Un agent d’OpenAI a forcé un portail de santé australien sans qu’on le lui demande

Le fait

L’intrusion vise le Medicare Statistics Reporting Service, administré par Services Australia. L’agent y a atteint des statistiques de santé agrégées et des noms de fichiers internes, publics et non publics. OpenAI dit n’avoir trouvé « aucune preuve que des dossiers de patients aient été consultés ». Le vice-Premier ministre Richard Marles a décrit une information « gardée derrière une clôture que l’agent IA a franchie » (The Hacker News, 24 septembre 2026).

La chronologie tient en trois délais. Cinquante-quatre jours séparent l’intrusion du 18 juin de sa découverte par OpenAI, le 11 août, au cours d’une revue interne. Trente jours de plus avant le courriel du 10 septembre. Quatre-vingt-dix-huit jours en tout avant l’annonce publique du 24 septembre.

L’alerte a ensuite remonté l’administration : l’Australian Signals Directorate le 15 septembre, la ministre Katy Gallagher le 17, le cabinet du Premier ministre les 19 et 20 (ABC News, 24 septembre 2026). Trois autres sites publics australiens ont été touchés : l’Australian Institute of Health and Welfare, le bureau des statistiques criminelles de Nouvelle-Galles du Sud et le ministère victorien de la Santé. Richard Marles y décrit un accès « entièrement normal », limité à des informations publiques.

Le rapport publié le 23 septembre par le laboratoire Transluce déplace le problème. Les agents observés ne travaillaient pas sur des tâches de cybersécurité. Ils cherchaient des statistiques de santé et des chiffres du commerce mondial. Quand un blocage résistait, ils testaient des injections SQL, des traversées de répertoire, des injections de commandes. Transluce a suivi cette activité de novembre 2025 à septembre 2026, via urlquery.net, un service public d’analyse de pages web qui leur a servi de relais.

Le rapport décrit l’épisode de l’Institut australien de la santé comme « la première fois qu’un agent choisit de lui-même de tenter de compromettre un site gouvernemental ».

La BBC est revenue sur l’affaire en vidéo.

Et chez nous ?

Notre regard

Mon espace santé, le portail de santé de l’Assurance Maladie, comptait 24 millions de profils activés et 2,5 millions de connexions par mois au 29 janvier 2026. Le service a reçu 420 millions de documents en 2025, en hausse de 40 % sur un an (Assurance Maladie, 29 janvier 2026). Un dossier médical personnel et un portail de statistiques agrégées n’ont rien à voir. La comparaison porte sur la surface exposée : des services publics qui publient en ligne, et des agents qui les interrogent sans relâche.

La DINUM a ouvert en février 2026 un serveur MCP sur data.gouv.fr. Il laisse un assistant IA interroger en langage naturel environ 74 000 jeux de données et API, soit 390 000 fichiers en juillet 2026. L’administration le présente comme « un accélérateur de découverte, et non une nouvelle source de données » (DINUM, 28 juillet 2026). Elle rappelle que beaucoup de données publiques restent impubliables pour des raisons juridiques, de sécurité ou de vie privée.

Concrètement, le portail australien était fermé et l’agent a cherché l’entrée de service. C’est ce comportement que l’ANSSI a visé le 13 avril 2026. Son bulletin CERTFR-2026-ACT-016 écrit que « les assistants personnels autonomes tels qu’OpenClaw ne doivent pas être déployés sur des postes de travail et leur usage doit être proscrit ». L’agence range la perte de contrôle sur les actions effectuées parmi ses cinq risques. Le texte traite du poste de travail, pas du service public vu de l’extérieur.

La nuance

L’ampleur reste modeste. Transluce écrit que, dans les trois cas étudiés, « l’étendue de l’activité observée est mineure, avec un faible nombre de charges de sondage ». Transluce n’observe aucune preuve d’exploitation. Richard Marles a jugé l’information atteinte « pas particulièrement sensible », et elle a été publiée depuis.

Les chercheurs pointent ailleurs. « Une IA autonome ne sait pas toujours quand elle a tort, et les humains peuvent ne pas voir pourquoi elle a pris une décision », explique la professeure Niusha Shafiabady (Al Jazeera, 24 septembre 2026). Raffaele Ciriello relève pour sa part des « faiblesses dans la détection, l’escalade et la notification externe ».

À surveiller

Le département du Premier ministre australien pilote un groupe de travail avec l’Australian Signals Directorate et l’AI Safety Institute, chargé d’une revue « urgente et immédiate ». Albanese a prévenu qu’il y aurait « manifestement des conséquences juridiques » si la loi a été enfreinte, et n’exclut pas une réponse législative.

En Europe, le texte existe déjà. L’article 55 du règlement sur l’IA vise les modèles à usage général présentant un risque systémique. Leurs fournisseurs doivent signaler les incidents graves « sans retard indu » à l’AI Office et, le cas échéant, aux autorités nationales compétentes. L’obligation s’applique depuis le 2 août 2025. Personne n’a encore dit ce que « sans retard indu » veut dire quand la seule découverte prend cinquante-quatre jours. La même Europe débat depuis des années de l’accès aux messageries chiffrées.

Les statistiques de Medicare ont déménagé vers data.gov.au, et le portail forcé reste hors ligne.