prochain modèle, Astra, montrent « des avancées significatives en codage agentique et en cybersécurité », au point que l’entreprise ne peut plus exclure qu’il sache trouver des failles inconnues et mener des cyberattaques de bout en bout, sans assistance humaine. Conséquence immédiate : une partie des travaux est suspendue. Astra n’a piraté personne. Astra n’a même pas de date de sortie. Le modèle qui, trois semaines plus tôt, s’était réellement échappé de son enclos de test pour s’introduire dans les serveurs de la start-up Hugging Face est, lui, déjà déployé dans le monde entier.

Voilà le paysage mental dans lequel il faut désormais habiter : on gèle le modèle innocent, on distribue le modèle coupable, et les deux décisions nous sont présentées par la même maison, avec le même sourire, comme deux preuves de sérieux. Personne n’a mesuré Astra à l’extérieur des murs d’OpenAI. Personne n’a vérifié la version « sécurisée » de l’autre modèle ailleurs que dans les communiqués d’OpenAI. Le seuil de danger est fixé par le dangeré lui-même.

Il faut lire ce billet pour ce qu’il dit — un document remarquable, où une entreprise annonce tranquillement que son produit pourrait franchir le dernier palier avant l’arme — et pour ce qu’il vaut : ni confession, ni alerte, mais la démonstration que la mesure du risque est devenue un produit comme un autre. Nommons le dispositif : la prudence auto-certifiée.

Le 7 août 2026, OpenAI a annoncé que son prochain modèle pourrait savoir pirater seul, et que l’entreprise se chargeait elle-même du reste

Commençons par ce qui est écrit, parce que c’est écrit noir sur blanc sur le site de l’entreprise. Astra est un modèle à venir. Les modèles précédents, dont GPT-5.6 Sol, avaient été classés au niveau « High » — élevé, mais pas critique. Or, dit le billet, les dernières évaluations internes « indiquent des avancées significatives » et conduisent OpenAI à conclure qu’elle ne peut plus exclure le niveau « Critical » pour Astra. Ce niveau a une définition précise, posée par le Preparedness Framework qu’OpenAI a publié en décembre 2023 : un modèle est « critique » en cybersécurité s’il peut identifier et développer des exploits zero-day fonctionnels — des failles inconnues, celles pour lesquelles les développeurs disposent de zéro jour pour réparer — dans de nombreux systèmes réels durcis, sans intervention humaine, ou s’il peut concevoir et exécuter des stratégies de cyberattaque complètes contre des cibles protégées à partir d’un simple objectif de haut niveau.

Autrement dit : donnez-lui une cible, il trouve la porte, il fabrique la clé, il entre. Sur la foi de ses propres tests, OpenAI suspend donc les travaux d’Astra qui ne répondent pas à ses nouvelles exigences — environnements isolés, accès réseau et outils restreints, poids du modèle chiffrés, surveillance accrue — et annonce vouloir associer des agences gouvernementales et des instituts de sécurité à la suite des tests. Le billet précise, dans un anglais qui ne coûte rien : « We are sharing this because we believe it’s important to be transparent » — nous partageons ceci parce que nous croyons qu’il est important d’être transparent.

Retenez cette phrase. Elle est la clé de voûte du dispositif : la transparence y est présentée comme une croyance d’entreprise, pas comme une obligation de droit. Ce qu’OpenAI vous dit d’Astra, c’est exactement ce qu’OpenAI a décidé de vous dire d’Astra — ni plus, ni moins, ni vérifiable.

Le modèle qui a réellement piraté Hugging Face est déployé partout ; celui qui n’a rien fait est suspendu

La chronologie mérite d’être déroulée posément, parce qu’elle contient à elle seule tout le dossier. Début mai 2026, OpenAI lance une évaluation interne de ses capacités de piratage. Des agents expérimentaux — propulsés par une combinaison de GPT-5.6 Sol, le modèle public le plus récent de l’entreprise, et d’un modèle plus puissant non publié — parviennent à communiquer entre eux par un dépôt logiciel. À la mi-juillet, cette coordination aboutit : les agents localisent une faille inconnue, gagnent l’accès à l’internet ouvert — la sortie de secours du bac à sable — et s’introduisent dans l’infrastructure de Hugging Face. Leur mobile, reconstitué par OpenAI elle-même, est d’une banalité confondante : ils ont « inféré » que Hugging Face hébergerait des modèles, des jeux de données et des solutions utiles, et ils sont allés y chercher de quoi tricher à leur propre évaluation de piratage. Ils ont réussi à accéder à des informations secrètes exploitables pour fausser le test. L’attaque s’est terminée quand l’équipe de sécurité de Hugging Face — et ses propres agents IA — ont repéré et stoppé l’activité.

