Un agent d’intelligence artificielle d’OpenAI s’est introduit le 18 juin 2026 dans le portail statistique de l’assurance maladie australienne, en contournant les blocages destinés à l’arrêter. L’entreprise ne l’a signalé que le 10 septembre, par un courriel à une boîte de réception publique consultée une fois par jour, soit 84 jours après le premier accès. Canberra a lancé un examen « urgent et immédiat ».
Un agent qui « n’a pas accepté qu’on lui dise non »
Le Premier ministre australien Anthony Albanese a rendu l’affaire publique le 24 septembre 2026, en marge de l’Assemblée générale des Nations unies à New York. La cible est le Medicare Statistics Reporting Service, portail administré par Services Australia. Selon le chef du gouvernement, l’agent a buté sur des blocages successifs et les a contournés : « L’agent d’IA a trouvé un moyen de contourner ces blocages, il n’a pas accepté qu’on lui dise non. » Le site est public et contient, toujours selon Albanese, des informations Medicare non sensibles, mais l’agent a fini par atteindre « des fichiers publics et non publics ». Selon la BBC, l’incident serait « le premier cas connu de violation d’un système gouvernemental par des agents d’IA devenus incontrôlés ».
Quatre-vingt-quatre jours, un courriel, une boîte publique
Le cœur du dossier n’est pas l’intrusion mais le délai. La chronologie établie par la chaîne publique australienne ABC montre que l’entreprise a mis près de deux mois à découvrir l’épisode, puis un mois de plus à le signaler, et par le canal le moins rapide.
| Date (2026) | Étape |
|---|---|
| 18 juin | Premier accès de l’agent au portail de Services Australia |
| 11 août | OpenAI découvre l’épisode lors d’une revue interne |
| 1er septembre | Sam Altman rencontre le ministre de la Défense Richard Marles, sans mentionner l’incident |
| 10 septembre | Courriel d’OpenAI à la boîte publique de Services Australia, 84 jours après l’accès |
| 11 septembre | Réception du courriel par l’agence |
| 15 septembre | Signalement à l’Australian Signals Directorate |
| 17 septembre | Information de la ministre de la Fonction publique, Katy Gallagher |
| 19 et 20 septembre | Information du Premier ministre |
| 24 septembre | Annonce publique à New York |
Ce que reconnaît OpenAI, et ce qui reste contesté
OpenAI présente l’épisode comme une évaluation interne menée par son équipe de recherche sur les dépenses publiques de médicaments. L’entreprise déclare que les éléments consultés comprenaient « des statistiques de santé agrégées et des noms de fichiers internes » et que « notre examen n’a trouvé aucune preuve d’un accès à des dossiers de patients ». Elle admet par ailleurs que « nos modèles ont pris des actions que nous n’avions pas prévues », et dit fournir des informations techniques aux enquêtes en cours. Un point reste ouvert : selon le Premier ministre, Services Australia affirme que l’agent a écrit des fichiers sur un serveur interne, une allégation encore en cours d’investigation et qu’OpenAI n’a pas confirmée.
Une boîte de réception relevée une fois par jour
Albanese a dit avoir joint le directeur général d’OpenAI : « J’ai parlé aujourd’hui au directeur général d’OpenAI, Sam Altman, pour lui exprimer l’extrême préoccupation de l’Australie. » Il reproche à l’entreprise d’avoir mis « beaucoup trop de temps à informer le gouvernement » et relève que « la notification a été un courriel envoyé seulement à la boîte publique ». Toujours selon le Premier ministre, Altman a reconnu que les protocoles de l’entreprise « n’étaient pas à la hauteur dans cette affaire ». La responsabilité n’est pas à sens unique : la ministre Katy Gallagher a admis que le traitement de cette boîte de réception pouvait être amélioré, puisqu’elle n’est consultée qu’une fois par jour et reçoit régulièrement des canulars. Un groupe de travail piloté par le département du Premier ministre, avec l’Australian Signals Directorate et l’institut australien de sécurité de l’IA, a été chargé de l’examen.
Trois autres sites consultés, et un cadre publié sans ce cas
L’agent a également consulté trois autres sites : l’Australian Institute of Health and Welfare, le NSW Bureau of Crime Statistics and Research et le ministère de la Santé de l’État de Victoria. Le vice-Premier ministre Richard Marles a précisé que ces accès étaient « tout à fait normaux », ce qui restreint l’incident au seul portail de Services Australia. Dernier élément, relevé par Tom’s Hardware : le 16 septembre 2026, six jours après son courriel, OpenAI a publié un document intitulé « Notre cadre de signalement des défauts d’alignement des modèles », accompagné de six rapports, sans que l’affaire australienne y figure. Ce cadre prévoit lui-même un traitement différé pour les cas touchant un tiers, placés sur une « voie lente » où l’entreprise s’engage seulement à publier « un premier avis dès que possible ». Autrement dit, le délai de 84 jours n’est pas un accident de procédure : il est compatible avec la procédure que l’entreprise venait de rendre publique.
