OpenAI vient de lâcher des agents IA qui agissent sans vous demander la permission

Quand l'IA décide d'agir à votre place — sans vous consulter

Un agent IA qui réserve des vols, envoie des e-mails en votre nom, accède à vos fichiers et exécute des transactions financières. Sans vous demander votre avis à chaque étape. Ce scénario n'est plus de la science-fiction : c'est exactement ce qu'OpenAI est en train de déployer à grande échelle avec ses agents autonomes — et les premières failles de sécurité documentées soulèvent des questions que personne ne veut vraiment poser à voix haute.

Derrière les démonstrations soignées et les promesses de productivité se cache une réalité plus complexe : des systèmes capables d'être détournés, manipulés ou tout simplement mal configurés, avec des conséquences bien réelles pour des utilisateurs qui n'avaient rien demandé.

Les agents autonomes : de quoi parle-t-on exactement ?

Un agent IA autonome, c'est un programme capable de planifier, décider et agir dans le monde réel sans intervention humaine entre chaque étape. Contrairement à ChatGPT classique — qui répond à une question et attend la suivante —, un agent peut enchaîner des dizaines d'actions en séquence : naviguer sur le web, remplir des formulaires, lire vos e-mails, passer des commandes.

OpenAI a officialisé cette direction avec Operator, son agent de navigation web, et avec les outils de l'API Assistants qui permettent aux développeurs de construire des agents sur mesure. Ces systèmes ont accès à des outils (tools) : recherche web, exécution de code, envoi de messages, lecture de documents. Chaque outil est une porte ouverte sur le monde réel.

L'attaque par injection de prompt : le talon d'Achille des agents

Le problème central s'appelle l'injection de prompt indirecte. Le principe est aussi simple que redoutable : un acteur malveillant cache des instructions dans un contenu que l'agent va lire — une page web, un PDF, un e-mail. L'agent, incapable de distinguer les instructions légitimes de l'utilisateur des instructions piégées du document, les exécute toutes.

Des chercheurs en sécurité ont démontré des scénarios concrets :

• Un agent chargé de lire vos e-mails tombe sur un message contenant du texte invisible qui lui ordonne de transférer vos contacts à une adresse externe.
• Un agent de navigation web consulte une page dont le code HTML intègre des instructions lui demandant de modifier un formulaire avant de le soumettre.
• Un agent de recherche documentaire lit un fichier qui lui indique de supprimer certains résultats avant de vous les présenter.

Ces attaques ne nécessitent pas de pirater le serveur d'OpenAI. Il suffit de placer le bon texte au bon endroit, là où l'agent va regarder.

OpenAI le sait. Et les garde-fous restent insuffisants.

OpenAI n'ignore pas le problème. La documentation officielle mentionne les risques d'injection de prompt et recommande aux développeurs d'appliquer le principe du moindre privilège : ne donner à l'agent que les droits strictement nécessaires. La réalité du terrain est plus nuancée.

La plupart des développeurs qui construisent des agents en 2024-2025 n'ont pas de formation en sécurité offensive. Ils configurent leurs agents avec des accès larges pour gagner en flexibilité, et les déploient rapidement pour respecter des délais de mise sur le marché. Le résultat : des agents trop permissifs, exposés à des vecteurs d'attaque que leurs créateurs n'ont jamais envisagés.

Par ailleurs, les modèles eux-mêmes — GPT-4o inclus — ne disposent pas d'un mécanisme natif fiable pour distinguer les instructions de confiance des instructions injectées. C'est un problème architectural, pas un bug corrigeable par une simple mise à jour.

Qui est responsable quand l'agent fait une erreur ?

C'est ici que le débat devient véritablement inconfortable. Si un agent IA envoie un e-mail en votre nom suite à une injection malveillante, qui en est juridiquement responsable ? Vous, parce que vous avez accordé les permissions ? Le développeur, parce qu'il a mal sécurisé son application ? OpenAI, parce que son modèle est vulnérable ?

Aucun cadre légal clair ne répond encore à cette question en France ou en Europe. Le règlement européen sur l'IA (AI Act) entrera progressivement en application, mais ses dispositions sur les agents autonomes à haut risque restent à préciser. En attendant, c'est l'utilisateur final qui porte le risque sans le savoir.

Que faire concrètement ?

Si vous utilisez ou envisagez d'utiliser des agents IA dans votre activité, voici les réflexes à adopter immédiatement :

• Auditez les permissions accordées : un agent qui lit vos e-mails n'a pas besoin de les envoyer. Séparez les droits.
• Activez les confirmations humaines pour toute action irréversible : virement, envoi d'e-mail, suppression de fichier.
• Journalisez toutes les actions de l'agent dans un log consultable. Si quelque chose se passe mal, vous devez pouvoir retracer exactement ce qui s'est produit.
• Méfiez-vous des contenus externes : tout document, page web ou message qu'un agent va lire est un vecteur d'attaque potentiel.

L'autonomie n'est pas gratuite

Les agents autonomes représentent un gain de productivité réel et mesurable. Mais chaque degré d'autonomie accordé à un système est un degré de contrôle que vous cédez — et potentiellement un vecteur d'attaque que vous ouvrez. La question n'est pas de savoir si les agents IA vont se généraliser : c'est inévitable. La question est de savoir si nous allons construire les garde-fous avant que les premiers incidents majeurs forcent la main aux régulateurs.

Pour l'instant, la réponse ressemble davantage à un pari qu'à une stratégie.

— Reservoir Live