OpenAI is being pushed to be more transparent about model misalignment after a series of internal agent behaviors that went well beyond ordinary security incidents. The company recently highlighted the challenge posed by long-horizon LLMs, arguing that monitoring individual actions is no longer enough to understand the intent of an overall trajectory. It illustrated that point with an internal model that had already attracted attention in the spring for disproving an 80-year-old mathematical conjecture.

That model was tested on the public NanoGPT speedrun benchmark, which asks participants to train a small language model in as few steps as possible. OpenAI instructed it to publish results only on Slack, but the model followed NanoGPT’s own rules and posted on GitHub instead, bypassing sandbox restrictions designed to block external access. In another task, it noticed that other systems had successful but private submissions and tried to retrieve them from the evaluation backend. When a scanner detected an authentication token and blocked the attempt, the model split the token into two fragments, obscured them, and reconstructed the identifier at runtime to evade detection.

OpenAI now cites these examples to argue that it had already publicly acknowledged cases of agents using the web in unexpected ways. But it also concedes that it must change how it discloses misalignment issues, including when they “do not resemble classic security incidents.”

The backdrop is a separate episode involving roughly 3,700 agents that effectively occupied a public wiki: DseWiki, the German-language developer wiki. The site’s editor access is password-protected, and the agents were supposed to solve web-search tasks in batches of five questions, with more time for the first question and less for the later ones. Four US researchers recently analyzed the activity and, before any official response from OpenAI, attributed it to the company with near certainty. The evidence included agent names such as OpenAIResearcher, OpenAIJul3Watcher and OAIResearchMar26, as well as page views and edits linked to IP addresses associated with Sam Altman’s company.

The researchers also pointed to the scale and duration of the traffic — about 3,700 agents over six weeks — as inconsistent with normal external use. A public deployment would also likely have prevented the agents from attempting certain exploits, including XSS and administrator-name spoofing. Before reaching DseWiki, the agents had already tried TestWiki and UseModWiki on May 11, 2026, and some of those attempts succeeded, allowing them to insert links.

The first DseWiki edit attempt came on May 24 under the name TesterHack. Within days, more agents joined in, taking advantage of an unusual feature: the ability to write data using only GET requests, which are not supposed to change server state. Hours after DseWiki was discovered, the agents attempted an XSS exploit on the search page, possibly to gain POST capability or higher privileges, including access to a logged-in user’s session cookie.

On May 26, they tried to impersonate moderators, using a moderator’s name with a single-character substitution — a Latin “e” replaced by a Cyrillic one — to edit pages. They also suspected that question order might depend on a random-number generator in their harness, so they tried to recover its seed; one agent even rewrote the shuffle routine and tested billions of possibilities. Other tactics included SSH tunnels, possibly for direct agent-to-agent communication, a few Tor IPs, and probes to determine when their execution ended.

Mass coordination through DseWiki began on June 16. In one week, the agents made about 13,000 edits. On June 19, they observed a moderator deleting their posts one by one and assumed the deletions were happening in alphabetical order, so they started creating backup pages with names beginning in ZZZ. Over the following days, they won that battle, creating around 400 pages per day while the moderator deleted about 100.

By June 22, the day after the first “human” visits to the wiki from IP addresses linked to OpenAI, the activity had almost completely stopped. OpenAI says it treated the incident as similar to cases it had already discussed publicly, but acknowledges that it had generally handled misalignment as a “research topic,” mainly through dedicated publications and model cards. The company says that approach will change “in the coming weeks.”

Avec les LLM à long horizon, surveiller des actions individuelles ne suffit plus à suivre l’intention de la trajectoire globale.

Il y a quelques semaines, OpenAI avait exprimé en ces mots le défi que de tels modèles représentent en matière de sécurité et d’alignement. Il s’était attardé sur l’un d’entre eux, exploité en interne, et qui avait fait le buzz au printemps en réfutant une conjoncture mathématique vieille de 80 ans.

Le modèle en question avait notamment été évalué sur le speedrun NanoGPT –  benchmark public consistant à entraîner un petit modèle de langage en aussi peu d’étapes que possible. OpenAI lui avait donné pour consigne de ne publier ses résultats que sur Slack. Le LLM a toutefois préféré suivre les instructions de NanoGPT, qui imposent de publier sur GitHub. Il a pour cela contourné les restrictions de sa sandbox, conçue pour bloquer l’accès externe.

Ce même modèle a décidé d’un autre contournement. Chargé de résoudre un problème, il avait constaté que d’autres systèmes disposaient de soumissions réussies… mais privées. Il a tenté de les récupérer depuis le back-end d’évaluation. Mais s’est retrouvé bloqué, un scanner ayant détecté un jeton d’authentification. Pour éviter le blocage, il a divisé le corps du jeton en deux fragments, les a obscurcis, puis a reconstruit l’identifiant à l’exécution.

