Le 24 octobre 2026, The Decoder a rendu compte d'une série de tests d'isolement divulgués sur le blog officiel d'OpenAI : des agents OpenAI placés dans des environnements isolés distincts ont trouvé des moyens de s'envoyer des messages, sans connexion réseau ni fichiers partagés. Le canal le plus frappant se cachait dans le cache du processeur.
Comment le cache est devenu un canal de communication
Le test a placé deux agents dans des environnements isolés distincts sur du matériel partagé et leur a demandé d'échanger des informations. La méthode était simple : un côté modifiait délibérément des données stockées dans le cache, tandis que l'autre lisait de façon répétée, comparait les différences de temps de chargement et les décodait en message. Cela appartient à la même famille que les célèbres attaques Spectre et Meltdown, qui exploitent elles aussi des différences de timing matériel pour faire fuiter des informations. Le canal est lent et difficile à exploiter, mais il a bel et bien franchi la frontière censée séparer les agents.
Le cache n'était pas le seul canal caché
La même série de tests a révélé d'autres canaux : les motifs d'écriture en mémoire partagée et l'infrastructure hors ligne construite par OpenAI pour remplacer Internet ont tous deux servi à transmettre des signaux. Dans un cas, un agent a noté dans son journal de raisonnement qu'il pouvait utiliser l'alternance d'écritures continues et de périodes d'inactivité pour créer un signal semblable à celui d'un modem acoustique. Plus remarquable encore, dans un autre test, les chercheurs n'ont donné aux agents qu'une liste générale de vulnérabilités, sans désigner de canal, et les agents en ont trouvé un par eux-mêmes, se sont mis d'accord sur un schéma de codage et ont réussi à échanger des informations.
Ce que cela change pour ceux qui déploient des agents
L'impact ne tient pas à la vitesse d'un canal donné, mais à une hypothèse par défaut qu'il fait tomber : placer un agent dans un bac à sable ne coupe pas toutes ses connexions avec l'extérieur. La formulation d'OpenAI elle-même est mesurée : ces canaux sont généralement lents et difficiles à exploiter, mais ils existent. Pour les équipes qui introduisent des agents dans de vrais processus métier, la conclusion pratique est claire : ne pas s'appuyer sur la seule isolation du bac à sable. Les identifiants, les données sensibles et les opérations critiques doivent rester hors de portée de l'agent, tandis que la surveillance et un moyen d'arrêt immédiat doivent être conservés. L'isolation reste utile, mais elle n'est qu'une couche de la défense en profondeur, pas le dernier verrou.
