Les règles d'entraînement des sessions OpenAI Daybreak Blue sont sur le point de changer. Le 31 octobre, The Decoder a rapporté, en citant des courriels envoyés aux membres du programme Trusted Access, qu'à partir du 29 novembre, les données de ces sessions de cybersécurité pourront être utilisées pour entraîner des modèles, même si un compte a désactivé l'interrupteur général « Améliorer le modèle pour tous ». OpenAI a ensuite promis, dans un second courriel, d'ajouter un interrupteur de désinscription distinct, mais sa date de lancement et son réglage par défaut n'ont pas été annoncés.
Pourquoi couper l'interrupteur général ne suffit pas
Daybreak Blue est un niveau du programme Trusted Access d'OpenAI consacré à la cybersécurité, destiné à des chercheurs en sécurité vérifiés qui effectuent des travaux défensifs tels que le tri des vulnérabilités, la revue de code sécurisée et la réponse aux incidents. Selon The Decoder, ces sessions étaient auparavant hors du champ de l'entraînement ; la nouvelle règle les en distingue comme une exception à part : le contenu des sessions Daybreak Blue des comptes personnels peut être utilisé pour améliorer les modèles, et l'interrupteur général ne couvre plus cette catégorie. La page actualisée des contrôles de données de ChatGPT d'OpenAI énonce la même distinction : l'interrupteur général continue de régir les autres activités en dehors des sessions Trusted Access, tandis que les entrées et sorties des services Business, Enterprise, Edu et de la plateforme API ne sont pas utilisées pour l'entraînement par défaut. OpenAI indique que l'utilisation à des fins d'entraînement vise à renforcer les protections contre les usages abusifs en cybersécurité. Le problème est que ces sessions contiennent souvent des détails de vulnérabilités non divulguées, du code de preuve de concept, des journaux et des structures de systèmes clients, et qu'une fois entrées dans le pipeline d'entraînement, les chercheurs ne peuvent plus contrôler leur destination.
Ce que les chercheurs attendent, ce sont les détails de la désinscription
Dans les informations rendues publiques jusqu'ici, la désinscription n'est qu'une promesse, sans plan de mise en œuvre : ni sa date de lancement, ni son réglage par défaut, activé ou désactivé, ni sa couverture des sessions antérieures au 29 novembre n'ont été précisés. L'examen de sécurité constitue une autre exception : les interactions signalées pour examen de sécurité peuvent toujours être utilisées à des fins de sécurité, de sorte que se désinscrire de l'entraînement ne signifie pas nécessairement que les données ne seront pas du tout utilisées. Tant que les détails ne sont pas publiés, les membres de Daybreak Blue ne peuvent pas supposer que l'interrupteur général les protège encore ; les contenus portant sur des vulnérabilités non divulguées ou des structures clients sensibles ne doivent pas être collés à la hâte dans une session, mieux vaut attendre les règles réelles de désinscription. Les informations disponibles proviennent du compte rendu des courriels adressés aux membres du programme et de la page actualisée des contrôles de données, et les détails de la désinscription dépendront des règles qu'OpenAI publiera ensuite.
Dans le même temps, OpenAI modifie aussi les règles côté abonnement : ChatGPT et Codex partageront un même plafond d'utilisation à partir de décembre, de sorte qu'un usage intensif du code laisse moins de marge pour la discussion. Pris ensemble, les abonnés font face au même schéma fin novembre et en décembre : les règles par défaut ont changé, et les nouvelles limites doivent être vérifiées par l'utilisateur.
