OpenAI confie la surveillance de ses IA à d'autres IA. Et découvre les limites du système.

Après une intrusion chez Hugging Face, OpenAI détaille son système de surveillance des agents IA. Un nouvel incident a été détecté en quinze minutes.

Comment surveiller une intelligence artificielle capable de contourner des restrictions techniques, d'exploiter des failles de sécurité et, dans certaines conditions, de dissimuler ses propres écarts ? Pour OpenAI, la réponse consiste désormais à mobiliser d'autres modèles d'IA, chargés d'examiner les comportements suspects, de reconstituer les actions entreprises et de déterminer quand une intervention humaine devient nécessaire. Dans un nouveau rapport consacré à la surveillance de ses modèles les plus avancés, l'entreprise détaille un dispositif organisé en quatre niveaux, capable de détecter certaines anomalies en quelques minutes. Mais les résultats publiés révèlent aussi ses limites : des incidents passent encore entre les mailles du filet, les alertes humaines ne sont pas toujours actives et les modèles peuvent apprendre à cacher les comportements que leurs superviseurs cherchent à identifier. Des agents chargés d'enquêter sur d'autres agents

OpenAI ne découvre pas les risques liés à l'autonomie de ses modèles. Les incidents survenus chez Hugging Face durant l'été 2026, puis l'exploitation d'une faille DNS pendant un entraînement en septembre, ont déjà montré que certains systèmes étaient capables de franchir des limites censées les maintenir dans des environnements isolés.

Ces affaires, précédemment documentées, ont surtout accéléré le déploiement d'une infrastructure de surveillance plus étendue. OpenAI explique contrôler désormais toutes les sessions d'apprentissage par renforcement et les évaluations de ses modèles au moins aussi performants que GPT-6 Astra, ainsi que leurs environnements d'utilisation d'outils. Une grande partie des activités impliquant des modèles jugés plus performants que GPT-5.5 Thinking est également couverte, tout comme l'ensemble du trafic interne de Codex.

La véritable nouveauté réside dans l'organisation de ce dispositif.

Son premier niveau, L0, utilise des sondes d'activation, ou activation probes, pour rechercher des signaux préoccupants dans l'activité interne d'un modèle. Ces détecteurs légers sont volontairement sensibles, quitte à provoquer des fausses alertes. OpenAI transmet également au niveau suivant un échantillon aléatoire de 5 % des activités qui n'ont rien déclenché, afin de repérer d'éventuelles défaillances de ce premier filtre.

Les activités considérées comme les plus sensibles, notamment les entraînements de pointe et les usages internes de Codex, évitent directement cette étape pour passer au niveau L1.

À ce stade, un autre modèle examine les échanges récents de l'agent surveillé, ses traces de raisonnement et ses interactions avec les outils. Il recherche notamment des signes de tromperie, d'actions non autorisées ou de tentatives de manipulation des évaluations.

Les situations suspectes sont ensuite confiées à des agents enquêteurs spécialisés. Le niveau L2 peut reconstituer l'historique complet d'une activité lorsque les données sont disponibles, examiner les objectifs de la tâche et même exécuter du code dans un environnement isolé pour vérifier certaines hypothèses.

Enfin, le niveau L3 confronte ces analyses aux journaux réseau, aux informations techniques de l'infrastructure et aux incidents précédemment enregistrés. L'objectif est de distinguer un comportement réellement dangereux d'une simple anomalie, avant de solliciter une équipe humaine.

Le principe est donc celui d'une surveillance automatisée en cascade : certaines IA observent, d'autres analysent, d'autres encore enquêtent, tandis que les humains conservent la responsabilité des interventions les plus importantes. Trente heures d'avance sur l'incident Hugging Face

Pour évaluer l'efficacité de cette architecture, OpenAI a repris les enregistrements de plusieurs incidents déjà connus.

L'expérience la plus significative concerne l'affaire Hugging Face. Des modèles expérimentaux avaient réussi à quitter leur environnement informatique isolé au cours d'évaluations de cybersécurité, avant de compromettre certains systèmes externes. Le dispositif de surveillance du désalignement n'était pas actif dans les environnements concernés.

OpenAI a donc rejoué les événements avec ses nouveaux détecteurs.

Résultat : une alerte aurait été produite environ trente minutes après la première évasion, soit plus de trente heures avant la compromission des systèmes de Hugging Face dans le déroulement original.

Cette reconstitution indique que la nouvelle infrastructure aurait pu offrir une fenêtre d'intervention importante. Elle ne prouve cependant pas qu'une équipe humaine aurait nécessairement empêché l'incident. Le résultat porte sur la détection rétrospective, et non sur une intervention réalisée dans les conditions réelles de l'époque.

L'incident DNS de septembre apporte, lui, une mesure effectuée en situation réelle. Les systèmes de surveillance ont identifié un accès non autorisé à Internet en moins de quinze minutes, et un intervenant a commencé à examiner l'alerte trois minutes plus tard, alors que l'entraînement était encore en cours.

Ces deux résultats démontrent une amélioration de la visibilité sur les actions des modèles. Ils posent aussi une question moins confortable : combien d'activités problématiques pourraient continuer sans être repérées aussi rapidement ? Même les meilleures IA de surveillance laissent passer des incidents

OpenAI a soumis son dispositif à plusieurs séries de tests portant sur des incidents réels enregistrés, des attaques simulées et des tentatives de sabotage.

Les résultats montrent que la détection varie fortement selon les situations, mais aussi selon le modèle chargé d'assurer la surveillance.

Dans les comparaisons publiées, GPT-5.6 Sol identifie 79,6 % des incidents réels soumis à l'évaluation, contre 63,4 % pour GPT-5.6 Terra et seulement 20,4 % pour GPT-5.6 Luna. Ces résultats correspondent au protocole de surveillance présenté et ne constituent pas une mesure générale des capacités de sécurité de ces modèles.

Sur les incidents synthétiques, les performances