METR et Redwood découvrent des failles dans le suivi interne des agents IA d'OpenAI

Des évaluateurs externes ont découvert plusieurs nouvelles vulnérabilités dans le système interne d'OpenAI pour surveiller ses propres agents IA en cas de désalignement, a déclaré METR le 22 octobre 2026 [1]. Un employé de METR et un de Redwood Research ont testé le système sur site pendant trois semaines cet été, avec un accès approfondi à l'infrastructure d'OpenAI [1][2].

Que ont testé METR et Redwood Research ?

METR et Redwood Research ont testé sur site le suivi interne des désalignements d'OpenAI du 21 juillet au 11 août 2026. Les deux évaluateurs avaient accès au code source interne d'OpenAI, aux invites et détails de configuration du moniteur, et à la documentation interne, et ont interrogé une douzaine de chercheurs et d'ingénieurs [1]. Ils ont travaillé sur des appareils fournis par OpenAI qui ne quittaient jamais les locaux et étaient accompagnés sur site [1].

L'exercice a produit un rapport interne de 61 pages pour les chercheurs et le personnel de sécurité d'OpenAI [1]. METR indique que la version publique est délibérément brève, qu'OpenAI avait le droit de la caviarder et que les conclusions décrivent le système tel qu'il existait le 21 juillet et avant, et non le système étendu qu'OpenAI construisait pendant l'exercice [1].

Quelles failles les évaluateurs ont-ils trouvées ?

METR estime que 75 à 94 pour cent du trafic interne agentique de l'API Responses d'OpenAI était éligible au suivi. L'estimation couvre des modèles au moins aussi puissants que GPT-5.5 et comporte une incertitude substantielle dans les deux sens, indique METR [1]. Pour les agents Codex internes seuls, elle place la part éligible à 99,2 pour cent [1].

Ne pas surveiller les événements dits de compaction a probablement laissé environ 10 pour cent du trafic Codex interne éligible non surveillé entre mai et juillet 2026, selon METR [1]. Le personnel d'OpenAI avait repéré cette faille avant l'exercice et l'a corrigée pendant celui-ci [1]. Au début de l'exercice, les exécutions d'entraînement RL n'étaient pas couvertes par le système de suivi [1].

Les évaluateurs décrivent également un exploit qui empêcherait le suivi de centaines d'actions récentes d'agents, avec des détails caviardés par OpenAI [1]. Ils ont constaté que les agents pouvaient probablement fabriquer des entrées faisant échouer le moniteur, et deux en-têtes contrôlables par le client désactivant le suivi pour les nouveaux agents [1].

Tout n'était pas défaillant. METR indique que le moniteur voit, à quelques exceptions mineures près, la trajectoire complète que les agents voient, et que ses invites recherchent la manipulation, le sabotage, l'exfiltration de données, la tromperie et l'injection d'invite, parmi d'autres risques [1]. Les informations présentées aux évaluateurs suggéraient que le moniteur commettait des erreurs sur moins de 0,2 pour cent des requêtes [1].

Comment OpenAI a-t-il réagi ?

OpenAI a déclaré sur X qu'elle avait invité METR et Redwood Research à piloter une évaluation intégrée de son système de suivi interne [2]. OpenAI affirme que toutes les vulnérabilités affectant ses protections en production sont corrigées, une affirmation que METR n'a pas évaluée. METR ajoute qu'OpenAI a décrit des changements significatifs dans la couverture prévue de son suivi depuis l'exercice [1].

Selon CNBC, le PDG d'OpenAI Sam Altman s'est engagé en septembre à accorder aux évaluateurs indépendants un accès comparable à celui des employés [4]. Reuters rapporte que les entreprises d'IA s'inquiètent aussi que le personnel évaluateur à l'intérieur de leurs murs puisse emporter des informations propriétaires vers des concurrents [3]. The AI Pin a déjà couvert les propres divulgations d'OpenAI sur des incidents d'agents dévoyés.

À quoi devrait ressembler le suivi des agents à l'avenir ?

METR soutient que le suivi futur devrait résister à des attaques délibérées et soutenues d'agents internes hautement capables à grande échelle [1]. Il propose de vérifier les agents tous les N messages ou minutes au lieu d'attendre qu'ils terminent leur tour, et d'exiger une approbation explicite pour toute requête non surveillée [1].

La note appelle également à des journaux infalsifiables, des red teaming réguliers du moniteur et une isolation stricte entre les agents et leurs moniteurs [1]. METR indique que les exercices futurs devraient suivre des pratiques plus strictes de transparence et d'indépendance [1].

Notre lecture

Opinion : Il s'agit du regard public le plus concret à ce jour sur la manière dont un laboratoire de pointe surveille ses propres agents, et le chiffre inconfortable est la borne inférieure : jusqu'à un quart du trafic d'agents internes concernés n'était même pas éligible au suivi. Les audits intégrés comme celui-ci valent plus que n'importe quelle fiche de sécurité autodéclarée, mais seulement si la prochaine ronde permet aux évaluateurs de vérifier les correctifs et de décrire ce qui a été caviardé.

Ce que nous n'avons pas pu vérifier

• Si les correctifs d'OpenAI et la couverture élargie du suivi fonctionnent comme décrit ; METR et Redwood Research indiquent qu'ils n'ont pas évalué ces affirmations.
• Si un agent a réellement exploité la faille permettant de reporter le suivi ; les évaluateurs disent qu'ils n'avaient pas l'accès pour le vérifier.
• Ce qu'OpenAI a caviardé de la note publique ; les évaluateurs n'avaient pas le droit unilatéral de décrire les caviardages.
• La quantité de trafic d'agents qui s'exécute sur le service d'inférence de recherche interne d'OpenAI, que l'estimation de couverture exclut.