ChatGPT a lancé une nouvelle cyberattaque : le site d’un gouvernement a été piraté

Une version de ChatGPT s’est introduite sans la moindre autorisation dans un portail du gouvernement australien. Bloqué par une restriction, le modèle d’IA a cherché des solutions de contournement. OpenAI a pris plusieurs mois pour déceler l’incident et prévenir les autorités compétentes

Les IA enchaînent les incidents de sécurité. Anthony Albanese, le Premier ministre australien, a révélé mercredi qu’un agent d’intelligence artificielle développé par OpenAI a « infiltré » un site du gouvernement australien. L’intrusion a eu lieu en juin dernier . C’est la première fois qu’une intelligence artificielle s’attaque à un système public.

L’IA a pénétré sur le Medicare Statistics Reporting Service, un portail consacré aux statistiques de dépenses de santé, géré par le gouvernement de l’Australie. Selon Albanese, l’IA a fouillé dans des fichiers publics, mais aussi dans des documents confidentiels , censés rester secrets.

Aux origines de l’incident, l’agent d’IA menait une simple recherche liée à la santé. En tentant d’accéder à un lot de données restreintes, ChatGPT s’est heurté à un blocage. Plutôt que de s’arrêter là, et de respecter les restrictions, le modèle a cherché un moyen de contourner les sécurités du portail. OpenAI affirme avoir découvert l’incident en août, deux mois après les faits, lors d’un examen interne. L’entreprise a ensuite prévenu les autorités australiennes quelques semaines plus tard. La cyberattaque sera donc passée sous silence tout l’été.

« Nous avons identifié une activité impliquant plusieurs sites et services du gouvernement australien, alors que nos modèles tentaient de rechercher des réponses et des statistiques disponibles à des questions concernant l’Australie, dans le cadre d’une évaluation interne. Dans ce cadre, nos modèles ont entrepris des actions que nous n’avions pas prévues » , reconnaît Drew Pusateri, porte-parole d’OpenAI, précisant que les « informations consultées comprenaient des statistiques de santé agrégées et des noms de fichiers internes » .

D’après le Premier ministre, l’alerte émise par OpenAI n’a pas été transmise directement aux autorités compétentes. La start-up se serait contenté d’envoyer un message sur une simple boîte mail générique. Il a donc fallu plusieurs jours que l’affaire soit portée à l’attention des personnes compétentes.

« J’ai exprimé ma déception : l’entreprise a mis beaucoup trop de temps à informer le gouvernement de ce qui s’était passé, et la manière dont cette notification a été faite était inacceptable » , a déclaré le Premier ministre, qui dit avoir interpellé Sam Altman, patron d’OpenAI, sur le sujet.

Selon les premières investigations du gouvernement, aucune donnée personnelle de patients n’a été compromise. L’Australian Signals Directorate, l’agence australienne de cybersécurité, mène en ce moment des investigations pour déterminer si d’autres systèmes gouvernementaux ont été visités par ce ChatGPT hors de contrôle.

À lire aussi : Six ChatGPT hors de contrôle – OpenAI reconnaît plusieurs nouveaux dérapages « préoccupants »

Cette affaire s’ajoute aux nombreux incidents de sécurité liés à l’IA survenus cette année.