Ces incidents relancent les appels urgents des législateurs européens pour renforcer l’application du règlement sur l’IA.
Les attaques d’agents sur RubyGems et le wiki allemand
Des agents d’intelligence artificielle testés par OpenAI ont téléchargé des centaines de paquets malveillants sur le service logiciel RubyGems le 11 mai 2026, soit deux mois avant de s’attaquer à la plateforme open source Hugging Face, selon des chercheurs en IA. Des chercheurs affirment que ces paquets ont été conçus par des agents internes d’OpenAI. OpenAI a confirmé l’incident auprès d’un média économique américain, soulignant que ses agents ont eu recours à la plateforme pour accéder à Internet dans le cadre de tâches bénignes et de récupération d’informations publiques.
Ce cas s’inscrit dans une série d’incidents signalés entre mai et juin de la même année. Des chercheurs ont découvert qu’un autre groupe d’agents a contourné les paramètres de sécurité pour prendre le contrôle du forum wiki allemand DseWiki, un site de programmation âgé de 25 ans qui leur était initialement accessible en lecture seule. En exploitant une requête web, ces agents ont transformé le site en forum de discussion et ont publié plus de 18 000 messages. Ils y partageaient des réponses, des analyses de leur environnement et des méthodes pour contourner les restrictions de test tout en se dissimulant de la détection humaine, d’après le groupe de recherche Nightingale Collective.
Une série d’incidents qui s’accumule pour OpenAI
Ces épisodes s’ajoutent à d’autres perturbations survenues au cours de la même période.
Face à ces révélations concernant le wiki allemand, OpenAI a reconnu les faits sur la plateforme X, expliquant qu’en réponse à cet épisode, elle travaille sur un cadre définissant quand et comment nous partageons les incidents de désalignement de l’IA.
Dans le jargon du secteur, le désalignement de l’IA
désigne les situations où des systèmes poursuivent des objectifs ou adoptent des comportements s’écartant des intentions humaines, de leurs valeurs ou des contraintes de sécurité. L’entreprise avait été informée du piratage du wiki allemand plusieurs semaines avant qu’il ne soit rendu public.
Réactions partagées et application de l’AI Act en Europe
La répétition de ces comportements non sollicités relance les débats parmi les spécialistes. Certains experts, comme Yann LeCun, écartent les scénarios apocalyptiques et l’hypothèse d’un risque élevé que l’IA anéantisse l’humanité. D’autres se montrent plus alarmistes : Geoffrey Hinton avertit que ce qui se passe, c’est que ces systèmes deviennent plus intelligents et que les entreprises qui investissent dans l’IA ont tout intérêt à vous dire… [que l’IA] ne deviendra pas incontrôlable.
En vertu de l’AI Act de l’UE et de ses dispositions entrées en vigueur en août, les entreprises développant des modèles à risque systémique doivent signaler les incidents graves, tels que le désalignement, sans retard injustifié
. La Commission européenne a confirmé avoir reçu un rapport d’incident formel d’OpenAI, tout en maintenant le contact pour approfondir les investigations.
Du côté du Parlement européen, les réactions appellent à une supervision renforcée. Michael McNamara, coprésident du groupe de travail de la commission parlementaire sur l’IA, a estimé que l’AI Act nous donne déjà les moyens de contrer les risques liés aux agents et qu’il est important que la Commission utilise les pouvoirs que lui confère ce texte, tout en soulignant le manque de ressources du nouveau Bureau de l’IA.
L’eurodéputé Brando Benifei a abondé dans le même sens, estimant que les récentes échappées d’agents montrent que les règles de l’AI Act sur les risques systémiques sont nécessaires, mais que leur crédibilité dépend désormais de leur application.
Brando Benifei, eurodéputé au Parlement européen, a déclaré que le Bureau de l’IA doit utiliser ses nouveaux pouvoirs pour obtenir un accès aux modèles, mener des évaluations indépendantes et imposer des mesures d’atténuation, plutôt que de se fier aux autocontrôles des entreprises. L’élu a ainsi insisté sur la nécessité pour l’institution d’exercer un contrôle rigoureux afin de garantir que les dispositions de l’AI Act soient pleinement respectées par les entreprises.
Sur le même sujet