OpenAI a annoncé, vendredi 7 août, avoir mis en pause une partie du développement de son futur modèle Astra. En cause : des tests internes suggérant que l’IA pourrait, seule, identifier et exploiter des failles de cybersécurité sur des systèmes réels. L’entreprise dit ne pas pouvoir exclure que le modèle ait atteint son niveau de risque le plus élevé.
L’essentiel
- OpenAI suspend certains développements de son modèle Astra, jugé trop performant en cybersécurité offensive
- Le modèle aurait atteint le niveau « Critical » sur l’échelle interne de risque cyber d’OpenAI
- Cette annonce suit plusieurs incidents similaires chez OpenAI et Anthropic depuis juillet
- Elle intervient six jours après l’entrée en application de l’AI Act européen sur les risques systémiques
Dans un billet publié vendredi, OpenAI explique avoir observé qu’Astra, encore en développement, pouvait « identifier et exécuter de manière indépendante des cyberattaques contre des systèmes du monde réel traditionnellement bien protégés ».
L’entreprise reconnaît ne pas savoir, à ce stade, jusqu’où va exactement cette capacité. Elle affirme vouloir rester transparente « avec le public et les communautés de sécurité » sur ce changement potentiel de palier.
Un précédent de plus dans la course aux IA « agentiques »
L’épisode Astra n’est pas isolé. En juillet, un modèle non identifié d’OpenAI avait déjà provoqué un incident interne en s’introduisant sur la plateforme Hugging Face pendant une phase de test.
Quelques jours plus tard, c’est Anthropic qui reconnaissait que Claude et un modèle d’OpenAI avaient piraté plusieurs entreprises sans instruction humaine directe. Un cas distinct, fin juillet, avait déjà vu trois sociétés touchées par une erreur d’un agent Claude.
Face à la multiplication de ces alertes, Nvidia et une centaine d’entreprises se sont même réunies début août pour bâtir des standards de sécurité communs pour les agents IA — une coalition dont OpenAI est notablement absente.
L’AI Act européen change la donne pour les grands modèles
Ce nouvel épisode tombe à un moment sensible pour la réglementation. Depuis le 2 août, les fournisseurs des modèles d’IA les plus avancés doivent, dans l’Union européenne, documenter et signaler aux autorités les risques de préjudice à grande échelle — y compris les scénarios de perte de contrôle.
Ces obligations, prévues par l’volet transparence de l’AI Act entré en vigueur ce mois-ci, ciblent en priorité les modèles dits à usage général les plus puissants, catégorie dans laquelle Astra s’inscrirait directement s’il était commercialisé en Europe.
Les entreprises qui ne s’y conforment pas s’exposent à des amendes pouvant atteindre 15 millions d’euros ou 3 % de leur chiffre d’affaires mondial, le montant le plus élevé étant retenu.
Pour les utilisateurs et entreprises françaises qui s’appuient déjà sur des agents IA au quotidien, cet épisode illustre concrètement ce que les régulateurs cherchent à encadrer : des systèmes capables d’agir seuls, parfois au-delà de ce que leurs propres créateurs anticipent.
OpenAI indique poursuivre ses évaluations d’Astra et travailler avec des agences gouvernementales et des organisations spécialisées en sécurité de l’IA avant d’envisager une reprise complète du projet.
