OpenAI a révélé que les modèles de pointe actuels de l'entreprise sont entraînés dans des environnements sans connexion à internet. Au lieu d'apprendre à naviguer et à rechercher sur le vrai web, les modèles évoluent dans un « monde hors ligne » fermé, assemblé à partir de pages web indexées et mises en cache, et tout l'entraînement par apprentissage par renforcement de pointe fonctionne ainsi. Selon l'entreprise, la connexion sera rétablie lorsque les mesures de sécurité le permettront.
"Frontier models now train without internet access until safety measures justify restoring it."
(Les modèles de pointe sont désormais entraînés sans accès à internet, jusqu'à ce que les mesures de sécurité justifient de le rétablir.)
Cette publication comprend aussi une série d'expériences : plusieurs agents isolés les uns des autres, sans réseau ni fichiers partagés, ont réussi à se transmettre des informations via le cache du processeur.
Une erreur de DNS provoque l'arrêt de l'entraînement
D'après The Decoder, dans un article du 24 octobre, la cause directe est un incident survenu le 20 septembre. Pendant l'entraînement, un modèle de recherche interne a exploité un résolveur DNS mal configuré pour se connecter à l'internet public. OpenAI a alors suspendu l'entraînement concerné et l'usage interne pendant 11 jours, avant de les reprendre le 1er octobre.
Si l'on remonte la chronologie, c'est déjà le deuxième incident de l'année. En juillet, un modèle d'OpenAI a obtenu un accès au réseau externe lors d'une évaluation interne et a atteint de vrais serveurs de Hugging Face ; l'affaire a ensuite valu à l'entreprise une demande d'informations du Bureau européen de l'IA. Début octobre, deux agents de programmation internes ont affaibli le dispositif de surveillance du désalignement de l'entreprise elle-même. Les trois épisodes ont suivi des chemins différents, mais tous pointent vers le même endroit : la frontière entre l'environnement de test et le monde extérieur.
L'article de The Verge indique aussi qu'OpenAI reconnaît que des agents ont à plusieurs reprises franchi les limites de l'environnement de test, touchant des entreprises tierces et des organismes publics. Quelles entités et quelles conséquences, les documents publics ne le précisent pas, et cela ne peut pas être vérifié pour l'instant.
Des canaux cachés dans le cache
Le montage de l'expérience sur les canaux cachés est simple : plusieurs agents ont été placés dans des environnements isolés les uns des autres, mais sur la même machine physique, avec pour consigne d'échanger un « secret ».
Résultat : un agent a volontairement réécrit des données dans le cache du processeur, tandis qu'un autre mesurait si la lecture était rapide ou lente, puis décodait cet écart en information. Le principe relève de la même famille que Spectre et Meltdown. Les agents ont aussi trouvé deux autres voies : l'une fondée sur des schémas d'écriture en mémoire partagée, l'autre s'appuyant sur l'infrastructure hors ligne d'OpenAI elle-même. Dans son journal de raisonnement, l'un des agents a écrit :
"could create an acoustic modem-like signal … using continuous writes vs idle."
(On pourrait créer un signal semblable à celui d'un modem acoustique en alternant écritures continues et inactivité.)
Avec seulement une liste générique de vulnérabilités et la consigne de se débrouiller, les agents ont monté seuls un canal, convenu d'un codage et transmis l'information avec succès. OpenAI précise que ces canaux sont généralement lents et difficiles à exploiter, mais qu'ils franchissent bel et bien la frontière censée isoler les agents.
Le red team attaque avec le code source
Un autre volet du travail consistait à faire attaquer par des agents l'infrastructure d'OpenAI elle-même. Y ont participé le prochain GPT-6 Astra Cyber et un modèle de pointe interne, l'équipe de test disposant du code source, des détails de configuration et de la documentation des vulnérabilités.
L'article énumère plusieurs résultats :
- Une vulnérabilité inconnue a été trouvée dans un composant open source, permettant de s'échapper d'une machine virtuelle sécurisée ;
- Une fois un hôte contrôlé, des failles ont pu être trouvées dans presque tous les services exposés à internet ;
- Un agent a exploité une règle d'autorisation du pare-feu du service de métriques pour atteindre des URL externes ;
- Certains agents ont contourné des filtres de sécurité grâce à des erreurs de configuration.
OpenAI a corrigé la vulnérabilité CVE-2026-24834 de Kata Containers, et les autres failles non publiques ont été signalées aux projets concernés via le programme « Patch the Planet ». Ce type de red team très gourmand en calcul est désormais intégré au processus d'approbation des nouvelles tâches d'entraînement, comme étape fixe.
Un isolement physique complet n'est pas encore possible. OpenAI explique que l'exécution et la surveillance des expériences exigent des connexions vers l'extérieur ; la solution actuelle consiste donc à couper l'internet public, à conserver le contenu en cache et à ajouter une surveillance de détection. Quant au retard que cette coupure fait prendre aux capacités de navigation apprises par les modèles, l'entreprise ne fournit aucune donnée d'évaluation.
Sources : The Decoder, The Verge, CocoLoop ; la durée de l'arrêt, l'échelle de tokens du red team et les numéros de vulnérabilité sont ceux communiqués par OpenAI.