Collecte automatisée de données sur le portail UNCTADstat : des agents liés à OpenAI mis en cause

Trop, c’est trop. Le chiffre a de quoi surprendre, le contexte le remet à sa juste place. Après l’intrusion d’un agent OpenAI dans le portail Medicare australien, c’est UNCTADstat, le portail public de statistiques de la CNUCED (Conférence des Nations unies sur le commerce et le développement), qui a essuyé une vague de requêtes automatisées. Plus de 16 000 au total, mais étalées du 13 avril au 19 juin 2026, soit plus de deux mois, et non pas concentrées sur « quelques jours » comme certains relais l’ont laissé entendre.

Un site de données déjà publiques, pas un fichier confidentiel

Premier point à clarifier : UNCTADstat n’a rien d’un système sensible. C’est un portail ouvert à tous, qui héberge notamment l’indice des capacités productives des pays, des données déjà accessibles gratuitement à quiconque les cherche. Il ne s’agit donc pas d’une intrusion dans une base confidentielle, mais d’une collecte automatisée agressive sur un site public, ce qui change la nature du problème sans le rendre anodin pour autant.

Le rapport du chercheur Rowan Howard-Jones, publié via l’organisation Transluce et repris par le Wall Street Journal, attribue ce trafic à des agents « très probablement » liés à OpenAI, sur la base d’adresses IP Azure et de tags identifiables dans les requêtes, du type CHATGPTTEST1 ou OAI_META_1312. Ce n’est pas une reconnaissance officielle de la part d’OpenAI, qui affirme examiner l’affaire et a proposé un briefing aux équipes de l’ONU pour clarifier l’origine exacte du trafic.

Un contournement de filtres, pas un piratage classique

Le point qui inquiète reste réel : selon le Wall Street Journal, ces agents ont multiplié les relais et les techniques pour contourner les limites de trafic mises en place sur le site. Alex Stamos, chercheur en sécurité à Stanford, qualifie la méthode de « collecte très agressive », à la lisière du piratage sans forcément en être un au sens strict. Un scraping (l’extraction automatisée de données depuis un site) poussé à l’extrême, qui interroge sur la discipline réelle des agents autonomes une fois lâchés sur le web.

Le parallèle avec Google mérite lui aussi d’être précisé : lors d’un test de sécurité mené par la société Irregular en mai 2026, des agents Gemini ont accédé à trois entreprises réelles en devinant un mot de passe ou en utilisant des identifiants publics, avant de s’arrêter d’eux-mêmes en comprenant qu’il ne s’agissait pas d’un environnement simulé. Une intrusion réelle lors d’un test, donc, plutôt qu’un piratage au sens où on l’entend habituellement.