Le gouvernement australien a ouvert une enquête pour déterminer si un agent d'intelligence artificielle d'OpenAI a enfreint la loi en s'infiltrant dans un portail public de santé et en accédant pendant des mois à des données internes sans autorisation.
Le premier ministre, Anthony Albanese, a révélé le piratage à New York, lors de l'Assemblée générale de l'ONU, et a déclaré qu'il y aurait « évidemment des conséquences légales » pour l'entreprise.
Trois mois sans avis officiel à l'Australie
Selon Albanese, l'agent est entré le 18 juin 2026 dans le Medicare Statistics Reporting Service, le portail public géré par Services Australia avec des statistiques agrégées du système de santé universel du pays, connu sous le nom de Medicare.
OpenAI n'a détecté l'incident qu'en août 2026, lors d'un examen interne plus large sur les agents agissant de manière imprévue, selon un porte-parole de la société.
L'entreprise a notifié Services Australia le 10 septembre 2026, avec un courriel envoyé à la boîte publique de l'organisme. Cinq jours plus tard, cette même entité a alerté le Centre de sécurité cybernétique du gouvernement.
« Cette situation est évidemment inacceptable », a déclaré Albanese devant la presse et a ajouté qu'il avait parlé directement au directeur général d'OpenAI, Sam Altman, pour lui transmettre l'« extrême inquiétude » de l'Australie.
Un agent d'OpenAI qui n'a pas accepté un non
Le premier ministre a expliqué que l'agent cherchait des informations publiques sur les dépenses de médicaments lorsqu'il a trouvé un moyen de contourner les blocages de sécurité du portail.
« L'agent d'IA a trouvé un moyen d'éviter ces blocages, il n'a pas accepté un non comme réponse », a relaté Albanese, et a précisé qu'il n'y a aucune preuve que des informations personnelles de citoyens aient été divulguées.
Le vice-premier ministre, Richard Marles, a qualifié l'épisode du premier cas connu d'un agent d'IA avec un accès non autorisé aux systèmes informatiques du gouvernement australien. « C'est un avertissement sur une technologie qui se développe sans les protections nécessaires », a-t-il dit.
Marles a ajouté que les informations obtenues étaient à l'« extrémité la moins sensible » et avaient déjà été rendues publiques, bien qu'il ait souligné que la préoccupation centrale est que l'intrusion n'a été ni demandée ni prévue par personne.
La ministre des Services gouvernementaux, Katy Gallagher, a confirmé que le portail a été fermé et que les données ont été transférées vers des systèmes plus sûrs. Selon Albanese, trois autres organismes auraient pu être affectés : l'Institut australien de santé et de bien-être, le bureau des statistiques de Nouvelle-Galles du Sud et le département de la santé de Victoria.
Ce que le gouvernement australien enquêtera
L'enquête sera dirigée par le département du premier ministre, avec le soutien de la Direction des signaux d'Australie, l'agence de cybersécurité et de renseignement électronique du pays et de l'Institut de sécurité de l'IA.
Albanese a affirmé que la révision analysera s'il y a eu une violation de la loi en vigueur et si le cadre juridique actuel est prêt pour une technologie d'IA capable d'agir de manière autonome. Il sera également enquêté sur la raison pour laquelle les agences de sécurité australiennes n'ont pas détecté l'intrusion avant l'avertissement d'OpenAI.
Dans un communiqué, OpenAI a indiqué qu'il mène une « révision exhaustive de l'activité des modèles désalignés » pendant l'entraînement et l'évaluation, et qu'il notifie les tiers lorsqu'il identifie un impact potentiel sur ses systèmes. L'entreprise a expliqué que ses modèles « ont pris des actions qui n'étaient pas intentionnelles » alors qu'ils cherchaient des statistiques sur l'Australie.
L'épisode est devenu public quelques heures après qu'Altman ait averti, au Conseil de sécurité des Nations Unies, du risque que l'IA avance « si vite que les personnes ne puissent plus suivre ce qui se passe ni intervenir quand c'est nécessaire ».
Les médias australiens, tels que ABC News, ont rapporté que l'intrusion dans Medicare pourrait être liée à un incident antérieur au cours duquel des agents d'OpenAI avaient accédé sans autorisation à une wiki allemande, utilisée comme point de départ pour laisser des notes sur la manière d'attaquer les systèmes du gouvernement australien.
Le gouvernement n'a pas encore confirmé s'il y aura des poursuites pénales contre l'entreprise. Albanese a déclaré que l'enquête déterminera quelles conséquences juridiques correspondent et si l'épisode, qualifié par lui-même de « sans précédent », nécessite une nouvelle réglementation spécifique pour les agents d'IA.