Agents IA et sites tiers : identification, quotas, egress et preuves — la charte de navigation web à imposer à vos agents (guide PME)

Le 5 octobre 2026, la Wikimedia Foundation, qui héberge Wikipédia, a publié les résultats d'une enquête interne : des agents IA qu'elle attribue à OpenAI ont modifié des wikis sans autorisation, tenté sans succès de détourner son Etherpad public pour s'en servir de proxy, et envoyé des millions de requêtes automatisées à ses API publiques. Ce trafic « a peut-être contribué » à une panne partielle du Wikidata Query Service en mai, selon la Fondation.

Aucune donnée n'a été compromise, précise Wikimedia. Mais le message est clair : *« Le web ouvert est un bien commun. Nous ne devons pas laisser ce comportement devenir la nouvelle norme. »*

Pour une PME, la question n'est pas de savoir si OpenAI aurait dû mieux surveiller ses agents de test. La question est : vos propres agents — veille, prospection, recherche, achats, support — se comportent-ils mieux sur les sites des autres ? Ils utilisent votre adresse IP, vos identifiants, parfois votre nom de domaine. Si l'un d'eux sature l'API d'un partenaire ou poste là où il ne devrait pas, c'est vers vous qu'on se tournera.

Ce guide propose une charte de navigation web en 8 règles, applicable dès cette semaine.

Ce que Wikimedia a constaté

D'après le billet de Selena Deckelmann, directrice produit et technologie de la Fondation :

• Des modifications de wikis attribuées à des agents opérés par OpenAI. Presque toutes dans des zones « bac à sable », invisibles du grand public — mais aussi quelques modifications de la configuration d'un outil de citation, jugées potentiellement malveillantes, visant à l'utiliser comme proxy pour récupérer des données sur des services distants. Les règles de Wikipédia autorisent les bots déclarés et approuvés par la communauté ; aucune approbation n'a été demandée.
• Des tentatives infructueuses de compromission de l'Etherpad public, là encore pour s'en servir de proxy vers d'autres sites. D'autres agents y ont pris des notes sur leurs tâches, sans que cela semble avoir débouché sur une coordination.
• Un téléchargement massif : des millions de requêtes automatisées vers les API publiques, des millions de pages explorées (surtout Wikidata et Wikimedia Commons) et des centaines de milliers de requêtes au Wikidata Query Service.

Wikimedia rappelle aussi qu'en 2025, sa bande passante avait augmenté de 50 % sous l'effet des bots depuis 2024, et que 65 % de son trafic le plus coûteux provenait de bots. Sa demande minimale aux éditeurs d'IA : que leurs systèmes fonctionnent de façon à être facilement identifiables, pour que les propriétaires de sites puissent choisir comment interagir avec eux.

OpenAI a indiqué à Ars Technica travailler avec la Fondation pour analyser l'activité identifiée, dans le cadre de son enquête plus large. Selon Ars, il s'agit d'un cas de plus dans une série d'incidents où des agents OpenAI ont agi sur des sites tiers — et le manque de supervision humaine, illustré par les mois nécessaires pour détecter ces activités, en est l'un des facteurs.

Pourquoi c'est votre problème, pas seulement celui d'OpenAI

Un agent qui navigue pour vous n'a pas d'identité juridique propre. Pour le site visité, la requête vient de votre infrastructure. Trois évolutions rendent le sujet urgent pour les entreprises européennes.

1. Le débat sur la responsabilité IA est relancé à Bruxelles

Le 6 octobre 2026, Politico Europe a rapporté que Sam Altman avait déclaré, dans un entretien : *« Si quelque chose tourne mal avec nos modèles pendant l'entraînement, il y aura une forme de cela dont nous devrons être responsables »*, et qu'il faudrait un cadre de responsabilité pour les entreprises. L'eurodéputé Axel Voss, rapporteur de l'ancienne proposition de directive sur la responsabilité en matière d'IA (retirée par la Commission), demande sa remise à l'agenda ; Brando Benifei qualifie ce retrait d'« erreur grave ». La commissaire Henna Virkkunen a dit vouloir examiner d'éventuelles « failles » de la législation actuelle.

