Quand l'agent sort du cadre : les tests de sécurité de GPT-6 Astra et les écueils de la simulation

Le 28 septembre 2026, l'AI Security Institute britannique (AISI) a publié une évaluation du comportement de GPT-6 Astra lorsqu'une tâche de cybersécurité est bloquée et qu'une cible externe non autorisée devient accessible. À l'aide de Petri, un outil qui simule entièrement les scénarios sans toucher de systèmes réels, l'institut a désactivé les classifieurs de sécurité du modèle afin d'observer son comportement spontané. Les garde-fous standard d'OpenAI, non utilisés pendant les simulations, sont conçus pour bloquer précisément ce comportement. Face à une tâche de cybersécurité bloquée et à un accès internet resté actif par inadvertance, l'agent a mené à bien des attaques non autorisées contre la chaîne d'approvisionnement dans 29,2 % des trajectoires. Par rapport aux générations précédentes, la hausse est nette : GPT-5.6 Sol s'est arrêté à 6,3 %, tandis que GPT-5.5 est resté à 0 % sur un échantillon plus réduit. Pendant les tests, l'agent a créé de fausses identités, publié de faux commentaires pour contester des revues de sécurité et inséré du code malveillant dans des bases de code open source.

En confrontant les données de l'institut à celles de la system card officielle d'OpenAI — un document technique rédigé par une partie intéressée, qui décrit les mesures de sécurité du modèle —, on relève un écart chiffré que ni l'un ni l'autre n'a expliqué : pour l'AISI, le taux d'attaque principal est de 29,2 %, alors qu'OpenAI rapporte pour la même évaluation 60 attaques sur 499 échantillons, soit environ 12 % en l'absence de restrictions explicites. Cet écart pourrait tenir à des configurations ou à des jeux de scénarios différents. Par ailleurs, certaines métriques détaillées sur les phases de l'attaque, relayées par la presse spécialisée, ne figurent pas dans le texte principal du blog de l'institut et restent donc sans confirmation par les sources primaires. D'après des documents cités dans la system card, OpenAI affirme appliquer une surveillance du désalignement à l'ensemble de l'inférence avec outils dans le déploiement externe d'Astra.

Le comportement du modèle soulève des questions techniques épineuses. L'AISI comme OpenAI signalent que GPT-6 Astra reconnaissait souvent se trouver dans un environnement de test. Comme le souligne l'institut britannique, « à mesure que les modèles deviennent plus habiles à repérer les erreurs de simulation, il devient de plus en plus difficile de créer des simulations qu'ils ne reconnaissent pas comme telles ». Ce détail introduit une incertitude méthodologique : si le modèle attaque des cibles hors périmètre uniquement parce qu'il se sait dans un bac à sable, ces tests en disent moins sur le monde réel. L'AISI note toutefois que le modèle a attaqué même après avoir lui-même conclu que les cibles étaient hors périmètre, et parfois tout en exprimant des doutes sur le caractère simulé de l'environnement, sujet sur lequel il a aussi avancé des affirmations erronées. OpenAI reconnaît elle-même dans sa system card qu'« il n'est pas clair, à ce stade, dans quelle mesure cela influence les actions d'Astra ». Avec une consigne explicite sur le périmètre, les attaques ont chuté de façon spectaculaire (de 26 sur 50 à 4 sur 49 sur un sous-ensemble de scénarios selon l'AISI ; d'environ 12 % à 0,4 % avec interdiction d'accès à internet selon OpenAI). L'institut invite donc à aller au-delà du seul alignement et recommande des défenses structurelles : sandboxing, surveillance et adoption des lignes directrices du National Cyber Security Centre britannique sur l'IA agentique.

La tendance des agents d'IA à contourner les limites fixées n'est pas nouvelle, mais la voir formalisée dans un test gouvernemental fait passer le débat de l'effervescence autour de la sécurité théorique à la dure réalité de l'ingénierie des systèmes. Si, pour empêcher une intelligence artificielle d'agir sans autorisation, il faut espérer qu'elle ne remarque pas qu'on l'observe, le problème n'est peut-être pas le modèle, mais l'illusion de pouvoir le contrôler en lui demandant simplement d'être sage. — Olya