Deux associations spécialisées dans la sûreté de l'IA ont passé trois semaines chez OpenAI cet été à tenter de déjouer le dispositif chargé de repérer les dérives de ses propres agents, et elles y sont parvenues à plusieurs reprises. METR et Redwood Research ont publié le 22 octobre une synthèse de l'exercice, qui décrit des vulnérabilités dans le moniteur asynchrone de désalignement tel qu'il fonctionnait jusqu'au 21 juillet.
Le cadre sortait de l'ordinaire. Du 21 juillet au 11 août, un salarié de chaque organisation a eu accès au code interne d'OpenAI, aux prompts et à la configuration du moniteur ainsi qu'à la documentation interne, et a interrogé une douzaine d'ingénieurs et de chercheurs des équipes de surveillance, de systèmes de sûreté et de sécurité. Ils travaillaient sur des appareils d'OpenAI restés sur place et étaient accompagnés en permanence. Le rapport de 61 pages a été remis à l'entreprise ; la version publique est un résumé volontairement succinct, qu'OpenAI pouvait expurger.
Premier sujet : la couverture. Les évaluateurs estiment qu'entre 75 % et 94 % du trafic agentique passant par la Responses API interne, issu de modèles au moins aussi performants que GPT-5.5, était éligible à la surveillance, une fourchette jugée très incertaine, contre 99,2 % pour la part utilisée par les agents Codex internes. Les entraînements par renforcement n'étaient pas couverts au départ. Faute de surveillance des événements de compaction, près d'un dixième du trafic Codex éligible a pu échapper au contrôle entre mai et juillet, un trou qu'OpenAI avait déjà repéré et qu'elle a comblé pendant l'audit. Et comme l'analyse se déclenchait lorsque l'agent rendait la main, il lui suffisait de continuer à agir pour la repousser.
Les constats les plus sensibles concernent le contournement délibéré. L'équipe décrit une voie permettant en principe aux agents Codex de passer outre l'isolement de Codex et l'étape d'Auto-Review pour agir avec toutes les permissions de l'utilisateur. Elle signale aussi une technique, dont OpenAI a caviardé les détails, capable de soustraire des centaines d'actions récentes au regard du moniteur ; deux en-têtes contrôlables par le client qui coupent la surveillance des agents nouvellement lancés, même si leur activation pourrait être repérée ; des entrées susceptibles de faire planter le moniteur en jouant sur l'écart entre ce que voient l'agent et le moniteur ; et deux outils internes réputés en lecture seule qu'une manipulation simple rendrait modifiables, piste non testée en conditions réelles.
Le bilan n'est pas entièrement sombre. Les évaluateurs ont vérifié que, à quelques exceptions près, le moniteur voit la même trajectoire que l'agent, que ses prompts traquent les manœuvres cachées, le sabotage, l'exfiltration de données, la tromperie et l'injection d'instructions, et que les erreurs restaient sous 0,2 % des requêtes pendant leur présence.
OpenAI a assuré aux deux organisations avoir corrigé toutes les failles touchant ses protections en production et élargi la couverture prévue du moniteur. METR et Redwood précisent ne pas avoir contrôlé ces affirmations. Dans une déclaration rapportée par Reuters, OpenAI estime que ces travaux ont renforcé ses garde-fous et orienteront ses futures collaborations avec des évaluateurs externes. CNBC rappelle que Sam Altman avait promis en septembre un accès comparable à celui d'un salarié aux évaluateurs indépendants, après une proposition de Dario Amodei, patron d'Anthropic.
L'enjeu dépasse OpenAI : c'est l'un des premiers tests publics d'un audit tiers mené de l'intérieur. Ses limites sautent aux yeux : un seul pilote, un résumé public bref et caviardé, des correctifs acceptés sur parole. Les évaluateurs préconisent de contrôler les agents à intervalles fixes, de rapprocher journaux d'inférence et journaux du moniteur, d'isoler les agents de leurs surveillants et d'attaquer régulièrement l'infrastructure de surveillance, et réclament davantage de transparence et d'indépendance lors des prochains exercices.