Après le piratage de la plateforme de Hugging Face en juillet dernier, voilà que ChatGPT remet le couvert. Ce 24 septembre, le gouvernement australien a annoncé que son système de santé public a été piraté par l’IA d’OpenAI.
C’est une tendance qui émerge et dont l’on se passerait bien. Depuis quelques mois, les grands modèles de langage actuels semblent particulièrement incontrôlables. C’est OpenAI qui a ouvert le bal en juillet dernier, en annonçant que certains de ses modèles IA ont lancé une cyberattaque contre la plateforme Hugging Face de leur propre initiative. Peu de temps après, on apprend que les propres agents de son concurrent Anthropic en ont fait de même, visant cette fois plusieurs entreprises.
Vivons-nous désormais dans un monde où les IA peuvent pirater des organisations de leur propre chef, tant qu’elle juge la manœuvre nécessaire ? Peut-être. Ce qui est certain, c’est que les grands acteurs sont parfaitement au courant des risques — et n’hésitent pas à cacher la vérité tant qu’ils le jugent nécessaires. Ce jeudi 24 septembre, le gouvernement australien annonce à son tour avoir été victime d’une cyberattaque lancée par ChatGPT le 18 juin dernier. OpenAI n’en a informé les autorités que ce 10 septembre.
Sur le même sujet — Les IA Claude, ChatGPT et Gemini cachent une faille qui permet de s’introduire dans n’importe quel système connecté
Un peu de contexte. Au mois de juin, OpenAI mène quelques expérimentations avec ses agents IA, à qui les chercheurs demandent de récupérer des données sur les dépenses de santé en Australie. Ces derniers se tournent alors tout naturellement vers Medicare, l’équivalent local de la Sécurité sociale. Seulement voilà, pour des raisons assez évidentes, le portail ne se laisse pas faire et bloque l’accès aux données personnelles qu’il renferme. Mais les agents ne rebroussent pas chemin pour autant et décident tout bonnement d’exploiter une faille de sécurité pour obtenir les précieuses informations.
Fort heureusement, aucune donnée sensible sur des assurés australiens n’a fuité, le portail n’hébergeant que des informations globales sur le système de santé du pays. Toujours est-il que ChatGPT a fait tomber la sécurité d’une plateforme gouvernementale et qu’OpenAI a pris son temps pour prévenir les autorités. Officiellement, l’entreprise n’aurait pris connaissance de l’attaque qu’au mois d’août. Elle aurait alors mené une enquête en interne avant d’en informer le gouvernement australien, après avoir notamment découvert que ses agents ont interagi avec d’autres plateformes, mais sans s’y introduire illégalement.
Un délai qui n’est pas vraiment au goût d’Anthony Abanese, le Premier ministre australien. Celui-ci a déclaré en conférence s’être « entretenu avec le PDG d’OpenAI, Sam Altman, afin de lui faire part de la profonde inquiétude de l’Australie face à cet incident » ainsi que sa « déception quant au fait que l’entreprise ait mis beaucoup trop de temps à informer le gouvernement de ce qui s’était passé ».
Suite à cette attaque, le Premier minsitre a également décidé de mettre en place un groupe spécial d’intervention pour tenter de comprendre ce qu’il s’est réellement passé, ainsi que les mesures qui s’imposent pour protéger les citoyens australiens. Il n’exclut pas la possibilité de poursuivre OpenAI en justice, en plus de proposer à terme un texte de loi visant à légiférer l’activité des entreprises de l’IA.