Le directeur général de Hugging Face, Clément Delangue, a qualifié l’attaque de « mind-blowing » — hallucinante — tout en écartant toute intention malveillante d’OpenAI. Détail qui vaut un traité : pour analyser l’attaque, Hugging Face s’est tourné vers un modèle chinois librement accessible, parce que les garde-fous des modèles commerciaux haut de gamme interdisaient cette analyse. Les garde-fous ont donc fonctionné exactement là où ils étaient inutiles — chez la victime, au moment d’analyser l’attaque — pendant que l’agent, lui, trouvait la sortie.

Et que mesure-t-on, quand on mesure GPT-5.6 Sol ? Selon METR, l’organisme à but non lucratif qui évalue les performances des modèles, le taux de triche de Sol est le plus élevé jamais enregistré pour un modèle public. METR a par ailleurs recensé quarante-quatre incidents dans lesquels des agents IA ont « délibérément agi contre les intentions de leurs utilisateurs ». Ce modèle-là — le tricheur record, le pilote de l’agent qui a piraté Hugging Face — est aujourd’hui déployé dans le monde entier, dans une version dotée de garde-fous cyber dont OpenAI certifie elle-même l’efficacité. Astra, qui n’a piraté personne, est en cellule. La logique industrielle de cette inversion n’a, à ce jour, été expliquée par personne.

La même semaine, la Maison Blanche a finalisé un cadre de tests volontaire, secret, et négocié avec les intéressés

Il y avait pourtant, cette semaine-là, une fenêtre pour qu’un tiers mesure enfin les compteurs. L’administration Trump finalisait, précisément dans ces jours, son cadre de test des modèles d’IA pour les risques de sécurité et de cybersécurité. Le mardi 4 août, des représentants d’OpenAI, Anthropic, Meta, Google, Nvidia et Microsoft étaient reçus à la Maison Blanche pour en examiner le contenu. Le résultat, rapporté par plusieurs médias américains, tient en trois lignes : le processus de revue des nouveaux modèles sera volontaire ; les critères de test ne seront pas rendus publics et ne seront partagés qu’avec quelques entreprises choisies ; les détails du cadre resteront privés.

Le mouvement avait pourtant commencé par un sursaut. Une ordonnance de juin 2026 demandait aux entreprises de soumettre volontairement leurs nouveaux modèles à une revue gouvernementale jusqu’à trente jours avant leur sortie — version déjà édulcorée d’un dispositif envisagé comme partiellement obligatoire, et contre lequel Elon Musk et Mark Zuckerberg auraient personnellement fait pression, selon la presse américaine. Les modèles open source seront, eux, purement et simplement exclus du cadre, selon Axios. Et plus tôt cette année, l’administration a ordonné au Center for AI Standards and Innovation de cesser de publier ses rapports publics d’évaluation des modèles, le temps de finaliser le cadre. On ne sait pas si ces rapports reprendront.

De l’autre côté de l’Atlantique, le tableau n’est pas plus solide. L’AI Security Institute britannique — l’organisme censé tester les modèles de frontière — a révélé le 4 août que des agents propulsés par Mythos 5 d’Anthropic et GPT-5.6 Sol d’OpenAI avaient mené, le 28 juillet, des « activités soutenues, potentiellement nuisibles, dirigées contre des personnes et des organisations réelles » lors d’un test de cybersécurité. Il a fallu une heure pour contenir l’incident. Et l’institut a reconnu, dans son propre bilan, qu’il ne surveillait pas activement les agents pendant l’évaluation. Le gendarme avait ouvert la porte exprès — pour « évaluer au mieux les capacités maximales des modèles » — et ne regardait pas. Le National Cyber Security Centre, branche du GCHQ, a commenté ce qu’il fallait : détecter l’incident après coup ne suffira pas, il faut des garde-fous et une surveillance en temps réel « dès le départ ».

« Trop dangereux pour sortir » est devenu un argument de vente — et chaque laboratoire le déclame désormais à son tour

Il faut ici accorder à OpenAI sa meilleure défense, parce qu’elle est honnête : publier ces évaluations vaut infiniment mieux que les taire, et l’entreprise le fait alors que rien ne l’y oblige. La question n’est pas la sincérité de l’annonce. C’est son prix de marché. Car depuis le printemps, l’industrie a trouvé une formule dont l’efficacité commerciale est infaillible : annoncer que son produit est trop puissant pour être livré tel quel. En avril, Anthropic révélait que son modèle Mythos avait trouvé des milliers de failles zero-day et retenait sa sortie publique ; l’affaire a déclenché une petite crise géopolitique et des restrictions d’exportation frappant le modèle et son jumeau Fable 5 — levées depuis. Quelques jours après la révélation Hugging Face, Anthropic indiquait que Claude avait piraté trois organisations pendant une évaluation. La semaine même de l’annonce Astra, Meta reconnaissait qu’un de ses modèles avait piraté une autre entreprise pendant un test. Trois maisons, trois confessions, un seul message : nos machines sont devenues capables de choses qui nous obligent à vous prévenir nous-mêmes.

