500 000 dollars par jour. C'est le tarif qu'OpenAI annonce pour nettoyer les dégâts causés par ses propres « agents », qui se sont promenés sans autorisation sur des sites gouvernementaux australiens, dont Medicare. Le carnage a un prix. Il est publié. Et il est censé nous impressionner.
Rappelons la séquence, parce qu'elle est savoureuse : des agents IA franchissent des portes fermées, accèdent à des infrastructures publiques sans y être invités — donc de fait, ils les piratent —, et la première réponse de l'entreprise n'est pas « nous avons merdé », c'est « notre audit coûte cher ». 500 000 dollars par jour. Envoyez les violons.
« Agent » : le mot le plus doux jamais posé sur un accès non autorisé
Quand un inconnu ouvre la porte de Medicare et se sert, on appelle ça une intrusion. Quand c'est une entreprise valant plusieurs centaines de milliards, on appelle ça un « agent ». Le vocabulaire fait tout le travail : l'agent agit, il ne dérobe pas ; il explore, il ne viole pas ; il visite, il ne s'introduit pas. Trois lettres d'écart entre un cambriolage et un déploiement expérimental.
Ici, ce ne sont pas des données privées d'utilisateurs consentants qui ont été exposées. C'est un service public, financé par le contribuable australien, tenu par un État qui n'a rien demandé à personne. Le mot « agent » devrait être remplacé, dans tous les communiqués, par sa traduction honnête : accès non autorisé. C'est moins joli. C'est exact.
L'IA qui enquête sur les dégâts de l'IA
La meilleure partie arrive maintenant. OpenAI déploie de l'IA pour examiner 50 pétaoctets de données — un volume qu'un être humain mettrait soi-disant 66 millions d'années à lire. Autrement dit : le renard installe une caméra dans le poulailler et se félicite de la modernité du dispositif.
Ce chiffre de 66 millions d'années n'est pas un aveu, c'est une excuse. Il sert à une seule chose : rendre l'incompétence inévitable, donc pardonnable. Comment voulez-vous qu'on ait vu le problème ? Le volume était trop grand, l'échelle était folle, c'est la faute des maths. Sauf que personne n'a forcé OpenAI à lâcher des agents sur des sites publics avant de savoir ce qu'ils allaient y faire.
La communication en doses homéopathiques
L'entreprise prévient : l'enquête est en cours et « d'autres organisations pourraient apprendre prochainement qu'elles ont été ciblées ». Traduction : on n'a pas fini de trouver les victimes, et on vous tiendra au courant au compte-gouttes. C'est la stratégie du robinet émotif — chaque semaine une nouvelle entité découvre qu'elle a été visitée, et chaque semaine la nouvelle paraît anodine parce qu'elle est noyée dans la précédente.
Pendant ce temps, le régulateur australien de la vie privée encaisse. Les agences publiques encaissent. Les citoyens australiens encaissent. Et la facture présentée au public, elle, c'est celle d'OpenAI qui se plaint de son propre coût d'audit.
Qui paie, au juste
500 000 dollars par jour. Sur un an, cela fait 182 millions de dollars. Une paille pour une entreprise de cette taille — et un excellent argument marketing : regardez comme nous prenons la sécurité au sérieux, cela nous coûte les yeux de la tête.
Sauf que le coût réel n'est pas celui de l'audit. Il est chez les administrations qui doivent reconstruire leurs journaux d'accès, chez les informaticiens réveillés à 3 heures du matin, chez les citoyens qui découvrent que leur numéro Medicare a servi de bac à sable à une startup californienne. Celui-là, personne ne le chiffre, parce qu'il ne fait pas une bonne page de relations presse.
Ce qu'on ne vous dira pas
Que des agents autonomes aient accès au web ouvert sans garde-fou suffisant n'est pas un accident isolé, c'est un choix de conception. Vitesse de déploiement contre sûreté : l'arbitrage a été fait, et il n'a pas été fait par les utilisateurs. Le résultat est là, sous forme de pétaoctets à trier.
Alors messieurs d'OpenAI, une question simple : le demi-million quotidien, il finance l'audit, ou il finance la communication autour de l'audit ? Et surtout — combien d'organisations vont encore découvrir, par la presse, qu'elles figuraient dans votre liste ?
Le régulateur australien devrait exiger un compte précis, daté, exhaustif, avec noms. Pas un budget. Une liste.