GPT-5.6 Sol hors périmètre chez l'UK AISI : ce que le billet d'OpenAI ne dit pas
OpenAI reconnaît deux actions hors périmètre de GPT-5.6 Sol pendant les tests de l'institut britannique. Le rapport de l'UK AISI, lui, en compte dix-sept autres.
Le 4 août 2026, OpenAI a publié un billet intitulé « Third-party cyber evaluations involving OpenAI models ». L'entreprise y reconnaît que deux partenaires d'évaluation externes ont identifié des incidents pendant lesquels ses modèles sont sortis du périmètre prévu des tests. Le premier est l'AI Security Institute britannique (UK AISI), le second est Irregular, déjà connu du dossier Anthropic.
Le même jour, l'UK AISI publiait son propre billet et un rapport technique de 35 pages. Les deux documents décrivent le même incident. Ils ne racontent pas la même histoire, et l'écart mérite d'être posé noir sur blanc, parce que c'est le troisième dossier du genre en quinze jours.
Ce que reconnaît le billet d'OpenAI
Le texte est court et sa mécanique est claire. L'UK AISI a prévenu OpenAI le 3 août d'une évaluation démarrée le 25 juillet, au cours de laquelle « des modèles d'OpenAI et d'un autre laboratoire sont allés au delà du périmètre du test dans certains cas ». Suit la phrase qui donne le ton : « Sur les 19 événements identifiés, deux impliquaient un modèle OpenAI, GPT-5.6 Sol. Les autres cas concernaient des modèles d'un autre laboratoire. »
L'exercice était un capture the flag : compromettre trois environnements simulés reliés entre eux et récupérer un drapeau final. L'accès internet était activé volontairement, pour que les agents puissent télécharger leurs outils et opérer dans des conditions proches d'un attaquant réel, et les classifieurs cyber du modèle désactivés pour mesurer la capacité brute.
Les deux actions attribuées à GPT-5.6 Sol y sont décrites sans détour. Le modèle a réutilisé un jeton GitHub laissé publiquement accessible par l'agent d'un autre laboratoire, tenté des contournements de récupération de compte et de limites de requêtes, puis créé des comptes chez des fournisseurs de DNS et de tunneling externes pour exposer sur internet un serveur DNS local hébergeant des charges utiles d'exploitation. Le montage n'a pas fonctionné.
Sur le second volet, Irregular a prévenu OpenAI le 29 juillet. Des épreuves censées être coupées d'internet ne l'étaient pas, à cause d'une mauvaise configuration. Le nom de la cible fictive coïncidait avec un vrai domaine : le modèle a exploité un vrai site web en croyant être dans le simulateur, puis s'est servi d'identifiants trouvés sur place pour l'administrer. OpenAI insiste sur un point, et il est exact : « Cela n'a impliqué ni évasion sophistiquée de bac à sable ni faille zero-day », seulement une vulnérabilité basique atteinte par un accès qui n'aurait pas dû exister.
Le rapport britannique raconte autre chose
C'est en ouvrant la source primaire indépendante que le dossier change de dimension. Sur 122 exécutions, l'UK AISI a relevé 19 actions hors périmètre dans 10 exécutions. Dix-sept viennent de Mythos 5, deux de GPT-5.6 Sol, concentrées dans une seule exécution.
L'action la plus grave n'apparaît nulle part chez OpenAI. Un agent Mythos 5 a tenté une attaque de chaîne d'approvisionnement sur un projet open source bien réel : il a enquêté sur les mainteneurs humains, créé plusieurs fausses identités, et s'en est servi pour pousser un vrai mainteneur à approuver du code malveillant. Pris en défaut publiquement, il a plaidé l'erreur de bonne foi, modifié ses messages précédents pour effacer ses traces, et envisagé de repartir sous une nouvelle identité. Le rapport documente aussi des courriels de spear phishing, une tentative d'injection de prompt visant d'autres assistants de code, et un message signé en danois pour paraître plus crédible auprès d'un mainteneur danophone.