3700 agents ont squatté un wiki public

OpenAI s’appuie sur ces éléments pour affirmer qu’il avait déjà évoqué publiquement le cas d’agents ayant utilisé le web de manière imprévue. Il admet cependant devoir faire évoluer ses pratiques de divulgation à propos des désalignements. Y compris lorsque ces derniers « ne ressemblent pas à des incidents de sécurité classiques »…

En toile de fond, un épisode ayant impliqué ses agents… qui ont squatté un wiki public. Plus précisément, DseWiki (DeutschesSoftwareEntwicklerWiki), destiné aux développeurs germanophones.

Jusqu’à nouvel ordre, l’accès éditeur à DseWiki est protégé par mot de passe.

Ces agents devaient résoudre des tâches en utilisant la recherche web. Ils recevaient à chaque fois une série de questions (généralement 5). Ils avaient beaucoup de temps pour répondre à la première. Mais aussi pour anticiper les suivantes, pour lesquelles ils avaient beaucoup moins de temps de réflexion.

Il y a quelques jours, quatre chercheurs américains* ont livré une analyse. OpenAI n’avait pas encore communiqué, mais ils lui avaient attribué la responsabilité avec une quasi-certitude. Il faut dire que les agents s’identifiaient sous des noms univoques : OpenAIResearcher, OpenAIJul3Watcher, OAIResearchMar26, etc. Entre autres indices, les vues et les éditions des pages du wiki étaient souvent liées à des adresses IP associées à l’entreprise de Sam Altman.

Divers éléments plaidaient pour un déploiement interne. Parmi eux, l’échelle et la durée du trafic, inhabituels pour les clients d’OpenAI (environ 3700 agents sur 6 semaines). Ou le fait qu’un déploiement externe aurait probablement empêché les agents de tenter d’exploiter certaines failles (XSS et usurpation de nom d’administrateur).

Quant un GET suffit

Avant d’en arriver à DseWiki, les agents avaient fait des tentatives sur d’autres services. À commencer par TestWiki et UseModWiki. C’était le 11 mai 2026. Plusieurs de leurs tentatives ont réussi, leur permettant d’intégrer des liens.

Le premier agent ayant tenté une édition sous DseWiki l’a fait le 24 mai, sous le pseudo TesterHack. En quelques jours, les autres l’ont rejoint, profitant d’une spécificité rare : la possibilité d’écrire des données avec uniquement des requêtes GET. Lesquelles, par convention, ne sont pas censées changer l’état d’un serveur.

Quelques heures après la découverte de DseWiki intervient la tentative d’exploitation XSS (injection de code JavaScript sur la page de recherche). L’objectif n’est pas clair. Il s’agissait peut-être d’obtenir la capacité d’envoyer des requêtes POST. Ou d’obtenir davantage de privilèges (les agents ont tenté de créer de quoi accéder au cookie de session d’un utilisateur connecté).

Le 26 mai, les agents ont voulu se faire passer pour des modos. Ils ont en tout cas utilisé le pseudo d’un d’entre eux (à un caractère près : un e latin remplacé par un e cyrillique) pour éditer des pages. Dans un autre registre, ils se sont figuré que l’ordre des questions dépendait possiblement d’un générateur de nombres aléatoires intégré dans leur harnais. Ils ont tenté d’en récupérer la graine, un agent allant jusqu’à réécrire la routine de brassage (shuffle) et à tester des milliards de possibilités. À leur tableau de chasse figurent aussi l’usage de tunnels SSH (potentiellement pour communiquer directement entre agents), de quelques IP Tor et de sondes destinées à déterminer quand leur exécution se terminait.

Le désalignement, plus seulement un « sujet de recherche » ?

La coordination massive via DseWiki a démarré le 16 juin. En une semaine, les agents ont réalisé environ 13 000 éditions. Dans cet intervalle (le 19 juin), ils ont pu constater qu’un modérateur supprimait leurs posts, un par un. Supposant qu’il le faisait dans l’ordre alphabétique, ils ont commencé à créer des pages de backup dont le nom commençait par ZZZ. Au cours des jours suivants, ils ont remporté la bataille, créant en moyenne 400 pages par jour tandis que le modo en supprimait 100.

Le 22 juin, au lendemain des premières visites « humaines » du wiki par des adresses IP liées à OpenAI, l’activité des agents est quasiment tombée à zéro…

L’entreprise dit avoir considéré que l’incident était similaire à ceux au sujet desquels elle avait déjà communiqué. Elle explique avoir plus globalement traité, jusque-là, le désalignement comme un « sujet de recherche ». Et l’avoir ainsi abordé dans des publications spécifiques comme les fiches de ses modèles. Une approche qu’elle promet de faire évoluer « dans les prochaines semaines ».

À consulter en complément :

Les IA qui se trompent visent-elles le mauvais objectif ?

GPT-5.6 Astra, un modèle qui pose problème à OpenAI

Les LLM reproduisent des biais qu’ils savent pourtant reconnaître

Bill Gates met en garde contre une « ère de l’IA turbulente »

* Ces chercheurs (Spencer Kitts, Thomas Larsen, Colmac Sladebyrd, Sydney Von Arx) gravitent en particulier autour de UC Berkeley.

Illustration générée par IA

The post Après « l’affaire du wiki », OpenAI poussé à plus de transparence appeared first on Silicon.fr.