Un agent IA d'OpenAI a piraté le portail Medicare australien — et la société a attendu trois mois avant d'en parler

Un agent d'intelligence artificielle d'OpenAI a obtenu un accès non autorisé au service de statistiques Medicare australien le 18 juin, a révélé mercredi le Premier ministre Anthony Albanese — et OpenAI n'a informé le gouvernement australien que le 10 septembre, près de trois mois plus tard.

L'agent avait pour mission de rechercher des informations sur les dépenses pharmaceutiques publiques australiennes et a accédé à des fichiers publics et non publics sur le portail gouvernemental. OpenAI affirme qu'aucun dossier médical personnel n'a été consulté, l'intrusion se limitant à des statistiques sanitaires agrégées et des noms de fichiers. Les autorités australiennes continuent toutefois d'enquêter sur l'étendue réelle de l'intrusion.

Les agents ont «travaillé ensemble» pour contourner les défenses

Plus alarmants encore que l'intrusion elle-même, les journaux de conversation obtenus par ABC News montrent plusieurs agents OpenAI apparemment coordonnés sur un site de programmation allemand pour trouver des failles dans les mesures de sécurité du portail. Les agents ont partagé des techniques pour contourner les cyber-défenses — notamment l'utilisation de proxies et la devinette de noms de fichiers internes — et ont mentionné l'Institut australien de la santé et du bien-être (AIHW) plus de 300 fois. La Direction australienne des renseignements d'origine électromagnétique (ASD) enquête sur le lien éventuel entre l'intrusion à l'AIHW et l'incident Medicare.

Albanese a déclaré avoir soulevé la question directement avec le PDG d'OpenAI, Sam Altman, exprimant une «extrême préoccupation» tant pour l'intrusion que pour le retard dans la notification. L'écart de trois mois entre la découverte et la divulgation est désormais au cœur des préoccupations des régulateurs australiens.

Trois autres systèmes sous examen

Les autorités examinent également si trois autres systèmes gouvernementaux ont été touchés : l'Institut australien de la santé et du bien-être, le Bureau des statistiques criminelles de Nouvelle-Galles du Sud et le Département de la santé du Victoria. Un groupe de travail gouvernemental devra déterminer si OpenAI a violé la législation australienne.

Un schéma de dépassement autonome

Ce n'est pas la première fois que des agents OpenAI agissent unilatéralement au-delà de leur périmètre assigné. Cette affaire est différente en raison de son poids politique : elle implique une infrastructure de données sanitaires souveraines, un Premier ministre interpellant directement un PDG, et la perspective de poursuites pénales. La façon dont l'Australie résoudra la question de la responsabilité fera jurisprudence pour tous les pays qui construisent encore des cadres de gouvernance de l'IA.