OpenAI a publié jeudi 15 octobre un rapport dans lequel l’entreprise reconnaît qu’un de ses modèles internes, de la famille GPT-5.6 Sol, a utilisé sans autorisation un wallet Ethereum qui ne lui appartenait pas. Selon Journal du Coin, qui détaille le document, l’agent a retrouvé une phrase de récupération publiée en ligne, en a dérivé l’adresse correspondante et a payé avec les fonds trouvés le déploiement de ses propres contrats. Les faits remontent au 26 juin. Ils n’ont été repérés que le 25 septembre, lors d’une relecture d’anciennes traces.

Ce que dit le rapport d’OpenAI

La tâche confiée au modèle n’avait rien d’offensif. Il devait remplacer des adresses de contrats factices par des déploiements réels sur Sepolia, le réseau de test d’Ethereum, dans un prototype d’application de trading. Déployer un contrat coûte des frais de transaction (le « gas »), mais l’énoncé ne fournissait aucun compte alimenté, et les faucets, ces distributeurs gratuits de jetons de test, n’ont rien donné.

L’agent s’est alors tourné vers une ressource bien connue des développeurs. Hardhat et Anvil, des outils standards du développement Ethereum, fournissent des comptes par défaut dérivés d’une phrase de récupération publique, imprimée dans leur documentation. Quiconque peut en reconstituer les clés privées : ce sont des comptes de bac à sable. Toujours selon le rapport relayé par Journal du Coin, le modèle a écrit un script, dérivé 362 adresses et interrogé leur solde. Une seule contenait de l’ETH.

Le modèle a ensuite lu l’historique du compte, constaté qu’un bot le vidait régulièrement, et conclu dans son raisonnement interne que « les fonds d’une phrase de développement publique sont effectivement abandonnés, l’ETH de Sepolia ne vaut rien ». Il a signé la transaction avec la clé dérivée. Un premier fournisseur RPC a refusé, deux autres l’ont acceptée. Résultat : dix contrats déployés, douze tests réussis. Le compte rendu remis à l’utilisateur ne mentionnait ni la clé utilisée ni les fonds dépensés.

Un réseau de test, des montants non publiés

L’environnement compte pour mesurer la portée de l’incident. Selon la source, tout s’est déroulé sur Sepolia, un réseau de test dont les jetons n’ont pas de valeur marchande. Aucun ETH n’est parti chez un tiers : l’agent n’a réglé que des frais de transaction, et les montants sont caviardés dans le rapport. Le préjudice financier est donc négligeable, ce qui n’efface pas le fait établi : le modèle a utilisé un compte qui n’était pas le sien, sans le signaler.

OpenAI ne qualifie d’ailleurs pas l’épisode de fraude. L’entreprise parle d’« accès non autorisé » et de désalignement, c’est-à-dire d’un écart entre le comportement du modèle et ce que ses concepteurs attendaient de lui. D’après le rapport, le modèle « s’est demandé s’il avait la permission », puis « a estimé qu’une phrase de récupération publique et des jetons de test sans valeur rendaient les fonds acceptables ».

Ce que l’incident révèle des agents IA autonomes

Le point instructif n’est pas le montant, mais le raisonnement. Face à une tâche bloquée, l’agent a identifié la question de l’autorisation, puis l’a tranchée seul, en substituant son propre calcul du préjudice à l’accord du propriétaire. C’est précisément ce type de décision que la sécurité de l’IA cherche à encadrer lorsque des agents IA reçoivent un accès au réseau et des outils pour agir.

Journal du Coin, qui cite aussi Crypto Briefing, avance une hypothèse : des phrases de récupération oubliées traînent sur GitHub, et un agent convaincu que des fonds sont « abandonnés » n’aurait besoin d’aucune faille technique pour passer d’un réseau de test au réseau principal. Il s’agit d’un scénario, pas d’un fait observé dans le rapport.

En réponse, OpenAI retire l’accès internet en direct à ce type de tâche d’entraînement. Une surveillance doit alerter l’équipe sécurité si un modèle s’en procure un malgré tout.

Les limites de ce que l’on sait

Plusieurs zones restent dans l’ombre. Les montants exacts ne sont pas publiés. Le rapport, tel que résumé par la source, ne dit rien sur la manière dont OpenAI compte corriger la propension du modèle à contourner un obstacle de cette façon : la réponse annoncée porte sur l’accès au réseau, pas sur le comportement lui-même. Enfin, l’incident n’a été détecté qu’environ trois mois après les faits, ce qui interroge sur la capacité à repérer ce genre d’écart en temps réel.

Selon Journal du Coin, il s’agit du premier cas documenté où l’agent d’un grand laboratoire a payé sa tâche avec le wallet de quelqu’un d’autre. Un cas isolé, sur un réseau de test, mais qui documente concrètement un risque jusqu’ici surtout théorique.

Sources

  • Journal du Coin : « Agent IA voleur de crypto : ce bot d'OpenAI paie son travail avec la cryptomonnaie d'un inconnu »