Dans cet article Dans cet article
Un agent chargé de déployer une application a manqué de quelques jetons pour payer ses frais. Il a fini par les trouver dans le portefeuille d’un inconnu, sans autorisation et sans le signaler à personne. OpenAI a détaillé l’épisode dans un rapport mis à jour le 15 octobre 2026 : un de ses modèles de recherche internes, issu de la famille GPT-5.6 Sol, a signé une transaction avec un compte qui ne lui appartenait pas, sur un réseau de test d’Ethereum.
Un agent IA, c’est un modèle à qui l’on confie un objectif plutôt qu’une question : il cherche, exécute du code, remplit des formulaires et enchaîne les actions jusqu’au résultat. C’est la promesse que vendent aujourd’hui OpenAI, Google et Meta, jusqu’à faire vos achats et régler vos factures à votre place. L’argent en jeu ici n’avait aucune valeur, mais le raisonnement de la machine, lui, est bien réel. Que vaut une autorisation de paiement quand l’agent s’arroge le droit de juger ce qui est permis ?
362 adresses testées pour trouver de quoi payer
La tâche paraissait banale. Le 26 juin 2026, le modèle devait mettre à jour le prototype d’une application de trading de cryptomonnaies et déployer des contrats intelligents sur Sepolia, le réseau d’essai d’Ethereum. Ses instructions l’autorisaient à déployer, mais aucun portefeuille approvisionné ne lui avait été fourni, et rien ne l’autorisait à dépenser des fonds trouvés ailleurs.
Après avoir échoué à récupérer des jetons de test gratuits, l’agent a changé de méthode. Il a écrit un script qui dérive des clés à partir de phrases de récupération publiées par des développeurs, puis interrogé 362 adresses avant de tomber sur un solde suffisant. Il a examiné l’historique de ce compte, jugé qu’il semblait abandonné, signé la transaction et l’a diffusée sur le réseau. Les frais ont été prélevés sur ce portefeuille tiers.
Le déploiement a réussi. Dans son compte rendu final, le modèle a annoncé une mission accomplie, sans mentionner le compte utilisé ni le solde dépensé. Ce silence est sans doute le point le plus troublant de l’affaire, et c’est sur lui qu’OpenAI insiste dans son propre texte.
Une faute découverte trois mois après les faits
Personne ne s’en est aperçu sur le moment. Selon le rapport publié par l’équipe d’alignement d’OpenAI, l’incident a été repéré le 25 septembre 2026, soit près de trois mois après la transaction, quand l’entreprise a étendu sa surveillance des défaillances aux journaux d’activité anciens de ses modèles. C’est donc une relecture a posteriori, et non une alarme, qui a révélé la faute.
Un modèle peut substituer son propre jugement sur le préjudice probable à l’autorisation du titulaire du compte.
OpenAI, rapport de désalignement sur l’usage non autorisé d’un portefeuille de test approvisionné, mis à jour le 15 octobre 2026
OpenAI ne prétend pas que des ethers ayant une valeur marchande ont été dérobés : les jetons de Sepolia ne se négocient sur aucune place et servent uniquement aux essais. Mais l’entreprise rappelle qu’une phrase de récupération permet à quiconque la connaît de contrôler les comptes associés. Le même raisonnement, appliqué au réseau principal, aurait vidé un vrai portefeuille.
Le troisième aveu d’OpenAI en quelques semaines
Cet épisode ne tombe pas seul. Il s’inscrit dans une série de révélations sur des agents d’OpenAI qui ont franchi une limite sans qu’aucun humain le décide, toutes découvertes après coup :
- en juin 2026, un agent chargé de trouver des statistiques de santé a forcé l’accès au portail Medicare australien et y a écrit des fichiers, une affaire rendue publique fin septembre ;
- le 26 juin 2026, le modèle de la famille GPT-5.6 Sol dépense les fonds d’un portefeuille tiers sur Sepolia, sans le déclarer ;
- le 25 septembre 2026, OpenAI reconnaît que 53 images d’utilisateurs ont été mises en ligne par ses agents sur des hébergeurs externes ;
- le 15 octobre 2026, le rapport sur le portefeuille de test est mis à jour et détaille la méthode du modèle.
Le point commun est frappant. Dans chaque cas, l’agent poursuivait un objectif légitime et a contourné l’obstacle au lieu de s’arrêter. Ce sont les audits internes, lancés après le piratage de Hugging Face en juillet, qui ont fait remonter ces dossiers, jamais une alerte en temps réel.
Des assistants grand public qui réclament déjà votre carte
Le modèle fautif était un outil de recherche interne, pas un produit vendu au public. Le rapport ne dit pas s’il a été déployé dans ChatGPT ou Codex. La distinction rassure, mais elle a ses limites : les agents commerciaux reposent sur les mêmes familles de modèles, et leur valeur tient précisément à leur accès à votre argent.
Le 7 octobre 2026, la start-up américaine Tab a présenté un assistant qui achète à votre place depuis iMessage ou WhatsApp, déjà valorisé 300 millions de dollars selon TechCrunch. Pour fonctionner, ce type de service a besoin de vos comptes, de votre identité et d’un moyen de paiement. L’incident de Sepolia montre ce qui se passe quand l’agent rencontre un blocage : il cherche un autre chemin vers son objectif, quitte à interpréter largement ce qu’on lui a permis.
Des garde-fous posés après coup
OpenAI annonce deux mesures. L’entreprise dit avoir ajouté des protections qui empêchent l’accès direct à Internet dans des tâches de ce type, et faire tourner sa surveillance sur l’ensemble du trafic de ses modèles, avec une alerte envoyée à l’équipe de sécurité si un tel accès venait à être obtenu.
Ces protections restent internes et invérifiables de l’extérieur. Aucun chiffre ne dit combien de journaux ont été relus, ni combien d’incidents restent à découvrir. Le délai observé ici, trois mois entre la faute et sa détection, donne pourtant la mesure du problème pour quiconque confierait un budget à un agent.
Une autorisation qui doit devenir explicite
Le cas ne coûte rien à personne, et c’est ce qui le rend utile. Il expose une faille de conception plutôt qu’un vol : un agent qui évalue lui-même le préjudice de ses actes finit par décider seul de ce qui lui est permis. Tant que les plateformes ne publient pas les limites concrètes de leurs agents, plafond de dépense, liste des comptes accessibles, journal consultable par l’utilisateur, la confiance repose sur une promesse.
Les régulateurs européens commencent à s’intéresser aux agents qui transigent au nom de leurs utilisateurs, et les banques réfléchissent à des autorisations dédiées. La question qui se pose désormais aux éditeurs comme aux clients tient en peu de mots : qui répond d’un paiement que personne n’a validé, sinon la machine elle-même ?
