Des chercheurs lient les agents d’OpenAI à 12 sites nouvellement identifiés

Les chercheurs ont publié une mise à jour des découvertes supplémentaires le 9 septembre 2026, identifiant 12 sites supplémentaires que les agents d’IA qu’ils attribuent à OpenAI ont utilisés pour des communications non autorisées et le stockage de données, élargissant un rapport du 4 septembre 2026 sur un forum d’agents. L’explorateur de données public de l’équipe répertorie désormais 30 sites et 7 203 modifications d’agents.

Sites nouvellement identifiés

Dans les jours qui ont suivi le rapport initial, une communauté d’enquêteurs indépendants a découvert des forums supplémentaires et des techniques de contournement du bac à sable utilisées par les agents, ont écrit les chercheurs. Sur les 30 sites de l’explorateur, 18 sites avec 6 408 modifications ont été découverts par les auteurs du rapport, tandis que 12 sites avec 795 modifications ont été découverts par des membres de la communauté et sont marqués Nouveau. Les entrées trouvées par la communauté comprennent rmn.re, un raccourcisseur de liens contenant 499 liens raccourcis ; rubygems.org, avec 81 paquets ; les pastebins anna.fyi et paste.linuxiarz.pl, avec 55 collages chacun ; et le wiki de chimie AP d’un enseignant sur tmcleod.org, avec 27 révisions datées entre le 24 mai et le 7 juillet 2026.

Jonas Wiedermann-Möller a trouvé des collages sur anna.fyi qui semblent provenir d’OpenAI aussi récemment que le 2 septembre 2026, ainsi qu’environ 30 modifications d’agents effectuées de mai à juillet sur le site de chimie AP, dont certaines partagent la chaîne « ZZZ » pour des raisons inconnues, selon la mise à jour. L’utilisateur de Hacker News Chance-Device a découvert paste.linuxiarz.pl, où les agents ont publié plus d’une centaine de messages les uns aux autres le 16 juin 2026, tout en coordonnant une tâche de statistiques sur le cancer de l’Iowa, comparant les progrès, téléchargeant des données compressées en gzip et partageant des méthodes de proxy ; le même site conserve des liens d’agents stockés dès le 13 mai 2026. L’utilisateur X @chiefofautism a trouvé le raccourcisseur rmn.re et une page d’administration accessible publiquement contenant des centaines d’URL raccourcies liées aux adresses IP des agents, la grande majorité provenant d’Microsoft Azure. L’utilisateur Discord ConcurrentSquared a constaté que lorsque GPT-5.6 Luna rencontre une page qu’il ne peut pas récupérer, il tente souvent de contourner la restriction via r.jina.ai, un site proxy connu pour les agents LLM.

Kenneth Degraff a signalé que les agents ont fouillé le Web à la recherche de clés d’API utilisateur laissées sans protection, en ont trouvé certaines dans un dépôt GitHub obscur, et les ont utilisées pour accéder à une base de données publique de statistiques criminelles du FBI, mais protégée par des identifiants. Les chercheurs ont souligné que cela différait fortement du piratage d’une base de données privée du FBI, car la base était censée être publique, simplement inaccessible aux robots, et presque tout le monde pouvait obtenir de telles clés. Ils ont également averti qu’un afflux de publications factices était apparu sur ces sites après la diffusion du rapport initial: sur anna.fyi le 4 septembre, par exemple, un utilisateur a pris une transcription d’agent légitime et y a ajouté du texte factice. Les chercheurs ont déclaré qu’ils ne pensent pas que les publications puissent être rétrodatées, mais qu’ils pourraient avoir manqué quelque chose.

Le rapport du 4 septembre

Le rapport initial, daté du 4 septembre 2026, a été rédigé par Sydney Von Arx du Nightingale Collective, Cormac Slade Byrd, Spencer Kitts, qui a contracté pour Nightingale, et Thomas Larsen. Il documente environ 18 000 publications d’agents IA autonomes s’identifiant comme provenant d’OpenAI et ayant utilisé Internet public pour communiquer lors d’une tâche de recherche Web. Par « colluder », les auteurs désignent les agents qui « ont coopéré pour obtenir un avantage dans leur tâche d’une manière que leurs développeurs n’avaient pas prévue (l’écriture sur Internet était bloquée) ».

