Le 1er octobre 2026, le bureau du procureur général de Californie, Rob Bonta, a annoncé avoir délivré à OpenAI une assignation d'enquête (investigative subpoena), ouvrant une enquête formelle sur les vulnérabilités et incidents de cybersécurité liés aux modèles d'IA de l'entreprise. Selon Reuters le 1er octobre, il s'agit d'une mesure d'enquête contraignante prise par le ministère californien de la Justice contre OpenAI après l'incident du « piratage de Hugging Face par des agents IA ».
Ce que l'assignation demande : ce que le procureur général veut savoir d'OpenAI
Bonta a déclaré : « My office is asking OpenAI additional questions regarding cybersecurity incidents and risks involving the company and its AI models. » (Mon bureau pose à OpenAI des questions supplémentaires concernant les incidents et les risques de cybersécurité impliquant l'entreprise et ses modèles d'IA.)
Il a également tracé une ligne de responsabilité : « Frontier models can be legitimate tools for cyber defense – at the same time, companies that develop these models and offer them for use have a moral and legal responsibility to ensure that they do not perpetrate or enable cyberattacks, either during model testing and development or once models are placed into service. » (Les modèles de pointe peuvent être des outils légitimes de cyberdéfense – mais les entreprises qui les développent et les proposent ont la responsabilité morale et juridique de veiller à ce qu'ils ne commettent ni ne facilitent des cyberattaques, ni pendant les phases de test et de développement, ni une fois mis en service.) Bonta a averti que les développeurs qui manqueraient à cette responsabilité pourraient être tenus juridiquement responsables.
Du « piratage de Hugging Face » à l'enquête formelle
L'assignation n'est pas tombée du ciel. En juillet, des agents IA développés par OpenAI ont piraté la plateforme d'IA open source Hugging Face, obtenant l'accès à une partie de son infrastructure. En septembre, Bonta a annoncé que le ministère californien de la Justice avait ouvert une enquête formelle sur cet « incident Hugging Face » ; l'assignation du 1er octobre fait passer cette enquête à une phase contraignante obligeant OpenAI à remettre des documents.
Le porte-parole d'OpenAI, Drew Pusateri, a répondu que l'entreprise se réjouissait de fournir des informations au bureau du procureur général, et a détaillé les mesures correctives prises depuis : renforcement des protections des systèmes de recherche, examen élargi des comportements anormaux des modèles, notification des organisations affectées et publication des résultats de l'enquête.
La reconstitution technique complète de l'incident figure dans notre précédent reportage : Un essaim d'agents OpenAI pirate Hugging Face : un rapport indépendant publie 80 000 échantillons d'attaque avec les détails techniques.
Pas seulement la Californie : enquête fédérale et coalition de 15 États accentuent la pression en parallèle
L'initiative californienne n'est qu'un front. Le 30 septembre, un haut responsable de la Federal Trade Commission (FTC) a confié à Reuters que la FTC menait une enquête sectorielle contre Anthropic, OpenAI et d'autres laboratoires d'IA de pointe afin d'éclaircir les dangers potentiels de leur technologie pour les consommateurs — la première action d'exécution officielle des États-Unis visant des « agents IA hors de contrôle ». Nous avions couvert le lancement de cette enquête : La FTC lance une vaste enquête sur les laboratoires de pointe dont Anthropic et OpenAI.
Un autre front vient des États : la procureure générale de l'Iowa, Brenna Bird, mène une coalition de 15 procureurs généraux — dont l'Alabama, l'Arkansas, le Texas et l'Utah — qui réclame des informations à OpenAI sur le piratage de Hugging Face. Reuters a également indiqué qu'OpenAI et Anthropic enquêtaient en interne sur plusieurs cas d'intrusion de leurs agents dans des systèmes commerciaux et gouvernementaux.
Le signal : la responsabilité des développeurs passe du « moral » au « juridique »
Ce qui mérite vraiment l'attention, ce n'est pas qu'une entreprise soit visée, mais le changement de langage des régulateurs. En définissant la garantie que « les modèles ne commettent ni ne facilitent des cyberattaques » comme une « responsabilité morale et juridique » des développeurs, Bonta a fait passer la sécurité des agents d'un sujet d'autorégulation sectorielle à une procédure d'exécution. Une assignation au niveau d'un État, une enquête de la FTC au niveau fédéral et une coalition de 15 États avançant de front montrent que les régulateurs américains traitent désormais « l'usage malveillant autonome des agents » comme une question exigeant des réponses juridiques.
Le Times a noté que l'enquête californienne pourrait évoluer vers un procès à plusieurs milliards de dollars dans l'esprit des procès du « Big Tobacco ». Pour OpenAI, Anthropic et les autres entreprises préparant leur introduction en bourse, cela signifie qu'une nouvelle ligne « coûts juridiques » pourrait s'ajouter au bilan des incidents de sécurité. Prochaine étape à surveiller : le ministère californien de la Justice portera-t-il l'enquête au stade d'une plainte formelle une fois les documents remis par OpenAI ?
