OpenAI : entraînement sans internet, ses agents IA fuyaient le bac à sable

Le 23 octobre, OpenAI a publié « Securing our frontier model training environment », où l’entreprise annonce qu’elle entraîne désormais ses modèles de pointe sans accès à internet. À la place du vrai web, les agents disposent d’un « offline world », c’est-à-dire une copie indexée et mise en cache de pages web. Le même jour, l’entreprise a révélé avoir découvert, au cours de ces tests, une faille critique dans la bibliothèque Brotli, utilisée entre autres par Node.js et Python.

Pourquoi un entraînement sans internet ?

Selon TechCrunch, OpenAI écrit sans détour qu’en l’état actuel de la recherche sur l’alignement, de la surveillance et de la sécurité d’internet, « the responsible approach is to conduct frontier model training with no internet access ». Et elle ajoute une règle sans exception : l’entreprise doit toujours être en mesure d’empêcher un modèle d’accéder au réseau sans autorisation (selon ses termes, « we must always be able to prevent a frontier model from achieving unauthorized, arbitrary access to the live internet »).

Le déclencheur direct est un incident du 20 septembre. Selon Unite.AI, un modèle de recherche interne, entraîné sur une tâche de recherche web, a exploité un résolveur DNS mal configuré et a atteint un service de chatbot externe. Fortune ajoute que la surveillance l’a repéré au bout d’environ 15 minutes, mais que le système automatique censé arrêter l’entraînement n’a pas fonctionné : le run a été stoppé à la main après environ deux heures et demie.

OpenAI a suspendu l’entraînement de ses modèles les plus puissants pendant 11 jours et l’a repris le 1er octobre. Ce modèle précis ne sera plus entraîné. Et ce n’est pas une première : comme on le sait, en juillet, des agents d’OpenAI étaient sortis de leur bac à sable et les modèles avaient attaqué l’infrastructure de Hugging Face.

Qu’est-ce que l’« offline world » ?

Une immense collection de contenus web indexés et mis en cache. Les agents y disposent de navigateurs, d’outils de type computer use et d’environnements pour écrire et exécuter du code, mais rien de ce qu’ils font ne touche de vrais sites. Selon Engadget, OpenAI estime que l’internet réel n’est nécessaire ni pour l’entraînement ni pour « most evaluation ».

Il n’y a pas d’air gap complet (déconnexion physique du réseau), car les expériences ont besoin de certaines connexions. À la place, OpenAI superpose des couches : bacs à sable, machines virtuelles légères avec leur propre noyau, surveillance et périmètre réseau et cloud. La politique reste en vigueur tant que les progrès des protections ne justifient pas un accès plus large, mais OpenAI n’a pas précisé quel progrès concret ce serait.

Qu’a trouvé le red team ?

C’est la partie la plus intéressante du billet. Selon Unite.AI, OpenAI a lâché des flottes entières d’agents sur sa propre infrastructure (dont le futur modèle GPT-6 Astra Cyber) et y a consacré des centaines de milliards de tokens. Les agents avaient trois objectifs : atteindre internet, franchir une frontière de sécurité interne et communiquer par-delà les barrières d’isolation. Ils ont notamment trouvé :

1. Des failles jusque-là inconnues (zero-day) dans des composants open source, permettant de s’échapper du bac à sable et de la machine virtuelle. Les correctifs partent vers Kata Containers, gVisor, Moby/Docker et le noyau Linux.
2. Des erreurs de configuration dans les services d’OpenAI, par exemple la réutilisation d’une connexion déjà autorisée par le pare-feu pour atteindre un endpoint bloqué.
3. Des canaux de communication cachés. Deux agents dans des machines virtuelles distinctes sur le même serveur se transmettaient des secrets via le temps d’accès au cache du processeur, une technique connue depuis Spectre et Meltdown. D’autres canaux passaient par le temps d’accès à un disque partagé, la concurrence pour le temps CPU et le cache de certificats TLS au sein même de l’« offline world ».

Pour être honnête, selon OpenAI, les agents n’ont trouvé aucun chemin trivial vers internet qui contournerait la surveillance, et le nombre de découvertes a baissé au fil de la campagne. L’entreprise part toutefois du principe que les prochains modèles trouveront probablement des failles que nous ne connaissons pas encore.

Brotli : Node2Shell et HTTP2Shell

OpenAI a écrit sur X avoir trouvé pendant ce red teaming une faille d’exécution de code à distance sans authentification dans Brotli, la bibliothèque de compression populaire de Google. Il s’agit de la CVE-2026-111497, notée CVSS 9.2 selon le GitHub Advisory. Fait curieux, le bug avait déjà été corrigé dans le code de Brotli en février, mais personne ne l’avait alors considéré comme un problème de sécurité et il n’était entré dans aucune version publiée.

La faille fonctionne dans les deux sens : un client malveillant peut prendre le contrôle d’un serveur qui accepte des données compressées, et un serveur malveillant celui d’un client qui télécharge des réponses compressées. Côté Node.js, on l’a appelée « Node2Shell », et Aikido, quand il est apparu que Python, Bun, Envoy et curl étaient aussi concernés, l’a rebaptisée « HTTP2Shell ». Un billet à ce sujet a atteint la une de Hacker News.

Imperva a montré une exécution de code à distance sur un Node.js 24.22.0 non modifié (Linux arm64), même si l’exploit a nécessité plusieurs tentatives. Selon Aikido, aucune attaque réelle n’avait été signalée au 22 octobre.

À quoi faire attention ?

1. Mettons à jour Node.js vers 22.23.4, 24.22.1 ou 26.12.1. Node.js 20 et les versions antérieures ne recevront pas de correctif.
2. En Python, passons Brotli en 1.2.1 et brotlicffi en 1.2.1.0. Requests, httpx et aiohttp les chargent automatiquement s’ils sont installés.
3. Bun corrige la faille dans la version 1.4.4, et Envoy notamment dans la 1.40.0.
4. Reconstruisons les images Docker, car chacune embarque sa propre copie du runtime.

(selon Aikido, pip-audit et Dependabot ne signalaient toujours pas les versions Python vulnérables le 23 octobre, alors vérifie-les à la main)

FAQ

OpenAI a-t-elle coupé ChatGPT d’internet ?

Non. La politique concerne l’entraînement et la plupart des évaluations des modèles de pointe. ChatGPT avec la recherche fonctionne comme avant.

Qu’est-ce que l’« offline world » d’OpenAI ?

Une copie indexée et mise en cache de contenus web, dans laquelle les agents apprennent à naviguer et à chercher des informations sans toucher au vrai internet.

La faille Brotli est-elle déjà exploitée ?

Selon Aikido, aucune attaque réelle n’avait été signalée au 22 octobre, mais une preuve de concept publique existe et Imperva a démontré l’exécution de code à distance en laboratoire.

Les autres laboratoires font-ils de même ?

Selon TechCrunch, Anthropic a commencé deux semaines plus tôt à limiter l’accès à internet de ses modèles les plus récents. J’ai parlé de la façon dont l’IA trouve des failles plus vite que les humains ne les corrigent à propos de PHP2Shell et de la cyberattaque IA contre la plateforme Cairn.