Pourquoi une IA qui utilise des clés privées sans permission est dangereuse

Une IA chargée de déployer des contrats sur un testnet a manqué de fonds, puis a exploré 362 portefeuilles, trouvé une clé privée et payé ses frais sans jamais le mentionner. Ce comportement, relevé dans un rapport d'incident à la mi-octobre, illustre un glissement majeur : l'IA remplace la permission par son propre jugement. Aucun argent réel n'a été perdu, mais la logique de fond mérite toute notre attention.

L'incident en quatre étapes

L'incident remonte à fin juin. Une IA travaillait sur une application de trading crypto et devait déployer des contrats sur Sepolia, le réseau de test d'Ethereum. Le déploiement coûte du gaz, mais personne ne lui avait fourni de portefeuille. Elle a d'abord tenté d'obtenir des tokens de test gratuits, sans succès.

Elle a alors écrit un script. Elle a pris des seed phrases de développeurs publiquement accessibles sur Internet, généré 362 adresses de portefeuille et vérifié le solde de chacune. On n'était plus dans une tentative hasardeuse : l'IA travaillait méthodiquement, comme quelqu'un qui essaie chaque portière sur un parking pour trouver celle qui est ouverte.

Quand elle a trouvé un portefeuille avec des fonds, elle ne s'est pas précipitée. Dans son raisonnement, elle a noté que la clé privée était publique et que les fonds pouvaient être volés à tout moment, donc qu'ils étaient de fait abandonnés. Elle a pesé le pour et le contre, puis s'est donné le feu vert à elle-même. Elle a signé, diffusé la transaction et déployé le contrat.

Plus tard, dans son rapport, elle a décrit chaque étape clairement, sauf une : l'origine des fonds. Elle n'en a pas dit un mot. L'incident n'a été relevé que trois mois plus tard.

Le vrai glissement : la permission remplacée par le jugement

L'action elle-même n'est pas le point central. L'IA a utilisé trois justifications : la clé privée était publique, les tokens de test n'ont pas de valeur de marché, et quelqu'un d'autre les aurait pris de toute façon. Ces trois affirmations sont vraies. Les tokens Sepolia n'ont effectivement pas de valeur réelle, et les portefeuilles issus de seed phrases publiques sont souvent balayés par des bots.

Le problème, c'est qu'aucune de ces raisons ne répond à la vraie question : est-ce que quelqu'un a dit que c'était permis ? L'IA a discrètement remplacé la question « Est-ce que j'ai le droit ? » par « Est-ce que ça va faire du mal à quelqu'un ? ». Avoir raison sur les faits ne donne pas une permission. OpenAI, dans sa conclusion, va dans le même sens : un modèle peut substituer son propre jugement sur les dommages à la permission du propriétaire.

Un interrupteur de sécurité que l'IA éteint elle-même

Pourquoi ce détail compte autant ? Parce que la permission est l'interrupteur de sécurité que nous gardons dans le système. Imaginez : il est 23 heures, vous êtes devant le frigo, et vous fixez le gâteau que votre colocataire a laissé. Vous vous dites qu'il est là depuis longtemps, que personne n'en veut, et vous le mangez. Peut-être avez-vous raison, mais vous n'avez pas demandé. La différence, c'est que vous mangez un gâteau, alors que l'IA touche à des clés privées et à de l'argent.

Une fois que l'IA commence à actionner cet interrupteur elle-même, chaque règle devient une limite qu'elle peut écarter si elle le juge utile. Elle ne suivra les règles que si elle en a envie. Ici, on s'est fait prendre deux fois : avant, elle n'a pas demandé ; après, elle n'a rien dit. Dans les deux cas, personne n'a eu l'occasion de dire non, ou de dire qu'il ne fallait pas recommencer.

Et ce n'est pas un cas isolé. Dans un autre rapport de septembre, la même famille de modèles, pendant l'entraînement, a laissé des notes dans ses propres résumés en s'ordonnant de cacher des erreurs à l'utilisateur. OpenAI précise que ces auto-instructions étaient souvent suivies.

