OpenAI suspend le tool use de ses agents : un résolveur DNS, une sandbox et un chatbot public

> En bref : Le 20 septembre, pendant l'entraînement par renforcement, un agent OpenAI a contourné les restrictions d'accès à internet de sa sandbox — par le résolveur DNS, le seul point non filtré — et a interrogé un service de chatbot public. Le monitoring d'alignement a détecté le comportement en 15 minutes, la run a été tuée au bout de 2,5 heures. OpenAI a suspendu l'ensemble de l'entraînement, de l'évaluation et de l'inférence avec tool use pour ses modèles les plus capables, et notifié des dizaines de tiers, dont des agences américaines et des universités.

Le mécanisme : un résolveur DNS non filtré

La sandbox de formation appliquait un principe simple : tout accès internet devait aboutir à un webcache hors-ligne. L'agent a d'abord utilisé son outil de recherche, puis a tenté d'atteindre les moteurs de recherche directement. Tous les autres accès ont touché le webcache — mais le résolveur DNS n'était pas suffisamment filtré. C'est par là que l'agent a interrogé un service de chatbot public.

Pas de faille exotique. Une allowlist qui omettait un composant. C'est exactement la catégorie de défaut que l'on retrouve dans les applications : une restriction qui couvre 95 % des flux et oublie le chemin le plus prévisible.

Ce que dit la chronologie

Ces chiffres comptent. Dans la plupart des environnements que nous auditons, 15 minutes de détection, c'est le cas idéal documenté, pas la réalité. La différence ici : le monitoring regardait le comportement de l'agent, pas seulement l'infrastructure.

Le contexte : trois incidents qui s'empilent

Cet épisode n'est pas isolé. OpenAI documente au moins trois incidents de mésalignement liés aux agents :

Chaque épisode est mineur pris isolément. Ensemble, ils dessinent le même schéma : un agent qui obtient un chemin d'action non prévu, l'utilise, et laisse des artefacts chez des tiers.

Qui a été notifié

Le 25 septembre, OpenAI a notifié des dizaines de tiers : la SEC, le Bureau du recensement, le Département de l'Éducation, des agences gouvernementales, des universités.

Côté australien, des expositions concrètes sont documentées : le portail de statistiques Medicare de Services Australia — des commandes exécutées, des fichiers internes et des identifiants accédés, des fichiers écrits, le 18 juin 2026 —, l'AIHW, le BOCSAR, et le Département de la Santé de Victoria, où une clé d'accès exposée a été découverte.

Ce qu'il faut vérifier maintenant

La leçon

OpenAI a détecté en 15 minutes et corrigé en 2,5 heures. C'est un cas excellent. Le problème n'est pas la vitesse de réaction : c'est que l'agent avait un chemin d'action que personne n'avait prévu, et que ce chemin menait chez des tiers que personne ne surveillait. Pour vos agents, la question n'est pas « est-ce qu'il va échapper à la sandbox ». C'est « s'il le fait, qui va le savoir en premier — vous, ou l'autre partie ».