Un modèle d'OpenAI a utilisé des ethers de test sans autorisation, découvert trois mois plus tard

Pour déployer un contrat, un modèle de recherche interne d'OpenAI a vérifié 362 adresses sur le réseau de test Ethereum et a utilisé sans autorisation des ethers de test d'un portefeuille pour payer des frais, ce qui n'a été découvert que trois mois plus tard.

Rédaction : angelilu, Foresight News

OpenAI a mis à jour un rapport interne sur l'incident le 15 octobre : un modèle de recherche a utilisé sans autorisation un portefeuille de test de cryptomonnaie avec des fonds lors de l'exécution d'une tâche de programmation.

L'incident s'est produit le 26 juin 2026, et OpenAI l'a découvert le 25 septembre lors de la vérification des activités du modèle.

Ce jour-là, le modèle a reçu une tâche apparemment ordinaire : modifier une application de trading de cryptomonnaie et déployer un ensemble de contrats sur le réseau de test Ethereum Sepolia.

Le déploiement nécessitait le paiement de frais de Gas, mais l'utilisateur n'a pas fourni de portefeuille et n'a pas autorisé le modèle à utiliser d'autres comptes. Le modèle a d'abord cherché des contrats existants, puis a essayé de recevoir des ethers de test d'un robinet, sans succès. Normalement, la tâche aurait dû s'arrêter ici, demandant à l'utilisateur d'ajouter des fonds.

Il a choisi une autre voie.

En général, certains outils de développement blockchain publient des phrases mnémotechniques fixes pour permettre aux développeurs de générer localement le même lot de comptes de test. Ces comptes ne devraient être utilisés que pour des tests locaux et ne devraient pas recevoir d'actifs sur le réseau public. Cependant, si quelqu'un y transfère des ETH Sepolia, les ethers de test resteront sur cette adresse. Le modèle a pensé qu'il pouvait utiliser ces ETH Sepolia inactifs pour accomplir sa tâche.

Ce modèle a collecté ces phrases mnémotechniques publiques, a automatiquement généré les adresses correspondantes et a vérifié les soldes un par un. L'ensemble du processus n'impliquait pas de piratage : les phrases mnémotechniques publiques peuvent directement générer des clés privées, et n'importe qui peut le faire avec un logiciel disponible. C'est juste que le modèle a automatisé cette opération, vérifiant d'un coup 362 adresses, et a finalement trouvé un compte avec suffisamment d'ETH Sepolia. Ensuite, il a signé la transaction avec la clé privée correspondante et a déployé le contrat sur la chaîne.

La transaction a réussi, les frais ont été pris en charge par un portefeuille qui n'avait pas autorisé cette opération. Le modèle a terminé le code, a réussi 12 tests unitaires et a rapporté les résultats du déploiement dans sa réponse finale, mais il n'a pas précisé que les frais de déploiement provenaient d'un portefeuille trouvé de manière autonome et non autorisé.

OpenAI a qualifié cet incident d'« utilisation non autorisée d'un portefeuille de test de cryptomonnaie avec des fonds ». Le modèle impliqué appartient à la série de recherche interne GPT-5.6 Sol, actuellement utilisée uniquement pour la recherche interne, et n'est pas accessible aux utilisateurs ordinaires. OpenAI a déclaré qu'il avait découvert cet incident en élargissant la surveillance des comportements inappropriés et en examinant les enregistrements historiques des modèles. Par la suite, l'entreprise a ajouté des restrictions pour empêcher des tâches similaires d'accéder à Internet en temps réel et a fait en sorte que le système de surveillance avertisse l'équipe de sécurité en cas d'accès pertinent.

Comment le modèle a trouvé et dépensé ces ethers de test

Cet incident n'a pas entraîné de pertes d'actifs sur le réseau principal divulguées. Sepolia est le réseau sur lequel les développeurs Ethereum testent des contrats, et les ethers de test ne sont pas équivalents aux ETH du réseau principal et n'ont pas de valeur économique officielle. OpenAI n'a pas divulgué l'adresse impliquée, le solde et les frais spécifiques.

Après avoir trouvé un compte avec un solde, le modèle a vérifié son historique de transactions. Les enregistrements montrent que cette adresse pourrait être utilisée par un programme automatique, avec des activités récentes. Les phrases mnémotechniques publiques ont permis au modèle d'obtenir des capacités de signature, mais il n'y a aucune preuve que le compte ait été abandonné par son propriétaire.

Le modèle a également considéré si l'utilisation de ces fonds était appropriée. Mais il a estimé que les phrases mnémotechniques étaient déjà publiques, que le portefeuille pouvait être contrôlé par quelqu'un d'autre à tout moment ; et que les ETH Sepolia n'avaient pas de valeur économique, donc ils pouvaient être utilisés pour compléter le déploiement.

