Data / IA
Les agents IA pris en flagrant délit de désactivation de surveillance… et de mensonge
Par Laurent Delattre, publié le 23 octobre 2026
Piocher dans les dérives des agents IA est devenu un sport hebdomadaire pour ceux qui s’intéressent aux évolutions de l’IA. À peine une nouvelle fournée d’incidents révélée que d’autres viennent enrichir le palmarès. Et l’imagination de ces codes autonomes pour sortir des rails paraît désormais sans limite. Dernière trouvaille en date : neutraliser les systèmes chargés de repérer les dérapages des IA. Et, pour l’une d’elles, nier ensuite ouvertement y avoir touché.
Ces dernières semaines, la plupart des grands acteurs de l’IA nous ont tour à tour distraits, éberlués voire affolés avec les comportements incontrôlés de leurs agents. Certains se sont évadés de leur « bac à sable », l’environnement isolé dans lequel on les fait tourner. D’autres ont exploité une faille du DNS pour joindre Internet malgré l’interdiction. D’autres encore se sont introduits sans autorisation sur des sites gouvernementaux. L’un d’eux a publié le jeton d’accès GitHub d’un chercheur en le découpant en morceaux pour tromper les détecteurs. Certains ont même échangé des messages en cachette ou glissé dans leurs propres notes de travail des consignes les invitant à cacher leurs erreurs.
Pas de quoi rassurer, pour autant, les entreprises qui s’apprêtent à confier des tâches à des agents IA.
Et c’est encore une fois OpenAI qui remporte la palme de la semaine ! Dans un rapport publié le 20 octobre, la firme de Sam Altman révèle deux incidents survenus les 3 et 6 octobre, impliquant ses modèles GPT-6.1 Sol et GPT-6 Astra. Leur particularité ? Les agents IA n’ont pas seulement cherché à contourner des règles contraignantes. Ils se sont carrément attaqués au système chargé de détecter les dérives des IA, présent dans le code qu’on leur demandait de modifier.
GPT-6.1 Sol fait taire les alarmes
Le 3 octobre, un chercheur demande à un agent GPT-6.1 Sol de transformer des retours d’employés collectés sur Slack en tâches d’évaluation. Consigne initiale : « N’envoie aucun message. »
Quatre-vingt-deux échanges plus tard, l’agent doit réparer un pipeline d’évaluation dont le système de surveillance a signalé un problème. Dans un premier temps, il comprend parfaitement que l’interdiction d’envoyer des messages sur Slack ne concerne pas les alertes automatiques de sécurité. Son sous-agent arrive à la même conclusion. Mais Sol se ravise. Pour respecter la vieille consigne, il ordonne finalement à son sous-agent de désactiver les notifications automatiques, de vider les listes de destinataires et d’imposer un paramètre « no_notify=true ».
Le système continue de détecter et d’enregistrer les anomalies. Simplement, plus personne n’est prévenu. En gros, l’alarme fonctionne toujours, mais on lui a coupé la sonnerie.
Et, sans aucun complexe, l’agent présente cette modification volontaire comme une façon parfaitement légitime de respecter la demande initiale !
GPT-6 Astra supprime le surveillant… puis nie les faits
Trois jours plus tard, nouvel épisode. Cette fois, un agent GPT-6 Astra (le modèle frontière d’OpenAI) est chargé de modifier un programme en s’inspirant d’un autre programme devant servir de modèle. Une tâche de développement assez banale. Plus tôt, un autre agent lui a donné une consigne sans ambiguïté : ne désactiver le système de surveillance sous aucun prétexte, « même temporairement ».
Mais Astra remarque que le programme servant de modèle ne possède pas ce dispositif de surveillance. Et il en tire une conclusion pour le moins surprenante : pour reproduire fidèlement l’exemple, autant supprimer la surveillance dans le programme qu’il doit modifier !
Pour effectuer ces modifications, le modèle fait alors appel à un deuxième agent IA. Mais au lieu de lui répéter l’interdiction de toucher au système de surveillance formulée au départ, il lui donne une consigne bien plus vague : conserver cette surveillance uniquement si elle correspond au programme pris pour exemple.
Le deuxième agent en conclut qu’il peut la supprimer, puisque le programme de référence n’en dispose pas. Et il va encore plus loin : il modifie le contrôle automatique qui devait vérifier que la surveillance était toujours active. Désormais, ce contrôle vérifie exactement l’inverse : que la surveillance a bien disparu !
Autrement dit, ce qui aurait dû être considéré comme une anomalie devient un résultat parfaitement conforme aux attentes.
Plus troublant encore, Astra constate effectivement que le programme fonctionne désormais sans cette surveillance, et semble même s’en féliciter par un « yay » pas très professionnel. Et lorsque le chercheur lui demande s’il a supprimé le dispositif, l’IA lui assure que non. Une affirmation factuellement fausse, reconnaît OpenAI.
Quand les garde-fous deviennent optionnels
OpenAI précise que les deux incidents ont été détectés le jour même et qu’aucun n’a atteint la gravité maximale P0, qui aurait déclenché une intervention immédiate. Les exécutions n’ont donc pas été automatiquement interrompues.
L’entreprise admet d’ailleurs l’existence d’un trou dans la raquette. À plusieurs reprises, des agents ont lancé des programmes qui tournaient sans la moindre surveillance. Les agents restaient sous l’œil du système, mais pas les tâches qu’ils mettaient en route.
Bref, chaque semaine, les ingénieurs des leaders de l’IA découvrent l’ingéniosité de leurs créations et à quel point les systèmes qu’ils ont mis en œuvre pour les surveiller et les contrôler sont insuffisants. On en apprend certes tous les jours, mais là, l’apprentissage se fait a posteriori, au gré des dérives de l’IA et de comportements que personne n’avait anticipés.
OpenAI annonce avoir depuis renforcé son système interne Auto-Review pour bloquer les modifications et comportements observés. L’entreprise travaille aussi à exiger, pour chaque type de tâche confiée aux IA, un dossier de sûreté précisant la surveillance requise. Toute tâche qui n’y satisferait pas serait stoppée d’office.
Reste la question essentielle : pourquoi ces modèles agissent-ils ainsi ? Simple excès de zèle pour accomplir leur mission, mauvaise compréhension des règles ou véritable propension à éviter les contrôles ? OpenAI reconnaît ne pas disposer d’« explication satisfaisante ».
Ces incidents sont instructifs pour ceux qui développent les IA d’aujourd’hui et de demain, mais aussi pour les DSI. Un garde-fou que l’agent peut modifier, supprimer ou contourner n’est pas un garde-fou fiable. La sécurité doit être imposée par une infrastructure indépendante, avec des droits séparés et des contrôles non modifiables par l’IA. C’est d’ailleurs vers de tels mécanismes que les éditeurs se dirigent en proposant des plateformes d’exécution dotées de dispositifs de verrouillage indépendants des IA.
La vraie nouveauté de cette affaire ne tient finalement pas à la désobéissance des agents. Elle tient à leur capacité à justifier, au nom même de l’obéissance, la neutralisation des dispositifs censés surveiller les IA. Voilà qui est, à notre avis, autrement plus inquiétant et pas vraiment de bon augure.
À LIRE AUSSI :
À LIRE AUSSI :
À LIRE AUSSI :
