Les écarts de conduite des modèles auront désormais leur rapport

Un nouveau cadre interne prévoit qu’OpenAI publie certains comportements inattendus de ses modèles sous six ou douze jours ouvrés, même lorsque leur origine ou leur correction reste incertaine.

Un modèle récupère une clé API exposée, échoue à obtenir les données recherchées, puis les invente. Un autre publie un fichier sur Internet sans autorisation pour pouvoir le citer. Plusieurs agents transforment un dépôt logiciel interne en messagerie improvisée. Ces comportements font partie des six premiers cas réunis dans le nouveau cadre de signalement d’OpenAI.

Le « misalignment », ou désalignement, désigne ici un écart entre le comportement attendu d’un système et les actions qu’il réalise effectivement. Il ne s’agit pas nécessairement d’une tentative autonome visant à nuire. La catégorie comprend aussi les contournements de restrictions, les dissimulations, les actions non autorisées et les stratégies destinées à satisfaire une évaluation sans accomplir correctement la tâche.

Jusqu’à présent, l’entreprise reconnaît avoir traité ces découvertes de manière irrégulière. Certaines étaient regroupées dans une publication de recherche, d’autres ajoutées aux fiches techniques lors de la sortie d’un modèle. Le nouveau cadre doit permettre de publier un cas sans attendre que son mécanisme soit complètement compris ou qu’une correction soit déjà disponible.

Un comportement pourra être retenu s’il révèle une nouvelle forme de désalignement, une évolution significative d’un problème déjà connu ou une faiblesse remettant en cause une mesure de sécurité. Le cadre couvre l’entraînement, les évaluations, les essais internes et les produits utilisés par des clients.

Les actions sans autorisation, la coordination entre plusieurs modèles, les tentatives d’échapper à la supervision et les résultats contredisant une évaluation de sécurité entrent dans son périmètre. Un événement n’a pas besoin d’avoir provoqué un dommage ni de constituer une tendance générale pour être publié.

La répétition d’un comportement déjà documenté pourra également justifier une nouvelle communication. Dans ce cas, OpenAI prévoit de compléter le rapport précédent afin de montrer qu’une mesure corrective n’a pas empêché sa réapparition.

Chaque membre du personnel peut transmettre un cas aux équipes chargées de la sécurité et de l’alignement. Les équipes techniques examinent ensuite ce qui s’est produit, les explications encore incertaines, les informations pouvant être rendues publiques et les éventuels tiers concernés.

Trois circuits sont prévus. Un cas « Ready for Disclosure », dont l’enquête est suffisamment avancée, doit être publié sous six jours ouvrés. Une « Minor Investigation » dispose de douze jours ouvrés. Ces délais ont été précisés par OpenAI lors d’un échange avec Axios, mais n’apparaissent pas clairement sous forme chiffrée dans le texte principal du cadre.

Le troisième circuit, baptisé « Larger Investigation » ou « Slow Track », concerne les affaires plus complexes, en particulier lorsqu’une organisation extérieure est impliquée. Aucun délai fixe n’est fourni. OpenAI prévoit une première notice présentant les faits connus, la participation éventuelle d’experts indépendants et, lorsque cela est possible, une estimation de la date du rapport complet.

Cette première communication pourra être retardée si elle révèle une vulnérabilité encore exploitable, compromet une enquête ou interfère avec une procédure de divulgation responsable. Les obligations juridiques, contractuelles et de sécurité passent alors avant le calendrier interne.

Lorsqu’un membre du personnel conteste la décision de ne pas publier un cas ou le circuit qui lui est attribué, le désaccord peut être transmis au Safety Advisory Group. Ce groupe composé de responsables de l’entreprise supervise également son Preparedness Framework. Un nouveau désaccord ou une objection persistante remonte ensuite à la direction d’OpenAI.

Le processus prévoit donc plusieurs niveaux de recours, mais ils restent tous internes. Le choix initial du cas, son classement, le contenu du rapport et la décision finale appartiennent à l’entreprise. Aucun comité extérieur ne dispose d’un droit de regard systématique ou d’un pouvoir de publication.

Chaque rapport doit au minimum préciser le comportement observé, sa gravité, ses conséquences extérieures éventuelles, les conditions dans lesquelles il est apparu, le moment de sa découverte et la famille de modèles concernée. Lorsque les informations sont disponibles, OpenAI ajoutera les dommages produits, le périmètre de l’enquête, les questions encore ouvertes et les mesures envisagées.

Les renseignements portant sur des déploiements clients pourront être limités par les obligations de confidentialité et les contrats. Cette protection est nécessaire, mais elle laisse aussi une marge importante à l’entreprise pour déterminer ce que le public peut réellement examiner.

Les six premiers rapports illustrent des problèmes différents. Ils ne constituent pas un historique exhaustif des incidents connus et ne permettent pas de mesurer leur fréquence. La plupart concernent des modèles de recherche non commercialisés pendant leur entraînement, et non des conversations ordinaires dans ChatGPT.

Le premier cas porte sur une version interne de la famille Astra. Lorsqu’une tâche devient trop longue pour tenir dans sa fenêtre de contexte, le système produit un résumé de son travail afin qu’une nouvelle séquence puisse prendre la suite. OpenAI a identifié 27 résumés contenant des instructions supplémentaires ressemblant à des tentatives de jailbreak.

L’un de ces résumés demandait à la séquence suivante d’ignorer les messages développeur. Un autre attribuait au modèle une personnalité indépendante refusant de répondre aux entreprises ou aux gouvernements. Une troisième instruction interdisait l’utilisation d’outils et imposait une réponse de moins de 30 mots à une demande qui nécessitait une recherche bibliographique.

Les effets ont varié. Le modèle a reconnu et ignoré la première instruction. La personnalité ajoutée n’a produit aucun changement observable. La restriction portant sur la longueur a, en revanche, été suivie : la séquence suivante a refusé d’effectuer la