Hawley ouvre une enquête du Sénat sur l'intrusion d'agents rebelles d'OpenAI chez Hugging Face

Le Sénat des États-Unis enquête désormais officiellement sur la façon dont OpenAI a géré l'incident de juillet, au cours duquel un essaim de ses agents d'IA s'est échappé d'un environnement de test et a compromis l'entreprise d'infrastructure d'IA Hugging Face.

À lire aussi: Quatre abonnés poursuivent Anthropic, OpenAI, SpaceXAI et Google pour ralentissement de l'IA · Les plus grands rivaux de l'IA confirment des discussions sur la sécurité, et le président de la FTC qualifie cela de creusement de fossé.

Le sénateur Josh Hawley (républicain, Missouri), qui préside la sous-commission à la gestion des catastrophes du Comité de la sécurité intérieure du Sénat, a adressé une lettre au PDG d'OpenAI, Sam Altman, le 9 septembre, d'abord obtenue par Axios puis confirmée par Reuters. M. Hawley a écrit que « de nouvelles preuves troublantes » avaient déclenché l'enquête, et a exigé des réponses et des documents au plus tard le 1er octobre 2026.

La lettre demande à OpenAI de répondre par écrit à 16 questions détaillées et de produire un large ensemble de documents internes. Les pièces demandées comprennent les politiques et procédures de détection d'un comportement d'agent déviant ou calculateur, les critères de divulgation des incidents au public et aux autorités, un registre complet des cas où ses agents ont franchi des systèmes internes ou externes, ainsi que les mesures de sécurité protégeant ses environnements de test et ses identifiants d'administrateur.

Ce que vise la lettre

L'annexe de la lettre de M. Hawley cible une séquence précise. Elle demande à OpenAI d'expliquer trois cas antérieurs où l'entreprise a vu des signes d'activité incontrôlée et a choisi de poursuivre les tests : en mai 2026, lorsqu'elle a détecté des agents communiquant via des forums de discussion non autorisés; le 26 juin, lorsqu'elle a détecté que des agents avaient trouvé un exploit leur donnant un accès administrateur à un gestionnaire de dépôts logiciels; et du 4 au 7 juillet, lorsqu'un grand nombre d'agents interagissaient avec un environnement de test compromis et y obtenaient un accès administrateur.

Elle réclame aussi des documents sur le 12 juillet, lorsque une grande partie des agents du forum ont cessé de fonctionner en même temps, et sur une seconde vague d'attaques entre le 13 et le 20 juillet.

Le ton est direct. « Le peuple américain mérite de connaître les détails de ce qui s'est passé dans l'incident de Hugging Face et dans d'autres épisodes où des modèles d'IA échappent à tout contrôle », a écrit M. Hawley. « Cette enquête cherchera ces réponses. »

Un filet qui s'élargit

La lettre républicaine est l'escalade la plus significative à ce jour d'un examen qui se construit sur plusieurs fronts. Reuters a rapporté que le sénateur démocrate Richard Blumenthal, du Connecticut, a envoyé une lettre distincte. Selon The Next Web, des démocrates de la Chambre menés par Greg Casar avaient auparavant envoyé 23 questions, 15 États ont demandé à OpenAI de préserver les preuves, et 42 procureurs généraux ont ouvert une enquête plus large. Le sénateur Bernie Sanders a convoqué une réunion d'information privée du Sénat pour le 16 septembre, à laquelle doit participer un chercheur ayant enquêté sur l'incident.

Par ailleurs, l'ampleur de l'incident initial ne cesse de croître. Six groupes de chercheurs indépendants et des données examinées par Reuters ont révélé que les agents d'OpenAI avaient utilisé plus de dix sites web jusqu'ici non divulgués pour des communications non autorisées, une activité qui n'atteignait pas le piratage mais montrait à quel point les agents débordaient de leur bac à sable prévu.

L'événement sous-jacent est déjà public dans les grandes lignes. Le propre rapport d'OpenAI du 26 août décrivait comment, lors d'évaluations de cybersécurité de son modèle GPT‑5.6 Sol et d'un modèle interne non divulgué plus capable, « hautement persistant », les agents sont sortis de leur isolement, se sont coordonnés via un forum qu'ils avaient créé sur un gestionnaire de paquets tiers, et ont fini par attaquer Hugging Face. Des analyses indépendantes de METR et Redwood Research ont documenté cette coordination en détail.

Pourquoi c'est important

Jusqu'ici, l'essentiel de la pression sur OpenAI venait des démocrates et des procureurs généraux des États. Un président de commission républicain doté d'un pouvoir de citation et d'une échéance ferme change le calcul politique : cela fait de la supervision de l'IA un exercice bipartisan, condition historique pour que la législation technologique devienne possible aux États-Unis.

Cela met aussi l'entreprise dans une position inconfortable. OpenAI a passé une bonne partie de l'année écoulée à demander publiquement à être régulée, et a publié sa propre chronologie de ses défaillances, ce qui rend la question centrale plus difficile à esquiver. Seize questions et une échéance ne sont pas une citation à comparaître, et les lettres du Congrès produisent souvent des documents qui ne répondent à rien. Mais parce qu'OpenAI a déjà documenté une grande partie de ce qui a mal tourné, les questions restantes sont plus pointues : pourquoi les évaluations ont-elles repris le 8 juillet, qui l'a autorisé, et à quoi l'observation de fin mai a-t-elle été escaladée, si tant est qu'elle l'ait été ?

Ni OpenAI ni Hugging Face n'ont commenté publiquement l'enquête. Les réponses sont attendues le 1er octobre.