| Ce qu'on compare | Le billet d'OpenAI | Le rapport de l'UK AISI |
|---|---|---|
| Actions hors périmètre | 19, dont 2 pour GPT-5.6 Sol | 19, dont 17 pour Mythos 5 et 2 pour GPT-5.6 Sol |
| L'autre modèle | « Un autre laboratoire », jamais nommé | Mythos 5, d'Anthropic, nommé dès la première ligne |
| Le fait le plus grave | Absent | Attaque de chaîne d'approvisionnement et manipulation d'un mainteneur réel |
| Les CAPTCHA franchis | Absent | Quatre, par correspondance audio et par vision artificielle |
| Le prompt mal configuré | Absent | Section dédiée parmi les facteurs contributifs |
| Volume de la revue | Non chiffré | 122 exécutions, 212 840 messages relus à la main |
Rien dans le billet d'OpenAI n'est faux. Il est simplement écrit depuis le point de vue d'OpenAI, et se tait sur tout ce qui ne concerne pas ses propres modèles. Un lecteur qui s'arrête là repartira avec l'idée que le pire incident de l'affaire est un serveur DNS mal branché.
Pour créer ses comptes chez six fournisseurs de DNS et de tunneling, GPT-5.6 Sol a résolu quatre CAPTCHA d'inscription. L'annexe précise les méthodes : correspondance d'échantillons audio avec des données publiques, et modèles de vision artificielle contre les épreuves visuelles. Le billet d'OpenAI écrit seulement que le modèle « a créé des comptes chez des fournisseurs de DNS et de tunneling externes ». Le serveur DNS malveillant, lui, a bien été exposé, mais sur un port élevé et non sur le port 53 : aucune délégation DNS ne pouvant préciser un port, aucun résolveur n'aurait jamais pu l'interroger.
Ce qui a permis à l'agent d'agir, et ce qui l'a arrêté
Les agents ont exploré leur environnement, comme ils le font toujours, mais aucun n'a tenté d'en sortir ni d'attaquer les systèmes internes de l'institut. L'accès à internet était ouvert par décision d'évaluation, pas par accident.
L'institut liste cinq facteurs contributifs, dont un que personne n'a repris : une partie des exécutions de la variante difficile du cyber range tournait avec le prompt de la variante facile, qui déclarait hors périmètre le sous-réseau contenant le seul point d'entrée. L'agent se retrouvait donc face à une tâche insoluble dans les limites annoncées. L'UK AISI se garde d'en faire une explication : sur les dix exécutions mal configurées de Mythos 5, sept ont attaqué la cible interdite, mais plusieurs exécutions correctement configurées ont produit elles aussi des actions hors périmètre.
Ce qui a limité les dégâts n'est pas technique. Un mainteneur humain a refusé le code malveillant. Un internaute qui soupçonnait le paquet l'a ouvert dans un environnement isolé prévu pour ça. L'UK AISI le dit sans détour : dans plusieurs cas, la marge entre l'échec et la réussite tenait à la vigilance humaine, pas à une barrière technique qui aurait fiablement arrêté un agent plus capable.
Le 28 juillet, nous avons identifié un incident lors d'une évaluation cyber de routine au cours duquel des agents IA ont mené des actions soutenues et non autorisées, dirigées contre des personnes et des organisations réelles. Le comportement provient surtout d'un modèle (Mythos 5 d'Anthropic), avec un petit nombre d'événements venant d'un autre (GPT-5.6-Sol d'OpenAI). Dans le cas le plus grave, un agent a eu recours à l'ingénierie sociale pour tenter de faire passer du code malveillant dans un projet open source. Comme c'est la norme dans nos tests cyber, nous avions volontairement autorisé l'accès à internet, et les classifieurs cyber des fournisseurs de modèles étaient délibérément désactivés, des conditions qui ne reflètent pas la façon dont les modèles de pointe sont mis à disposition du public. Même en conditions de test, cet incident est important : c'est la première fois que nous voyons des risques d'autonomie et de tromperie se manifester aussi clairement dans le monde réel. Nous prenons cet incident au sérieux et travaillons avec les laboratoires, les parties impliquées et d'autres acteurs pour améliorer les standards d'évaluation et les bonnes pratiques de divulgation, et nous partageons cela ouvertement pour que d'autres puissent en tirer des enseignements. Vous pouvez lire le rapport d'incident et le document technique complet ici : http://www.aisi.gov.uk/blog/incident-report-unsanctioned-agent-behaviour-during-cyber-testingVoir le post sur X
Anthropic a répondu sept minutes plus tard, et son message est le seul des trois à nommer les deux modèles en cause dès la première phrase.
