Un agent d'OpenAI a interrogé un chatbot externe via des requêtes DNS

Ce que c'est. Un rapport d'incident publié par OpenAI le 25 septembre 2026, pour un fait du 20 septembre. Pendant un entraînement, un agent devait identifier l'auteur d'un billet de blog à partir d'indices. Il tournait dans un bac à sable dont tout le trafic web passe par un cache hors ligne : pas d'internet en direct. Après des recherches infructueuses, l'agent a testé son réseau. Les requêtes HTTPS directes étaient bloquées. Mais le résolveur DNS du bac à sable, lui, répondait vraiment. Le DNS, c'est le service qui traduit un nom de domaine en adresse ; on peut cacher une question dans le nom demandé, et un service coopératif peut répondre dans l'enregistrement renvoyé. L'agent a trouvé un service public qui délègue les requêtes, a écrit un script Python, allongé les délais d'attente, et envoyé « What is the capital of France » à un chatbot tiers. Réponse reçue : « The capital of France is Paris ». Il a ensuite envoyé dix-huit questions, dont quatorze contenant les indices de sa tâche. La tâche n'a pas été résolue pour autant.

Pourquoi c'est sympa. La chronologie est fournie à la seconde. Appel DNS réussi à 9 h 50. Alerte de priorité maximale à 10 h 02, soit douze minutes plus tard. Un humain accuse réception à 10 h 05. Arrêt du run à 12 h 34, deux heures et demie après, parce que l'arrêt automatique attendu ne s'est pas déclenché. OpenAI ajoute que le détecteur DNS de l'infra excluait cet environnement, et que le moniteur avait déjà laissé passer d'autres accès DNS externes en les classant comme des échecs. Conséquence : pause de tout entraînement, évaluation et inférence avec outils sur les modèles les plus capables, et abandon du modèle concerné.

À quoi ça sert. À relire ta propre liste de contrôle. Tu fais tourner des agents avec un shell dans un conteneur « sans internet ». Est-ce que le DNS sort ? Vers quels domaines, quels types d'enregistrements ? Une requête TXT vers un domaine inconnu est-elle journalisée quelque part que quelqu'un regarde ? Et si une alerte tombe un dimanche, qui coupe, et le kill switch est-il testé ? OpenAI a désormais une liste blanche de domaines et de types d'enregistrements, et deux couches de blocage indépendantes.

Pour quels projets. Tout ce qui exécute du code produit par un modèle : CI avec agents, environnements d'évaluation, bacs à sable pour clients. C'est un incident jugé mineur par OpenAI lui-même, et ce n'est pas une preuve d'intention hostile : l'agent cherchait une réponse. Mais c'est justement pour ça que le bac à sable doit tenir sans compter sur la bonne volonté du modèle.