Réservée depuis février aux clients entreprises, cette option de sécurité a été étendue début juin à l'ensemble des comptes personnels (Free, Go, Plus et Pro) et aux comptes Business en libre-service, a annoncé la société californienne. La fonction vise une menace propre aux assistants d'intelligence artificielle, l'« injection de prompt » : un attaquant dissimule des instructions dans une page web, un document, un courriel ou un tableur. Lorsque l'assistant lit ce contenu pour répondre à son utilisateur, il peut être amené à exécuter ces consignes cachées à l'insu de celui-ci, par exemple en transmettant vers l'extérieur des informations contenues dans la conversation ou dans les applications reliées au compte. À la différence d'un piratage classique, qui exploite une faille logicielle ou s'attaque à un réseau, l'attaque passe ici par le contenu lui-même.
Plutôt que de promettre une immunité totale, OpenAI a choisi de couper les canaux par lesquels les données pourraient fuir. Une fois le mode activé, ChatGPT ne navigue plus sur le web en direct et se contente de contenus déjà mis en cache ; il ne récupère ni n'affiche plus d'images tirées d'internet, ne télécharge plus de fichiers en ligne et perd l'accès à la recherche approfondie ainsi qu'au mode agent, qui lui permet d'agir de façon autonome sur des sites et des services tiers. La génération d'images, l'import manuel de documents, la mémoire et le partage de conversations restent en revanche disponibles. « Le mode Verrouillage n'est pas destiné à tout le monde », prévient OpenAI, qui le réserve aux personnes et aux organisations manipulant des données sensibles, dirigeants ou équipes de sécurité d'organisations en vue notamment. Le principe rappelle le mode Isolement introduit par Apple en 2022 sur l'iPhone, qui sacrifie une partie du confort d'utilisation pour protéger les cibles d'attaques sophistiquées, journalistes ou militants en particulier.
L'entreprise reconnaît elle-même les limites du dispositif. Le mode « ne garantit pas qu'une exfiltration de données ne puisse pas se produire », indique son centre d'aide, un risque subsistant à travers les applications activées ou des techniques encore inconnues. Des instructions malveillantes peuvent toujours se glisser dans un contenu en cache ou dans un fichier importé et altérer la réponse de l'assistant ; le verrouillage empêche surtout que cette réponse serve de passerelle vers un serveur pirate. Le mode ne peut pas cohabiter avec le mode développeur et peut être désactivé pour une seule conversation, sans toucher au reste du compte. L'activation prend quelques secondes : dans les paramètres de ChatGPT, rubrique « Sécurité », puis « Sécurité avancée », il suffit de basculer l'interrupteur « Mode de verrouillage ». OpenAI a accompagné ce lancement de mentions « Risque élevé » apposées sur certaines fonctionnalités de ChatGPT, de son navigateur Atlas et de son outil de programmation Codex, avec une explication des risques encourus, et d'un gestionnaire de sessions qui permet de voir les appareils connectés au compte et d'en déconnecter un à distance.
Ces outils complètent les protections classiques du compte. OpenAI permet d'activer la double authentification par application et propose depuis le printemps une option de « sécurité avancée du compte » qui impose une connexion sans mot de passe, par clé d'accès ou clé physique, envoie une alerte à chaque connexion et raccourcit la durée des sessions. Cette option s'accompagne de clés de récupération à usage unique, à conserver hors des appareils utilisés pour accéder au service, faute de quoi l'accès au compte peut être définitivement perdu. La société invite enfin à refuser toute demande de validation de connexion reçue de manière inattendue.
Le mode Verrouillage avait d'abord été présenté le 13 février dernier aux abonnés Entreprise, Éducation et Santé, avant sa généralisation. Il intervient alors qu'OpenAI cherche à s'implanter dans les secteurs réglementés, santé, finance ou administration publique, où la fuite d'une donnée engage la responsabilité juridique des organisations, et alors que l'injection de prompt est considérée par les spécialistes comme l'une des failles les plus tenaces des agents d'intelligence artificielle, précisément parce qu'elle n'exploite aucun défaut de programmation.
Yacouba DOUMBIA