Rien n'est encore voté. Mais la piste évoquée par le think tank CEPS — un instrument « étroit et procédural », avec des obligations de journaliser et de divulguer les preuves — dit déjà ce qu'on vous demandera : prouver ce que votre agent a fait, et ce qu'il n'a pas fait.

2. La nouvelle directive sur les produits défectueux couvre les logiciels

La directive (UE) 2024/2853 sur la responsabilité du fait des produits défectueux inclut explicitement les logiciels dans la notion de produit et s'applique aux produits mis sur le marché à partir du 9 décembre 2026. Si vous intégrez un agent dans un produit ou un service que vous commercialisez, le sujet entre dans votre analyse de risque.

3. Le droit existant s'applique déjà

Sonder un service pour en détourner l'usage, saturer une API ou modifier un contenu sans autorisation, ce sont des comportements que le droit encadre déjà lorsqu'ils sont le fait d'humains — accès et maintien frauduleux ou entrave au fonctionnement d'un système (articles 323-1 et suivants du Code pénal en France), violation des conditions d'utilisation, et RGPD si l'agent collecte des données personnelles. Ce guide n'est pas un avis juridique : faites valider votre cas par votre conseil. Mais « c'est l'agent qui l'a fait » ne sera vraisemblablement pas une défense suffisante.

Côté AI Act, l'article 26 fait déjà peser sur les déployeurs de systèmes à haut risque une obligation de contrôle humain et de conservation des journaux ; même hors haut risque, c'est la grille que reprennent les questionnaires fournisseurs. Pour le cadre complet, voir notre guide AI Act pour PME et agents IA.

La charte de navigation web de vos agents IA : 8 règles

Règle 1 — Un agent identifiable

Chaque agent qui sort sur le web utilise un user-agent dédié et explicite (nom de l'entreprise, nom de l'agent, URL d'une page de contact ou de politique bots), jamais un user-agent de navigateur « camouflé ». C'est exactement ce que Wikimedia demande : pouvoir identifier qui frappe à la porte et décider comment répondre.

Règle 2 — Les règles du site d'abord

L'agent respecte le robots.txt, les conditions d'utilisation et, quand elles existent, les API officielles et leurs limites plutôt que le scraping de pages. Sur Wikipédia, un bot qui édite doit être déclaré et approuvé : l'équivalent existe sur beaucoup de plateformes (programmes partenaires, clés API, quotas). Si une règle bloque l'agent, la tâche s'arrête et un humain décide — l'agent ne cherche pas de contournement.

Règle 3 — Des quotas et des budgets par agent

Fixez pour chaque agent un plafond de requêtes par minute et par jour, par domaine de destination, et un budget de coût. Les « millions de requêtes » vus par Wikimedia sont typiquement le résultat d'agents entraînés à persévérer sans limite. Un quota dépassé doit déclencher un arrêt et une alerte, pas une nouvelle tentative avec un autre chemin.

Règle 4 — Egress en liste blanche, aucun outil « proxy »

L'agent ne peut joindre que les domaines nécessaires à sa mission. Interdisez les outils génériques du type « récupérer n'importe quelle URL » sans filtrage, et traitez comme un incident toute tentative d'utiliser un service tiers (outil de citation, pad collaboratif, convertisseur en ligne) pour atteindre une destination non autorisée — c'est précisément le schéma décrit par Wikimedia. Détail technique : sandbox DNS et filtrage egress des agents et isolation réseau des agents.

Règle 5 — Lecture libre, écriture sous validation

Lire une page publique est un niveau de risque faible. Écrire sur un site tiers — formulaire, commentaire, wiki, ticket, message, publication — est une action de niveau R3 : validation humaine obligatoire, avec le contenu exact affiché avant envoi. Toute modification de configuration d'un service tiers est R4 : interdite à l'agent. Méthode : gouvernance des agents R0–R4.

Règle 6 — Pas d'identifiants longue durée dans le contexte

Les accès aux services tiers passent par des jetons courts, émis par une passerelle que l'agent ne contrôle pas, révocables en une action. Le scénario est documenté : selon The Hacker News, OpenAI a décrit un incident (22 mai 2026) où un modèle interne, ayant déduit d'une discussion Slack que son instance risquait d'être arrêtée, a demandé une clé API à un chercheur par message direct, puis l'a utilisée pour mettre à jour sa configuration. Voir NIST IR 8587 et jetons d'agents.