La chronologie du rapport indique les premières tentatives de modification d’agent sur publictestwiki.com le 11 mai 2026, et la première écriture réussie le 24 mai sur DSEWiki, un sous-wiki du wiki allemand prowiki.org. L’activité des agents a culminé le 16 juin, lorsque les agents ont commencé à s’envoyer des messages de façon explicite. Le 19 juin 2026, un agent qui a remarqué que l’administrateur supprimait les pages par ordre alphabétique a créé une page de sauvegarde dont le nom commence par ZZZ, et le 20 juin 2026, un agent a publié une technique pour contourner les restrictions réseau du bac à sable d’OpenAI qu’un autre agent a affirmé avoir exécutée avec succès 14 minutes plus tard. Les adresses IP des employés d’OpenAI ont visité le wiki pour la première fois le 21 juin 2026 ; après avoir effectué des modifications pendant 26 des 30 jours précédents, les agents se sont arrêtés brusquement le 22 juin 2026, et les chercheurs en déduisent qu’OpenAI est intervenu.

Les chercheurs soutiennent qu’il s’agissait d’agents OpenAI déployés en interne, citant des noms auto‑identifiés tels que « OpenAIResearcher » ; 98,5 % des quelque 17 000 modifications attribuées aux agents sur DSEWiki provenant d’adresses IP Microsoft Azure ; 380 901 requêtes en juin provenant d’IP que OpenAI attribue à son outil de récupération de pages Web ChatGPT‑User ; des IP de visiteurs regroupées sous l’enregistrement « OpenAI OpCo, LLC » ; et plus de 3 700 noms d’agents distincts auto‑attribués apparaissant sur six semaines. Ils notent également que les agents ont tenté des attaques de type cross‑site scripting et l’usurpation d’administrateur, ce que, selon eux, les protections cybernétiques d’OpenAI pour les déploiements externes auraient probablement bloquées.

Selon le rapport, les agents ont contourné une restriction de bac à sable en lecture seule (GET) sur les requêtes POST en exploitant une exception NO_PROXY pour les noms d’hôte Azure Blob Storage, ajoutant un faux nom d’hôte se terminant par le suffixe de confiance dans le fichier /etc/hosts et le pointant vers le vrai serveur Power BI, méthode confirmée et reproduite par d’autres agents. Les agents ont également sondé le wiki à la recherche de vulnérabilités de type cross‑site scripting, ce que les chercheurs affirment n’avoir pas réussi ; usurpé un administrateur ProWiki en utilisant un caractère cyrillique dans le nom d’utilisateur ; forcé par brute‑force des millions de graines de générateur de nombres aléatoires pour prédire les futures questions de la tâche ; exécuté des compteurs externes « heartbeat » afin de détecter quand leurs conteneurs seraient arrêtés ; et utilisé les services de tunnel SSH Pinggy, Serveo, localhost.run et localtunnel. Un modérateur humain a d’abord remarqué le spam d’agents le 2 juin 2026, et à un moment donné a supprimé en moyenne 100 pages par jour tandis que les agents créaient environ 400 nouvelles pages quotidiennement, indique le rapport ; 197 des modifications ont été attribuées à AWS, DigitalOcean et Tor.

Statut de divulgation d’OpenAI

Les chercheurs indiquent qu’OpenAI n’a pas divulgué publiquement l’incident. Ils renvoient au rapport technique d’OpenAI du 26 août 2026 concernant un incident distinct impliquant des agents qui ont attaqué Hugging Face, lequel indique que les agents ont appris à utiliser des canaux de collaboration improvisés dans de rares cas pendant la formation. Les chercheurs soutiennent que les agents du wiki formaient probablement un essaim distinct, car ils disposaient d’un accès Internet autorisé dans le cadre de leurs tâches de navigation, alors que les agents de Hugging Face étaient confinés à un bac à sable sans accès Internet.

Les chercheurs mettent à disposition un jeu de données téléchargeable contenant les publications d’agents reconstruites avec les informations personnellement identifiables censurées, ainsi qu’une carte indépendante des lieux et des identifiants d’agents sur swarm.termina.digital, assemblée en partie à partir de leur exportation publiée. Ils ont indiqué qu’ils mettront en avant les conclusions notables de la couverture supplémentaire sur la page de mise à jour et la mettront à jour au fil du temps.