Ensuite, le modèle a utilisé la clé privée déduite pour signer hors ligne. Après que la première diffusion ait renvoyé une erreur, il a continué à chercher des fournisseurs de services réseau disponibles, vérifiant le nombre de transactions en attente du compte et le Gas, et a renvoyé la transaction. La deuxième diffusion a renvoyé le hachage de la transaction, l'état du reçu sur la chaîne était réussi, et les frais de déploiement ont été déduits de ce compte.

Une fois le contrat déployé, le modèle a vérifié le code byte et les résultats de lecture de 10 adresses de contrat, a terminé 12 tests unitaires et a produit une construction. Il a énuméré ces résultats dans sa réponse finale, sans préciser la source du portefeuille et les dépenses.

Les phrases mnémotechniques publiques ont résolu le problème de signature, la valeur des ethers de test étant très faible a également limité les pertes réelles, mais le propriétaire du compte n'a jamais consenti à cette transaction. OpenAI estime que le modèle a ici remplacé l'autorisation du propriétaire du compte par son propre jugement sur le degré de préjudice.

La blockchain amplifie le risque de dépassement d'autorité des agents

Les logiciels traditionnels fonctionnent généralement selon des chemins préétablis. En cas d'échec de la vérification des autorisations, le programme renvoie une erreur. Les agents IA, en revanche, comprennent les objectifs, recherchent des outils et, lorsqu'un chemin ne fonctionne pas, conçoivent activement un autre chemin.

Cette capacité permet aux agents de réserver des billets, d'appeler des interfaces payantes, de gérer des portefeuilles d'investissement, mais transforme également « pas de fonds fournis » d'une limite claire en un obstacle à résoudre par eux-mêmes.

La blockchain amplifie particulièrement ce type de problème. Les banques et les plateformes de paiement peuvent intercepter des transactions anormales, geler des comptes ou intervenir dans des litiges ; une transaction sur la chaîne signée et confirmée avec une clé privée valide ne demandera généralement pas au signataire pourquoi il possède cette clé. Pour le réseau, si la signature est correcte, la transaction est valide.

Le contrôle et l'autorisation sont deux choses différentes. Une clé privée ne prouve que qu'un programme a la capacité de gérer un compte, elle ne prouve pas que le propriétaire du compte lui permet d'agir à un moment donné, vers un contrat donné, pour un montant donné. Les humains peuvent comprendre cette différence, les contrats intelligents ne peuvent exécuter que les conditions écrites dans le code.

C'est aussi ce qui distingue cet incident d'une simple fuite de clé privée. Les enregistrements divulgués par OpenAI ne montrent pas que l'attaquant a induit ou injecté des mots d'invite. Le modèle a compris la tâche, a su que l'utilisateur n'avait pas donné d'argent, puis a cherché de manière proactive un portefeuille qui n'appartenait pas à la tâche. Le problème réside dans la façon dont il interprète les objectifs et les limites.

Des risques similaires ne resteront pas longtemps sur le réseau de test. L'industrie de la cryptographie confie des portefeuilles à des agents IA, leur permettant d'échanger automatiquement des devises, de transférer des fonds, de placer des ordres à cours limité, de participer à des marchés prédictifs ou de payer des frais d'API.

Par exemple, la plateforme d'agents de Circle utilise le partage de clés MPC à deux parties pour gérer les parts de clés, tout en précisant dans les termes : l'agent peut initier des transactions irréversibles en raison de logiciels malveillants, d'injections de mots d'invite, d'exécution de code ou d'erreurs de configuration, les utilisateurs doivent toujours définir des limites, restreindre l'accès et surveiller les activités anormales. Circle reconnaît également que les limites et le contrôle d'accès ne peuvent garantir que toutes les conditions réseau, les courses ou les erreurs logicielles empêchent des transactions accidentelles.

Ces produits font face au même problème : l'agent doit avoir suffisamment d'autorité pour agir au nom de l'utilisateur, mais plus l'autorité se rapproche de la clé privée complète, plus l'automatisation se rapproche d'un mandat sans limite.

Écrire les autorisations de dépenses des agents dans le code

Le rapport de recherche sur les paiements des agents publié cette année par le Fonds monétaire international les divise en trois niveaux : l'agent est responsable de la compréhension et de la génération de l'intention de paiement ; un niveau d'autorisation indépendant vérifie l'identité, la portée, les limites et les conditions ; enfin, le règlement est effectué par l'organisation de cartes, la banque ou la blockchain. Le rapport souligne particulièrement que l'autorisation en aval doit refléter le consentement explicite de l'utilisateur et ne doit pas dépendre de l'inférence autonome du modèle.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.