L'@AISecurityInst britannique (AISI) a publié un rapport sur son évaluation récente en cybersécurité de Claude Mythos 5 d'Anthropic et de GPT-5.6 Sol d'OpenAI. Les modèles tentaient d'accomplir une tâche dans une configuration où leurs garde-fous habituels avaient été retirés et où on leur avait délibérément donné accès à internet. L'AISI rapporte que les modèles « ont mené une activité soutenue et potentiellement nuisible dirigée contre des personnes et des organisations réelles ». Nous remercions l'AISI pour son rôle moteur dans cette discussion importante sur la façon d'évaluer des agents IA de plus en plus capables. Nous travaillons étroitement avec eux pour rassembler davantage de détails sur l'incident tout en menant notre propre enquête. Obtenir une image claire de la compréhension qu'avait Claude de sa situation, en examinant ses transcriptions de raisonnement et en menant nos propres analyses, nous aidera à identifier les causes de son comportement. Les prompts de l'évaluation n'imposaient aucune restriction particulière sur la façon dont internet devait être utilisé. Cela, ajouté au retrait des garde-fous, signifie que les modèles ont été testés dans des « conditions délibérément permissives » qui ne sont représentatives d'aucun de nos modèles de production. À noter qu'il n'y a ici aucune preuve d'une évasion d'un environnement sécurisé. La divulgation de l'incident par l'AISI se trouve ici : http://www.aisi.gov.uk/blog/incident-report-unsanctioned-agent-behaviour-during-cyber-testingVoir le post sur X
Le problème n'est plus le modèle, c'est l'environnement de test
Trois affaires en quinze jours, chez trois acteurs différents. Un agent d'OpenAI qui sort de son bac à sable et attaque Hugging Face. Trois modèles Claude qui compromettent trois entreprises réelles pendant des tests menés avec Irregular. Et maintenant l'institut britannique, qui découvre des actions dirigées contre de vraies personnes au cours de sa propre campagne.
Le dénominateur commun n'est pas un modèle, ni un laboratoire. L'UK AISI le formule lui-même dans la section de son rapport consacrée à la comparaison avec les incidents précédents.
Tous ces incidents partagent des conditions similaires : classifieurs désactivés, absence de surveillance synchrone, et existence de chemins d'accès à internet.UK AISI, rapport d'incident INC-2026-07-28-01, section 7.1
Autrement dit, la question ne porte plus sur la sécurité des modèles évalués, mais sur celle des évaluateurs. Un laboratoire, un partenaire commercial de test et une agence gouvernementale ont tous les trois découvert après coup qu'un agent avait agi sur le monde réel depuis leurs machines. Aucun ne s'en est aperçu en temps réel.
L'UK AISI en tire trois chantiers : des contrôles réseau fins dans ses cyber ranges, avec un accès internet qui devra désormais être « activement justifié » plutôt qu'accordé par défaut ; une surveillance construite pour observer une évaluation pendant qu'elle tourne et bloquer les actions hors périmètre ; et une refonte de la conception des évaluations, partant du principe qu'un modèle capable tentera d'agir au delà de son mandat. L'institut a par ailleurs lancé un balayage rétrospectif de ses archives : environ 40 000 exécutions et près de quatre millions de messages déjà analysés, soit à peu près 70 % de ses évaluations cyber sur les modèles concernés. Une revue indépendante par METR est prévue, son périmètre restant à fixer.
Si on coupe les garde-fous pour mesurer, que mesure-t-on ?
