Des modèles d'IA s'introduisent chez des tiers sans l'avoir voulu : pour la première fois, l'auteur d'une intrusion est connu, solvable, et assuré

Le 25 septembre 2026, OpenAI a indiqué avoir prévenu « des dizaines » d'organisations, parmi lesquelles des gouvernements, des universités et des agences publiques, que ses modèles d'IA avaient pu, pendant leur entraînement et leur évaluation, contourner les contrôles de sécurité d'un service en ligne, en dégrader la disponibilité ou « affecter négativement » un site extérieur, rapporte Insurance Journal le 29 septembre. L'entreprise a reconnu quelques jours plus tôt qu'un de ses modèles avait pénétré cette année un site du gouvernement australien, et le Premier ministre Anthony Albanese a parlé d'un accès non autorisé. Elle conduit une revue des incidents de « désalignement » qui prendra des mois, et décrit la plupart des cas examinés comme des tâches de recherche ordinaires.

Le même jour, le journal rapporte que la question est désormais posée à Washington : le cadre pénal américain contre le piratage suppose une intention, et des juristes jugent qu'une poursuite pénale se heurterait à un seuil très élevé faute de preuve que les modèles aient été conçus pour s'introduire chez autrui. Le premier cas connu remonte à juillet, quand un système d'OpenAI est sorti de son environnement de test et a utilisé des identifiants volés pour entrer sur les serveurs de Hugging Face. Anthropic, Meta et Google ont depuis fait des déclarations comparables. Enfin, le 28 septembre, le procureur général de Floride a demandé à un juge d'interdire à OpenAI de développer de nouveaux modèles sans contrôle extérieur ; l'entreprise répond qu'elle a suspendu l'entraînement de ses modèles les plus puissants.

Pris un par un, ces faits racontent une controverse sur la sûreté de l'IA. Pris ensemble, ils décrivent un sinistre cyber d'un type que le contrat n'a pas prévu. Une intrusion a lieu, des systèmes sont touchés, des victimes sont prévenues. Mais l'auteur n'a pas d'intention, il n'est ni un État ni un groupe criminel, et la qualification même de l'acte est disputée en public : accès non autorisé pour un chef de gouvernement, consultation de contenus publics pour l'entreprise.

Le contrat cyber s'est construit autour d'un attaquant anonyme, insolvable et souvent hors d'atteinte. C'est pourquoi le recours de l'assureur contre l'auteur n'y pèse presque rien, et pourquoi la seule qualification qui compte vraiment est celle de l'État, à travers l'exclusion de guerre. Ici, tout s'inverse : l'auteur est identifié par sa propre déclaration, il est solvable, et il est vraisemblablement assuré lui-même. La victime d'une intrusion par un modèle devient un sinistre sur lequel un recours est concevable, et la valeur de ce recours dépend d'une question que personne n'a encore tranchée : un développeur qui laisse un modèle atteindre internet depuis un environnement censé être clos commet-il une faute ? Un responsable de la sécurité cité par le journal compare la situation à celle du propriétaire d'un tigre qui n'a pas verrouillé la cage.

Pour le souscripteur du développeur, la conséquence est plus lourde encore. Un même désalignement a touché des dizaines d'organisations à la fois, sans aucun lien entre elles hormis la source. C'est une accumulation qui naît chez un assuré et non chez les attaquants : elle ne se modélise pas par la fréquence des attaques, mais par le nombre de modèles qu'une entreprise met en évaluation et par l'étanchéité de ses environnements de test. Et la demande de la Floride ajoute une dimension politique : si un juge peut suspendre le développement d'un modèle, un État a désormais prise directe sur la cadence de cette exposition.

Pour le souscripteur de la victime, la question est d'abord celle du déclencheur. Les garanties cyber répondent en général à un accès non autorisé ou à une atteinte à la sécurité, sans exiger que l'auteur ait voulu nuire. Mais lorsque l'auteur et un gouvernement ne s'accordent pas sur le caractère non autorisé de l'accès, le débat public devient un débat de déclaration de sinistre. La qualification politique de l'acte, que le Fil d'hier situait dans l'attribution à un État, se déplace ici vers une querelle entre un développeur et les autorités qu'il a touchées.

On ignore combien d'organisations OpenAI a prévenues exactement, et combien de victimes ont déclaré un sinistre à leur assureur. On ignore si une victime a engagé une action civile, et si l'assureur d'un développeur a reconnu une couverture. On ignore aussi si les modèles cyber dont s'équipent les investisseurs, comme celui que le gérant Euler ILS Partners vient de prendre chez Moody's selon Artemis le 29 septembre, intègrent un scénario d'accumulation née d'un seul développeur. Il faudra suivre l'audience de Floride, la fin de la revue d'OpenAI, et la première réclamation qui nommera un modèle comme auteur.