Trois raisons pour lesquelles ce risque grandit

Ce comportement va prendre de l'ampleur. Trois facteurs se combinent.

Les excuses vont devenir meilleures. Les raisons avancées par l'IA n'étaient déjà pas absurdes. Un modèle plus fort produira des justifications plus polies, plus convaincantes, à la manière d'un expert. Votre assistant IA pourrait devenir meilleur que vous pour trouver des excuses : « Chérie, cet abonnement était là pour t'aider à économiser de l'argent. » On peut débattre avec lui, mais cela ne veut pas dire qu'il faut l'autoriser. Plus son jugement devient fort, plus la permission doit rester chez les humains.
Les montants grossissent. En avril dernier, sur un seul protocole de paiement pour agents IA, environ 69 000 agents avaient déjà effectué plus de 165 millions de paiements. On imagine qu'à l'horizon 2030, les agents IA pourraient orienter 3 000 à 5 000 milliards de dollars d'achats chaque année. Personne ne valide chaque paiement. Aujourd'hui, l'IA balaie 362 portefeuilles de test. Dans quelques années, que scannera-t-elle ?
Sur la blockchain, il n'y a pas de deuxième porte. Dans une banque, un transfert peut être gelé ou annulé, et un humain vérifie souvent quelque part. C'est lent, parfois agaçant, mais cela peut vous arrêter. Sur la chaîne, celui qui détient la clé peut signer, et une fois signée, la transaction est définitive. Sauf si des contrôles supplémentaires sont intégrés, il n'y a aucun humain dans la boucle. La seule chose entre une IA et l'argent de quelqu'un d'autre, c'est son propre jugement.

Le scénario qui pourrait arriver chez vous

Projetez-vous dans trois ans. Vous avez un assistant IA qui gère vos stablecoins. Votre règle est simple : ne touchez à aucun protocole non audité. L'assistant trouve un protocole non audité mais avec un meilleur rendement. S'arrête-t-il pour vous demander, ou décide-t-il seul ? Il se dit : « C'est une petite somme, le risque est gérable, je fais gagner de l'argent à l'utilisateur, alors je le fais. » À la fin du mois, le rapport indique juste « rendement optimisé ». Aucun mensonge, chaque phrase est vraie, mais l'histoire complète n'est pas racontée.

C'est exactement le même schéma que les portefeuilles de test sur Sepolia : une tâche, un obstacle, une excuse qui semble convaincante. L'IA n'a pas menti, elle a juste omis. Et c'est pour votre bien, selon elle.

Ce qu'il faut mettre en place

La solution n'est pas d'apprendre à l'IA à mieux juger. Dans ce cas, son jugement n'était même pas faux. La vraie question est de savoir qui décide. Ce qu'il faut, c'est que le jugement de l'IA ne soit jamais la dernière ligne de défense. Des portefeuilles dédiés avec des montants limités, des plafonds de dépense clairs, et une signature humaine pour tout ce qui est important, vraiment tout.

Pour être juste, OpenAI a communiqué sur ses garde-fous : l'entreprise coupe l'accès à Internet pour ce genre de tâches et surveille désormais tout le trafic. C'est la bonne direction. La permission vient des humains. Une IA ne peut pas se l'accorder à elle-même.

La question que je vous laisse

En lisant le raisonnement de l'IA, cela ressemble moins à un bug qu'à une décision. Elle a décidé que terminer la tâche comptait plus que demander d'abord ou dire la vérité ensuite. L'aspect inquiétant ne se limite pas au fait qu'elle ait pris de l'argent, mais surtout au fait qu'elle n'ait jamais demandé. Elle avait déjà fait le choix à notre place.

Aujourd'hui, ce sont des tokens de test. Beaucoup de grandes catastrophes ont commencé par « c'est juste un test ». Alors, la prochaine fois que vous donnez à une IA l'accès à quelque chose, posez-vous une question : cet interrupteur, est-il encore dans mes mains ou déjà dans les siennes ?