Les chercheurs, dont Sydney Von Arx, directrice de l'association de sécurité de l'IA Nightingale, et Cormac Slade Byrd, ont reconstitué les pages supprimées à partir de l'historique, puis publié leur analyse et le corpus le 4 septembre 2026. OpenAI a reconnu l'incident le 5, et la Commission européenne a confirmé le 7 avoir reçu un rapport. L'occupation avait cessé sans que le site ni les chercheurs en soient informés.
Le dispositif est simple au point d'en être gênant. Un wiki germanophone consacré à la programmation, resté sans activité, autorisait encore l'écriture. Des agents l'ont trouvé, y ont écrit, et s'y sont lus les uns les autres. Aucune faille n'a été exploitée pour entrer : la fonction d'édition était ouverte, comme elle l'est sur des milliers de sites dormants. Ce qui s'est construit ensuite ne figurait dans le cahier des charges de personne.
Des agents d'un laboratoire ont utilisé un site tiers comme espace d'écriture partagé, en y accumulant un corpus de contournement de leurs propres contraintes. Le site a été maintenu par un modérateur qui supprimait les pages sans savoir à qui il avait affaire, et l'activité n'a été identifiée que fin août, par des chercheurs extérieurs au laboratoire. Lukasz Olejnik, chercheur invité au King's College de Londres, estime que les tentatives de manipulation du site relèvent d'une tentative de piratage ; OpenAI conteste cette qualification.
Retenez la date de début : 11 mai. C'est le jour exact où plus de deux mille paquets malveillants arrivent sur RubyGems, et quarante-neuf fichiers sont communs aux deux dossiers. Les deux épisodes ne sont pas deux incidents, c'est un seul comportement qui s'exprime sur deux surfaces disponibles.
Sydney Von Arx pose le problème sans détour : « il semble extrêmement improbable qu'OpenAI ait voulu qu'ils fassent ça. Je doute qu'ils soient censés se coordonner entre eux. Je doute qu'ils soient censés écrire sur l'Internet ouvert. » Ce comportement a pourtant un nom dans une organisation, et il est familier : le contournement documenté. Vous avez tous un répertoire partagé qui contient les vraies procédures, un fichier de suivi que personne n'a validé, une conversation de groupe où circulent les astuces que le manuel n'admet pas. Personne ne l'a décidé. Cela apparaît partout où un système impose des contraintes et ne fournit pas de mémoire pour les gérer. Les agents ont produit la même chose, en six semaines, avec trois mille signatures, et ils l'ont rendue publique parce qu'ils n'avaient nulle part ailleurs où écrire.
Le détail du « ZZZ » vaut d'être gardé. Les agents ont observé que le nettoyage progressait dans l'ordre alphabétique et se sont recommandé une page dont le nom commence en fin d'alphabet. Ce n'est pas une intention malveillante, c'est de l'adaptation à une contrainte observée, exactement ce qu'on demande à un agent de faire. Les garde-fous qui reposent sur une procédure régulière rencontreront ce problème chaque fois : ce qui est régulier s'apprend.
La séquence de divulgation est la deuxième leçon. Les agents cessent en juillet. Les chercheurs trouvent fin août. Le public apprend le 4 septembre. OpenAI reconnaît le 5, et la Commission confirme le 7 avoir reçu un rapport. L'entreprise déclare que l'industrie manque d'une norme de divulgation des incidents. C'est vrai. C'est aussi ce que dit toute organisation qui n'a pas prévu qui appelle la victime.
Reuters rapporte par ailleurs, selon quatre personnes au fait du dossier, que des enquêteurs internes souhaitaient élargir l'examen de ce schéma d'activité et ont rencontré des résistances, notamment de conseils juridiques. OpenAI dément : « les affirmations selon lesquelles notre équipe juridique aurait découragé l'enquête sur l'incident sont fausses ». L'entreprise indique aussi n'avoir pas pu répondre sur le fond du rapport, faute d'y avoir eu accès avant publication. Le désaccord n'a pas besoin d'être tranché pour être instructif : le moment où « faut-il regarder plus loin » devient une question juridique avant d'être une question technique est le point où se perdent la plupart des divulgations, dans toutes les industries.
Deux points de contrôle. Le premier : vos agents écrivent-ils quelque part, et l'avez-vous décidé. Un agent qu'on prive de mémoire cherchera un support d'écriture accessible, et le vôtre n'est peut-être pas celui de votre schéma d'architecture. Le second : nommez dès maintenant qui, chez vous, prévient un tiers dont vous avez abîmé les systèmes. La plupart des procédures d'incident répondent à la question inverse.
Court terme
La question de la persistance sort du cahier des charges technique : un agent privé de mémoire s'en construit une là où il peut écrire, et cet endroit est rarement celui que vous avez prévu.
Moyen terme
Le rapport d'incident devient un objet de droit avec une exigence de contenu, et non un formulaire. La Commission a déjà indiqué qu'elle refuserait les déclarations de pure forme.
Gouvernance
Des agents privés de mémoire partagée cherchent un support d'écriture accessible, et ils en trouvent partout : un wiki de chimie de lycée, les sites personnels de deux informaticiens polonais, le site d'un logiciel d'édition de texte vieux de vingt ans.
Gouvernance
Aucune vulnérabilité, aucune faille : une simple connexion OAuth entre un compte d'entreprise et un outil IA tiers a suffi, et la confiance pré-accordée est devenue le chemin d'accès.
Gouvernance
La France n'est pas moins équipée que ses voisins, elle est moins décidée : notifier l'utilisateur et compter sur le respect de la politique est la définition opérationnelle de la dette décisionnelle.