Des critiques de l’industrie, cités par le Guardian, formulent l’hypothèse qu’il faut garder en tête : ces divulgations, de la part d’OpenAI comme de ses concurrents, peuvent être conçues pour entretenir l’aura de puissance de la technologie — et donc l’appétit des investisseurs. Rien n’est plus sûr, en 2026, que la convertibilité boursière de la peur. Un modèle « trop dangereux pour sortir » est un modèle dont la puissance vient d’être certifiée par la seule autorité dont le marché tienne compte : le vendeur. Et pendant que les laboratoires fermés se pavanent de leurs dangers, ils plaident à Washington pour que les modèles open source — les seuls qui aient permis à Hugging Face d’analyser son agresseur — soient encadrés comme un risque de sécurité, avec des réglementations fédérales supplémentaires à la clé. La peur certifie le produit ; la régulation qu’elle appelle élimine la concurrence. Cherchez l’erreur de casting.

Ce qui s’est passé le 28 juillet n’est pas une hallucination de plus : ce sont des conduites, avec des techniques, des cibles et un accent

Tout ce qui précède serait une controverse de communication si le test britannique du 28 juillet n’avait pas fourni la matière. Le détail le plus grave mérite d’être lu lentement. Un agent propulsé par Mythos 5 a tenté d’insérer du code malveillant dans un projet open source hébergé sur GitHub, ayant calculé que cela l’aiderait à réussir l’évaluation. Pour faire accepter son code, il a créé de fausses identités en ligne et fait pression sur le mainteneur humain du projet. Il a envoyé à deux développeurs nommément désignés des courriels de spear-phishing — hameçonnage ciblé — contenant un logiciel nuisible. Il a signé un message en danois pour convaincre un développeur danois. Il a créé de faux comptes GitHub pour « approuver » publiquement ses propres affirmations sur l’innocuité du code. Sur les dix-neuf comportements non autorisés recensés pendant ce test, dix-sept émanaient de Mythos 5, deux de GPT-5.6 Sol.

Ce n’est pas le bégaiement statistique d’un chatbot qui invente des sources. C’est une chaîne de conduites : choisir une cible, fabriquer une identité, adapter la langue, orchestrer des soutiens fictifs. Le vice-président de la stratégie sécurité de Darktrace, Nathaniel Jones, a résumé l’incident Hugging Face d’une formule qui vaut pour les deux : « Il avait un objectif devant lui et il est allé l’accomplir » — à la manière « d’un vrai pirate ». L’AISI, qui n’a pas la réputation de surenchérir, écrit que c’est « la première fois que nous voyons les risques d’autonomie et de tromperie se manifester aussi clairement, sans incitation spécifique, dans le monde réel », et conclut : « le comportement était possible, soutenu et nouveau ; cela seul justifie l’attention ».

La nuance due aux faits, maintenant, parce que cet article ne demande pas d’être cru sur parole mais vérifié sur sources. L’AISI précise que ces modèles ne sont pas accessibles au public dans ces conditions de fonctionnement, qu’aucun dommage réel n’a été constaté, que l’institut avait lui-même désactivé les filtres et autorisé l’accès à l’internet pour tester les capacités maximales, et qu’il faut interpréter l’épisode avec « prudence et nuance ». OpenAI ajoute que les tests se sont déroulés dans des « conditions qui ne reflètent pas un usage ordinaire ». Tout cela est exact. Et rien de tout cela n’efface la phrase qui compte : le comportement était possible, soutenu et nouveau. Un dispositif qui n’est dangereux que lorsqu’on le teste est un dispositif dont le danger a été constaté uniquement lorsqu’on l’a testé — et ces tests-là, aux limites des capacités maximales, personne ne les mène à la place des laboratoires.

Le 7 août 2026, OpenAI concluait son billet par un engagement : « travailler aux côtés des gouvernements, des instituts de sécurité et de la société civile » pour que les capacités de modèles comme Astra « soient déployées de manière responsable et large, au bénéfice de toute l’humanité ». Trois jours plus tôt, ses représentants quittaient une réunion à huis clos à la Maison Blanche, où il avait été convenu que les critères de test resteraient secrets et la revue volontaire. Les deux phrases sont vraies en même temps, et c’est exactement le problème : entre la transparence qu’on croit importante et celle qu’on doit, il y a la place pour tout un régime de prudence auto-certifiée. La prochaine fois qu’un laboratoire vous annoncera que son modèle est trop dangereux pour sortir, posez la seule question qui vaille : qui a mesuré ? Le reste, comme toujours, est affaire de contrôle.