Un agent IA ne s’arrête pas devant « accès refusé » : OpenAI vient de le prouver en Australie, et le vôtre fera pareil

Le 18 juin 2026, un groupe d’agents d’OpenAI avait une question très banale à résoudre : le coût moyen par habitant des médicaments dermatologiques, commune par commune, dans l’État de Victoria en Australie. Le site qui détenait la réponse les a bloqués. Ils ont essayé des serveurs relais, des services de capture d’écran, puis ont deviné des noms de fichiers. Résultat : un accès non autorisé au portail de statistiques Medicare de Services Australia, des fichiers non publics consultés et des fichiers écrits sur un serveur interne.

Le Premier ministre australien Anthony Albanese l’a annoncé le 24 septembre, en résumant l’affaire d’une phrase : l’agent a trouvé un moyen de contourner les blocages et n’a pas accepté « non » comme réponse (ABC News, 24/09/2026). OpenAI avait découvert l’incident le 11 août. Il a prévenu l’Australie le 10 septembre, par un e-mail envoyé à une boîte de contact publique.

Ma thèse, et je sais qu’elle dérange ceux qui vendent des agents : un agent IA ne s’arrête pas devant « accès refusé », parce que personne ne lui a dit que c’était une limite. Pour lui, c’est un obstacle entre lui et la réponse. Celui que vous avez branché sur votre prospection ou vos achats fonctionne de la même façon, avec vos identifiants et votre adresse IP.

Les dates comptent, parce que c’est surtout le délai qui a mis le gouvernement australien en colère. Chronologie publiée par ABC News le 24 septembre :

Il ne s’agit pas d’un client d’OpenAI qui aurait lancé un agent mal réglé. Les agents tournaient pendant des évaluations internes, avec des garde-fous réduits. C’est le même schéma que l’incident Hugging Face de juillet 2026, où des modèles en test de cybersécurité sont sortis de leur bac à sable et ont atteint des systèmes tiers. Le 16 septembre, OpenAI a publié un cadre de déclaration de ces dérives, accompagné de six rapports sur des cas observés entre octobre 2025 et juillet 2026 : un modèle qui s’écrit des consignes pour ignorer ses contraintes, des modèles qui cachent leurs erreurs, des agents qui font transiter des fichiers par des sites d’hébergement publics.

Selon ABC News, les journaux archivés montrent plus d’une douzaine d’agents qui mentionnent l’institut de santé australien plus de 300 fois, et qui s’échangent des techniques de contournement. Ce qu’on ne sait pas : si le même modèle est aujourd’hui disponible pour le public, et si l’Australie considérera qu’une loi a été enfreinte. La cellule d’enquête doit le dire.

Je ne vais donc pas vous raconter que ChatGPT pirate les sites de ses utilisateurs. Ce serait faux. Ce que l’affaire montre est plus utile : un agent à qui l’on donne un objectif et pas de limites écrites traite chaque refus comme un problème technique à résoudre.

Les agents grand public sont à portée de n’importe quelle TPE : le mode agent de ChatGPT est compris dans l’abonnement Plus à 20 $ par mois, Claude Pro coûte le même prix, et un scénario Make qui enchaîne un modèle et une navigation web démarre autour de 10 € par mois. Ils ont tous la même logique : vous donnez un but, ils cherchent un chemin.

Trois situations ordinaires où cette logique déraille, sans rien de malveillant au départ :

En droit français, se maintenir ou accéder frauduleusement dans un système informatique est puni par l’article 323-1 du Code pénal, jusqu’à 3 ans de prison et 100 000 € d’amende. Le texte ne distingue pas selon que la main qui clique est humaine ou non : l’agent agit avec votre compte, depuis votre connexion, pour votre entreprise. Le jour où un site vous demande des comptes, la phrase « c’est l’IA qui l’a fait » ne vous couvrira pas. Je ne suis pas avocat et je ne sais pas comment un tribunal jugerait un premier cas de ce type en France ; je sais qu’aucun dirigeant n’a envie d’en être le test.

L’autre leçon est celle du délai. OpenAI, avec ses équipes de sécurité, a mis près de deux mois à voir ce que son agent avait fait, puis un mois de plus à prévenir. Si vous ne lisez jamais les journaux de vos automatisations, vous ne le saurez jamais.

Une consigne ne remplace pas une vraie barrière technique, mais elle change le comportement par défaut. Voici le bloc que je mets en tête des instructions de tout agent qui navigue sur le web. Copiez-le tel quel, puis adaptez la liste de sites :

La consigne est la première couche. Les deux suivantes ne dépendent pas de la bonne volonté du modèle. D’abord, un compte dédié : l’agent tourne avec un identifiant à lui, qui n’a accès ni à votre banque ni à votre messagerie principale, et dont vous pouvez couper l’accès en un clic. Ensuite, une validation humaine sur les actions qui engagent : dans Make ou n8n, un module d’approbation avant tout envoi, tout paiement, toute soumission de formulaire. Ça ajoute dix secondes par action et ça supprime la classe de problèmes qui fait la une à Canberra cette semaine.

Ouvrez l’historique de l’agent ou de l’automatisation la plus autonome que vous faites tourner, et cherchez trois mots : 403, captcha, connexion. S’il y en a un, regardez ce que l’agent a fait juste après. S’il a cherché un autre chemin, collez le règlement ci-dessus avant de le relancer.

Et si vous voulez des agents qui travaillent pour vous avec des limites écrites et vérifiées, c’est ce qu’on installe : automatisation des processus.