L’IA a peut-être aidé OpenAI à enquêter sur une tentative présumée d’espionnage industriel, mais les procureurs affirment qu’un chatbot a également contribué à mettre au point le dispositif d’enregistrement au cœur de l’affaire.
L’affaire porte sur un dispositif d’enregistrement audio dissimulé qui aurait été placé dans une salle de conférence. OpenAI affirme que ses modèles d’IA ont aidé les enquêteurs à examiner les éléments de preuve et à identifier un employé suspecté.
Le FBI a ensuite arrêté cet employé, qu’OpenAI dit avoir licencié ce jour-là, mais les allégations publiques n’établissent pas quelles conversations, le cas échéant, ont effectivement été enregistrées ni si des enregistrements sont parvenus à une autre personne.
L’incident met en évidence une faille de sécurité que la surveillance du réseau à elle seule ne peut pas combler : des dispositifs physiques non autorisés peuvent recueillir directement des informations auprès des personnes et lors des réunions. Les organisations qui traitent des travaux de recherche sensibles et des projets commerciaux doivent donc mettre en place des mesures de sécurité physique en complément de leurs défenses numériques.
Ce qui s’est réellement passé
Selon une annonce du ministère de la Justice du 13 octobre résumant la plainte pénale, Abdulrahman Alfozan, ingénieur de 35 ans chez OpenAI, aurait placé un dispositif d’enregistrement audio dissimulé dans une salle de conférence réservée aux dirigeants, dans les bureaux de l’entreprise à San Francisco, le 28 septembre 2026 ou aux alentours de cette date.
Le dispositif aurait été enveloppé dans du papier toilette et inséré dans un port USB situé à l’arrière d’un téléviseur, ses données étant chiffrées.
Selon Gizmodo, OpenAI a découvert le dispositif le 30 septembre lors d’une inspection de routine.
Avant l’arrestation d’Alfozan, des images de vidéosurveillance l’auraient montré entrant dans la salle de conférence et regardant derrière le téléviseur où l’enregistreur avait été installé. OpenAI aurait également découvert un second dispositif d’enregistrement similaire dans le sac d’Alfozan.
Alfozan, qui travaillait chez OpenAI depuis juillet 2025, a été arrêté le 9 octobre. OpenAI a déclaré avoir mis fin à son contrat ce jour-là.
Les autorités fédérales l’accusent d’avoir utilisé ou tenté d’utiliser un appareil électronique pour intercepter des communications orales. Il encourt une peine maximale de cinq ans de prison s’il est reconnu coupable, et l’enquête se poursuit.
Ce qui reste inconnu
Malgré l’arrestation, plusieurs questions restent sans réponse, à commencer par celle de savoir si le dispositif d’enregistrement a effectivement capté des conversations confidentielles.
Bien que les enquêteurs affirment que le dispositif était conçu pour enregistrer de l’audio et que ses données étaient chiffrées, les allégations accessibles au public n’établissent pas ce qui a été enregistré, si les enregistrements ont été récupérés ni si des informations ont été transmises à un tiers.
Le mobile de la tentative présumée de surveillance reste également incertain, et les documents n’établissent pas qui, le cas échéant, était censé recevoir les enregistrements.
OpenAI a déclaré n’avoir trouvé aucun indice laissant penser que l’employé avait accédé de manière abusive aux poids des modèles, au code source ou aux données des clients, ou les avait exfiltrés. Cette déclaration n’établit pas si des conversations audio confidentielles ont été captées.
Enfin, les allégations n’ont pas encore été examinées par un tribunal. Alfozan est présumé innocent jusqu’à preuve du contraire.
L’IA a effectué une partie du travail
Selon les informations disponibles, l’IA a joué deux rôles distincts dans cette affaire : elle a aidé OpenAI à enquêter sur le dispositif d’enregistrement dissimulé et aurait aidé le suspect à se renseigner sur la manière de le fabriquer et de le dissimuler.
Selon Gizmodo, les enquêteurs d’OpenAI ont transmis aux modèles d’IA de l’entreprise des images forensiques du stockage du dispositif ainsi que des relevés des modifications apportées à ses données. Combiné à l’analyse humaine, ce processus a aidé les enquêteurs à comprendre l’origine du dispositif et à identifier un employé soupçonné de l’avoir placé.
De l’autre côté de l’affaire, les procureurs affirment qu’Alfozan a utilisé un chatbot d’IA pour se renseigner sur la fabrication et la modification d’un enregistreur audio clandestin. a rapporté Fortune que OpenAI a identifié le chatbot comme étant ChatGPT. Les procureurs ont décrit le compte comme étant associé à l’épouse d’Alfozan ; celle-ci n’a pas été inculpée dans la plainte.
Selon le ministère de la Justice, le compte a soumis des requêtes portant sur la mise au point et la dissimulation de matériel d’enregistrement, l’accès à distance et le chiffrement. Certaines requêtes contenaient des identifiants propres au dispositif récupéré.
Ce que les entreprises peuvent en retenir
Pour les entreprises, cette affaire montre pourquoi les espaces de réunion sensibles doivent être intégrés à la planification de la sécurité d’une organisation. Un dispositif qui enregistre localement de l’audio peut ne générer aucun trafic sur le réseau de l’entreprise, ce qui limite ce que la surveillance du réseau peut révéler.
Les équipes de sécurité devraient vérifier qui peut entrer dans les salles utilisées pour des discussions confidentielles et si les équipements installés, les câbles et les ports accessibles correspondent à un inventaire approuvé. Ces contrôles de sécurité physique doivent refléter la sensibilité des informations discutées, et les employés doivent disposer d’un moyen clairement défini pour signaler tout équipement inconnu.
Les organisations devraient également déterminer qui intervient lorsqu’un dispositif suspect est découvert. La sécurité physique, les équipes informatiques et les équipes chargées de la réponse aux incidents ont besoin de procédures pour documenter la découverte et préserver les éléments de preuve. Les employés devraient signaler les dispositifs inconnus plutôt que de les connecter à un poste de travail ou de tenter de les examiner eux-mêmes.
L’aspect lié à l’IA appelle une autre réflexion. Les assistants internes devraient respecter les restrictions d’accès existantes concernant les calendriers sensibles, les détails des réunions et les informations sur les salles. Les organisations devraient évaluer dans quelle mesure des outils professionnels légitimes pourraient être détournés pour soutenir des activités malveillantes, parallèlement à leurs avantages potentiels en matière de défense.
Lorsqu’une IA contribue à une enquête, les analystes devraient vérifier ses conclusions à l’aune des éléments de preuve originaux et documenter la manière dont ils sont parvenus à leurs résultats. La leçon pratique consiste à s’assurer que l’accès aux salles, les contrôles des équipements et les procédures d’enquête fonctionnent de concert lorsqu’une menace franchit les frontières entre le physique et le numérique.
Pour en savoir plus : les risques liés à l’utilisation abusive de l’IA vont au-delà des dispositifs d’enregistrement — découvrez comment les attaquants utilisent des agents d’IA pour automatiser la reconnaissance, voler des identifiants et accélérer les cyberattaques.