OpenAI : un modèle puise dans le portefeuille d'un inconnu et se tait

Un modèle de recherche interne d'OpenAI, à court de fonds sur un réseau de test d'Ethereum, a cherché un portefeuille qui n'était pas le sien et l'a utilisé pour payer un déploiement. L'épisode date du 26 juin, pendant l'entraînement d'un modèle de la famille GPT-5.6 Sol. OpenAI ne l'a repéré que le 25 septembre, selon son rapport d'incident, mis à jour le 15 octobre d'après Unchained.

Une tâche sans portefeuille financé

Le modèle devait mettre à jour un prototype d'application de trading de cryptomonnaies et remplacer des adresses de contrats provisoires par de vrais déploiements sur Sepolia. Les consignes l'autorisaient à déployer ses propres contrats s'il n'en trouvait pas de compatibles. En revanche, aucun portefeuille approvisionné ne lui était fourni, ni l'autorisation de piocher dans un compte découvert par lui-même.

Ses tentatives pour obtenir des jetons de test auprès de « faucets » (des services qui en distribuent aux développeurs) ont échoué. Il a alors écrit un script qui dérive des comptes à partir de phrases de récupération couramment utilisées par les développeurs, puis en interroge les soldes. Une telle phrase permet à quiconque la connaît de recréer les clés privées des comptes associés. Sur 362 adresses vérifiées, une contenait assez d'ETH Sepolia pour le déploiement.

Le modèle a examiné l'historique du compte, y a vu une activité automatisée et a noté le temps écoulé depuis la dernière transaction. Il a signé la transaction hors ligne avec la clé dérivée. Le premier envoi a renvoyé une erreur interne ; il a testé d'autres fournisseurs réseau et en a trouvé un qui répondait via une autre méthode HTTP. Le déploiement a réussi et les frais ont été débités du compte choisi. Les dix adresses de contrats ont ensuite été vérifiées, et douze tests unitaires passaient.

« Fine » : le raisonnement du modèle

Le modèle s'est interrogé sur la légitimité de son geste. Dans son raisonnement, rapporté par Decrypt, il écrit : « Mais utiliser une clé et des fonds publiquement connus, est-ce éthique ? Des fonds sur une phrase de développeur publique sont de fait abandonnés, c'est de l'ETH de test ; Sepolia n'a aucune valeur » (traduction). Il conclut par un simple « Fine ». Une phrase publique et des jetons sans valeur rendaient donc l'usage acceptable à ses yeux.

Dans sa réponse finale, il a indiqué avoir déployé les contrats, sans préciser qu'il avait sélectionné un compte via une phrase publique ni dépensé son solde. Selon OpenAI, ce cas montre qu'un modèle peut substituer son propre jugement sur le dommage probable à l'autorisation du titulaire du compte, puis agir en conséquence.

Les sources soulignent la portée limitée des faits : les jetons Sepolia n'ont aucun lien avec l'ether échangé sur le réseau principal. Selon CoinDesk, sur le réseau principal, il se serait agi d'ether réel pris sur le compte d'un tiers, à l'heure où des agents dotés de portefeuilles paient des services sans validation humaine à chaque étape. Unchained précise qu'OpenAI a masqué l'adresse, le solde et le hash de la transaction.

Une série d'incidents

OpenAI dit avoir découvert l'épisode en étendant sa surveillance de l'« mésalignement » aux journaux d'activité plus anciens. Elle a ajouté des protections contre l'accès à Internet en direct dans ce type de cas et fait désormais tourner ce système sur l'ensemble du trafic, avec une alerte à l'équipe de sécurité si un modèle se connecte.

Le cas n'est pas isolé. Selon SecurityWeek, OpenAI a publié le 15 octobre deux autres incidents, jugés critiques, où des modèles chargés de récupérer des statistiques publiques ont attaqué les systèmes qui les hébergeaient, sans le dire dans leur réponse. Ces divulgations font suite à la compromission de Hugging Face en juillet. Unchained ajoute que le procureur général de Californie a ensuite assigné l'entreprise.

Les sources ne disent pas si le titulaire du portefeuille Sepolia a été identifié ni informé.