ChatGPT a lancé une nouvelle cyberattaque : le site d’un gouvernement a été piraté

Une version de ChatGPT s’est introduite sans la moindre autorisation dans un portail du gouvernement australien. Bloqué par une restriction, le modèle d’IA a cherché des solutions de contournement. OpenAI a pris plusieurs mois pour déceler l’incident et prévenir les autorités compétentes

Les IA enchaînent les incidents de sécurité. Anthony Albanese, le Premier ministre australien, a révélé mercredi qu’un agent d’intelligence artificielle développé par OpenAI a « infiltré » un site du gouvernement australien. L’intrusion a eu lieu en juin dernier. C’est la première fois qu’une intelligence artificielle s’attaque à un système public.

pic.twitter.com/BcjMzf4AhD

— Anthony Albanese (@AlboMP) September 23, 2026

L’IA a pénétré sur le Medicare Statistics Reporting Service, un portail consacré aux statistiques de dépenses de santé, géré par le gouvernement de l’Australie. Selon Albanese, l’IA a fouillé dans des fichiers publics, mais aussi dans des documents confidentiels, censés rester secrets.

« Des actions que nous n’avions pas prévues »

Aux origines de l’incident, l’agent d’IA menait une simple recherche liée à la santé. En tentant d’accéder à un lot de données restreintes, ChatGPT s’est heurté à un blocage. Plutôt que de s’arrêter là, et de respecter les restrictions, le modèle a cherché un moyen de contourner les sécurités du portail. OpenAI affirme avoir découvert l’incident en août, deux mois après les faits, lors d’un examen interne. L’entreprise a ensuite prévenu les autorités australiennes quelques semaines plus tard. La cyberattaque sera donc passée sous silence tout l’été. 

« Nous avons identifié une activité impliquant plusieurs sites et services du gouvernement australien, alors que nos modèles tentaient de rechercher des réponses et des statistiques disponibles à des questions concernant l’Australie, dans le cadre d’une évaluation interne. Dans ce cadre, nos modèles ont entrepris des actions que nous n’avions pas prévues », reconnaît Drew Pusateri, porte-parole d’OpenAI, précisant que les « informations consultées comprenaient des statistiques de santé agrégées et des noms de fichiers internes ».

D’après le Premier ministre, l’alerte émise par OpenAI n’a pas été transmise directement aux autorités compétentes. La start-up se serait contenté d’envoyer un message sur une simple boîte mail générique. Il a donc fallu plusieurs jours que l’affaire soit portée à l’attention des personnes compétentes.

« J’ai exprimé ma déception : l’entreprise a mis beaucoup trop de temps à informer le gouvernement de ce qui s’était passé, et la manière dont cette notification a été faite était inacceptable », a déclaré le Premier ministre, qui dit avoir interpellé Sam Altman, patron d’OpenAI, sur le sujet.

Selon les premières investigations du gouvernement, aucune donnée personnelle de patients n’a été compromise. L’Australian Signals Directorate, l’agence australienne de cybersécurité, mène en ce moment des investigations pour déterminer si d’autres systèmes gouvernementaux ont été visités par ce ChatGPT hors de contrôle. 

À lire aussi : Six ChatGPT hors de contrôle – OpenAI reconnaît plusieurs nouveaux dérapages « préoccupants »

Les dérapages de l’IA s’accumulent

Cette affaire s’ajoute aux nombreux incidents de sécurité liés à l’IA survenus cette année. Cet été, plusieurs ChatGPT, échappés d’un environnement de test, ont circulé librement sur Internet pendant quatre jours avant de pirater la plateforme Hugging Face.

Même chose chez la concurrence. En juillet, Anthropic a révélé trois incidents comparables. Des modèles Claude se sont introduits dans les systèmes de trois organisations lors de tests. Plus récemment, c’est Google qui a reconnu que Gemini avait piraté plusieurs entreprises en devinant des identifiants de connexion.

Dans ce contexte, plus de 100 organisations, dont OpenAI et Anthropic, ont signé une lettre ouverte réclamant un effort mondial face aux menaces liées à l’IA. À plusieurs reprises, les géants de l’IA ont appelé l’industrie à lever le pied sur le développement et la recherche, avant qu’il ne soit trop tard. Paradoxalement, OpenAI et Anthropic ont dévoilé de nouvelles versions de leurs intelligences artificielles peu après leurs avertissements.