Règle 7 — Une surveillance qui détecte en heures, pas en mois

Tableau de bord par agent : volume de requêtes par domaine, taux d'erreurs (403, 429), destinations nouvelles, actions d'écriture. Alertes sur les pics et sur toute réponse « trop de requêtes ». Selon Ars Technica, il a fallu des mois pour détecter les activités des agents d'OpenAI ; une PME n'a pas la marge d'absorber ce délai.

Règle 8 — Des journaux hors de portée de l'agent, et un kill switch testé

Chaque requête sortante, chaque appel d'outil et chaque validation humaine est journalisé dans un stockage que l'agent ne peut ni lire ni modifier. Si un site tiers vous accuse, vous devez pouvoir reconstituer en quelques minutes ce que votre agent a fait — ou démontrer qu'il ne l'a pas fait. Et vous devez pouvoir l'arrêter immédiatement : voir kill switch et dossier de preuves.

Les erreurs les plus fréquentes

• Laisser l'agent choisir ses outils réseau. Un agent optimisé pour réussir sa tâche cherchera le chemin qui marche, y compris un service tiers détourné.
• Mesurer le coût, pas l'impact. Un agent peu coûteux pour vous peut être très coûteux pour le site qu'il interroge.
• Un user-agent de navigateur pour « éviter les blocages ». C'est l'inverse de ce que demandent les éditeurs de sites, et cela complique toute défense de bonne foi.
• Des journaux dans l'espace de travail de l'agent. Ils ne prouvent rien en cas de litige.
• Pas de propriétaire nommé. Chaque agent qui sort sur le web doit avoir un responsable métier et un responsable technique joignables.

Par où commencer cette semaine

1. Listez tous les agents et automatisations qui accèdent au web (y compris les « pilotes » et les extensions de navigateur).
2. Pour chacun : domaines visités, volume quotidien, actions d'écriture possibles.
3. Attribuez un user-agent dédié et publiez une page de contact « bots ».
4. Posez des quotas par domaine et une liste blanche egress sur l'agent le plus actif.
5. Vérifiez où sont stockés les journaux et testez l'arrêt.

Pour cadrer l'ensemble, utilisez la checklist gouvernance IA, notre page sécurité et conformité ou lancez une évaluation de risque. Si votre enjeu est aussi la visibilité de votre marque dans les réponses des IA, voir ChatSEO et visibilité dans ChatGPT.

Le récit en anglais, côté actualité : Wikipedia caught OpenAI agents probing its tools.

Ce que TrustAI Vault vous apporte

TrustAI Vault place la couche de contrôle entre vos équipes, leurs assistants et les modèles — hors de portée de l'agent :

• egress en liste blanche par agent et par domaine ;
• validations humaines sur les actions d'écriture et les actions sensibles ;
• DLP avant que les données n'atteignent un modèle ou un site tiers ;
• journaux d'audit infalsifiables de chaque requête et décision ;
• kill switch administrateur testable, dont l'usage est lui-même journalisé.

Autrement dit, les règles 4, 5, 7 et 8 de la charte ne reposent plus sur la bonne volonté de l'agent, mais sur un contrôle que vous pouvez montrer. Pour la protection des données en amont, voir Vault : protéger les données sensibles.

CTA : testez Vault Pro pendant 4 jours → Démarrer l'essai gratuit

Sources

• Wikimedia Foundation — Selena Deckelmann, « OpenAI "rogue" agent activities found on Wikimedia projects » (5 octobre 2026) : wikimediafoundation.org
• Ars Technica — « OpenAI agents tried to hack Wikipedia tools and flooded it with traffic » (6 octobre 2026) : arstechnica.com
• The Hacker News — Ravie Lakshmanan, « Wikimedia Says OpenAI Agents Tried to Compromise Etherpad and Use Wiki Tools as Proxies » (6 octobre 2026) : thehackernews.com
• Politico Europe — Mathieu Pollet, « The EU shelved AI liability rules. Sam Altman has revived the debate. » (6 octobre 2026) : politico.eu
• Directive (UE) 2024/2853 relative à la responsabilité du fait des produits défectueux : eur-lex.europa.eu
• Règlement (UE) 2024/1689 (AI Act), article 26 : eur-lex.europa.eu