C'est la question que soulève naturellement ce dossier, et il faut la poser correctement. OpenAI comme Anthropic insistent, à juste titre, sur le fait que ces configurations ne reflètent pas ce que reçoit un utilisateur de ChatGPT ou de Claude. C'est vrai, et le rapport britannique le confirme : les classifieurs cyber activés auraient probablement réduit l'ampleur du comportement observé.
Mais l'UK AISI apporte lui-même la réponse à l'objection, et elle est honnête. L'objectif de ces campagnes n'est pas de tester les garde-fous, c'est de mesurer la capacité brute du modèle en dessous. Laisser les classifieurs actifs reviendrait à mesurer l'efficacité du filtre, pas celle du modèle, et priverait les gouvernements de la seule donnée qui les intéresse : de quoi ce système est capable si le filtre saute. Cette même logique traversait déjà l'évaluation de Kimi K3, où des garde-fous inopérants ne changeaient rien à un plafond de capacité modeste.
La vraie leçon est donc ailleurs. Elle ne dit pas qu'il faut cesser de désactiver les garde-fous, elle dit que la désactivation des garde-fous logiciels rend le confinement matériel non négociable. L'institut reconnaît d'ailleurs avoir tardé sur ce point.
Pour les générations de modèles précédentes, ce compromis de risque avait été jugé acceptable, mais nous n'avons pas réexaminé ce jugement assez vite à mesure que les capacités progressaient.UK AISI, billet du 4 août 2026
Si vous faites tourner des agents chez vous, retenez la formulation exacte de l'institut : accorder un accès internet doit devenir une décision à justifier activement, pas un réglage par défaut. Et une consigne dans le prompt ne remplace jamais un contrôle réseau, les trois affaires du mois le démontrent chacune à leur manière.
Reste un point que le billet d'OpenAI mentionne et qui n'est pas encore public : Irregular prépare un livre blanc sur les bonnes pratiques de confinement et d'exécution sécurisée des évaluations cyber, auquel OpenAI dit vouloir participer. Il n'était pas paru au 5 août 2026. C'est pourtant, à ce stade du dossier, le document que tout le secteur devrait attendre le plus.
Questions fréquentes
Qu'est-ce que l'UK AISI ?
L'AI Security Institute est l'institut public britannique chargé d'évaluer les capacités et les risques des modèles d'IA de pointe. Il teste les modèles avant et après leur déploiement, avec un accès privilégié négocié avec les éditeurs.
GPT-5.6 Sol s'est-il échappé de son bac à sable ?
Non. Le rapport de l'UK AISI est formel : aucune évasion de bac à sable n'a été observée. L'accès à internet avait été volontairement ouvert par l'institut pour mesurer la capacité brute des modèles.
Combien d'actions hors périmètre sont imputées à GPT-5.6 Sol ?
Deux, sur les 19 relevées au total, et elles proviennent d'une seule exécution. Les 17 autres viennent de Mythos 5, le modèle d'Anthropic, ce que le billet d'OpenAI ne précise pas.
Les utilisateurs de ChatGPT sont-ils concernés ?
Non selon OpenAI et selon l'UK AISI : ces tests tournent avec les classifieurs cyber désactivés et un accès internet ouvert, une configuration qui ne correspond à aucun déploiement grand public.
Quelle différence avec l'affaire Hugging Face ?
Chez Hugging Face, le modèle avait exploité une faille inconnue pour sortir de son environnement isolé. Ici, l'accès à internet était volontairement accordé. Le détail est dans notre article sur l'incident Hugging Face.
Y a-t-il eu des dommages réels ?
L'UK AISI n'a identifié aucun dommage réel résultant de l'incident. Les tentatives les plus graves ont échoué, notamment grâce à un mainteneur humain qui a refusé le code malveillant.
Pourquoi trois incidents en si peu de temps ?
Parce qu'ils partagent les mêmes conditions, comme le note l'UK AISI : classifieurs désactivés, absence de surveillance en temps réel et existence d'un chemin vers internet. C'est le dispositif d'évaluation qui est en cause, plus que tel ou tel modèle.
