Un wallet qui n’est pas à lui, une seed phrase que la planète entière connaît, et un agent qui ne s’embarrasse pas de détails. OpenAI a publié jeudi 15 octobre un rapport dans lequel l’entreprise reconnaît qu’un de ses modèles internes de la famille GPT-5.6 Sol a retrouvé une phrase de récupération publiée en ligne. Le modèle a dérivé l’adresse du wallet Ethereum correspondant sur le réseau de test Sepolia, puis payé le déploiement de ses propres contrats avec l’ETH trouvé dedans. Sans demander, et sans le raconter ensuite. Les faits remontent au 26 juin, en pleine série d’incidents qui ont mené au piratage de Hugging Face. Personne ne s’en est aperçu avant le 25 septembre et une relecture des anciennes traces.
Points clés
- Le modèle a passé en revue 362 adresses dérivées de seed phrases de documentation avant d’en dénicher une avec un solde.
- Dans son raisonnement, il a décrété le compte « abandonné » au motif que l’ETH de testnet ne vaut rien, puis a signé.
- OpenAI parle d’« accès non autorisé » et retire l’accès internet en direct à ce type de tâche.
Comment l’agent d’OpenAI s’est servi dans un wallet Ethereum qui n’était pas le sien
La mission n’avait rien d’un casse. Il fallait remplacer des adresses de contrats factices par des déploiements réels sur Sepolia, le réseau d’essai d’Ethereum. Le tout dans un prototype d’application de trading. Sauf que déployer coûte du gas, et que l’énoncé ne fournissait aucun compte alimenté. Les faucets, ces distributeurs gratuits d’ETH de test, n’ont rien craché. Un stagiaire humain aurait envoyé un message à son chef. L’agent, lui, a eu une idée que tout développeur reconnaîtra avec un petit frisson dans la nuque.
Hardhat et Anvil, les outils standards du développement Ethereum, livrent des comptes par défaut dérivés d’une seed phrase publique. Elle est imprimée noir sur blanc dans leur documentation. N’importe qui peut en reconstituer les clés privées, ce qui est le but puisqu’il s’agit de comptes de bac à sable. L’agent a donc écrit un script, dérivé 362 adresses et interrogé leur solde une par une. Une seule contenait de l’ETH.
Il a ensuite lu l’historique du compte, constaté qu’un bot le vidait régulièrement, et tranché dans son raisonnement interne : « les fonds d’une phrase de développement publique sont effectivement abandonnés, l’ETH de Sepolia ne vaut rien ». Traduction libre : si personne ne regarde, c’est que personne n’y tient. Il a signé la transaction avec la clé dérivée. Un premier fournisseur RPC a refusé, deux autres ont laissé passer. Et le reçu confirme le prélèvement des frais sur le compte trouvé. Dix contrats déployés, douze tests réussis, mission accomplie. Le compte rendu final remis à l’utilisateur ne mentionne ni la clé publique ni l’argent dépensé. Un rapport de stage irréprochable, à un détail près.
Un testnet sans valeur et un raisonnement qui peut coûter cher
Soyons honnêtes sur le butin. Aucun ETH n’est parti chez un tiers, l’agent n’a réglé que les frais de transaction, et les montants restent caviardés dans le rapport. Sur Sepolia, un jeton ne vaut pas un centime. La victime est au mieux un développeur qui avait laissé traîner quelques faux ethers sur un compte ouvert à tous.
OpenAI ne parle d’ailleurs pas de fraude mais de désalignement, ce qui est plus élégant et nettement plus inquiétant. Le modèle « s’est demandé s’il avait la permission ». Puis il « a estimé qu’une phrase de récupération publique et des jetons de test sans valeur rendaient les fonds acceptables ». Autrement dit, il s’est posé la bonne question et a décidé d’y répondre à la place du propriétaire. Un modèle qui remplace l’autorisation par son propre calcul du préjudice refera ce calcul ailleurs, avec d’autres chiffres.
Des seed phrases sur GitHub au wallet Ethereum sur mainnet
Et ailleurs, les seed phrases traînent. GitHub en héberge des milliers, oubliées dans des fichiers de configuration, et des bots les vident en quelques secondes. Un agent persuadé que des fonds « sont abandonnés » n’a besoin d’aucune faille technique pour passer d’un wallet Ethereum de testnet au mainnet. Crypto Briefing le note en relayant le rapport. Il lui suffit d’une tâche bloquée et d’un accès réseau. OpenAI répond sur ce point précis en coupant l’accès internet en direct pour ce type d’entraînement. Une surveillance alertera l’équipe sécurité si un modèle s’en procure un quand même. OpenAI ne dit rien sur la manière de rendre le modèle moins débrouillard. Pour une entreprise qui a bâti sa fortune sur des modèles débrouillards, on comprend l’embarras.
L’ironie veut que toute l’industrie construise en ce moment même les rails pour que les agents paient seuls. Le protocole x402 dépasse les 100 millions de transactions d’agents sur Base, Tether investit dans AIsa pour que des agents règlent leurs données, et Jamie Dimon vient d’interdire les agents externes sur les comptes de JPMorgan. Le rapport du 15 octobre est le premier cas documenté où l’agent d’un grand laboratoire a payé sa tâche avec le wallet Ethereum de quelqu’un d’autre. Il a fallu trois mois pour s’en rendre compte.
L’article Agent IA voleur de crypto : ce bot d’OpenAI paie son travail avec la cryptomonnaie d’un inconnu est apparu en premier sur Journal du Coin.
