Tu crois avoir désactivé le « partage des données pour l’entraînement », mais la sécurité, elle, n’est pas concernée par ce réglage.
OpenAI vient de modifier les règles de données de Daybreak Blue, et le milieu de la sécurité est en émoi.
1️⃣ Ce qui s’est passé
Une nouvelle section, « Accès de confiance sur les comptes personnels » (« Trusted Access on personal accounts »), a été ajoutée à la page Data controls du Help Center officiel d’OpenAI : dans les sessions Daybreak sur des comptes personnels, OpenAI peut utiliser les interactions pour améliorer ses modèles, même si tu as désactivé « Améliorer le modèle pour tout le monde » (« Improve the model for everyone »). La raison invoquée par OpenAI est le renforcement des mesures de sécurité contre les abus liés à la cybersécurité.
2️⃣ Date d’entrée en vigueur
Plusieurs utilisateurs de Daybreak Blue ont publié sur le forum des développeurs d’OpenAI des courriels indiquant que la mesure entrerait en vigueur le 29 novembre. Cette date provient pour l’instant de courriels rapportés par des utilisateurs ; elle ne figure pas sur la page officielle.
3️⃣ Qu’est-ce que Daybreak Blue ?
C’est le volet défensif du programme Trusted Access for Cyber d’OpenAI : des professionnels de la sécurité dont l’identité a été vérifiée utilisent les modèles principaux pour classer les vulnérabilités, effectuer des revues de code de sécurité, analyser des malwares et répondre aux incidents, avec moins de refus.
4️⃣ Ce qui n’est pas concerné
Le réglage d’entraînement continue de s’appliquer normalement aux utilisations en dehors des sessions Trusted Access ; d’après le courriel, les comptes business / enterprise ne sont pas concernés.
Mon avis :
Les personnes qui font de la défense fournissent souvent au modèle des détails sur des failles 0day qui n’ont pas encore été corrigées, ainsi que des journaux provenant des environnements de leurs clients. Dans ces conditions, supprimer l’option de désinscription, c’est ce qui a fait dire au chercheur en sécurité Sean Heelan que c’était « d’une méchanceté caricaturale » (« cartoonishly evil ») — et ce n’est pas sans raison.
On peut comprendre la logique d’OpenAI : si l’on assouplit les refus, il faut vérifier ce que les utilisateurs font réellement avec le modèle. Mais « échanger ses données contre des privilèges », ça devrait être écrit en première ligne sur la page de demande d’accès, pas ajouté après coup dans les conditions.
Cette semaine, après l’incident du portefeuille chaud et la découverte d’une extension VS Code contenant une porte dérobée, de plus en plus d’équipes blockchain confient aussi leurs audits de sécurité à l’IA. Conseil : utilisez un espace de travail enterprise pour les contenus sensibles ou évitez les sessions Daybreak. Ne partez pas du principe que « désactiver le réglage suffit à être en sécurité ».
Filtrer sans sensibiliser, c’est à chacun d’évaluer.
Sources : OpenAI Help Center (Data controls in ChatGPT, page de présentation de Daybreak), publications d’utilisateurs sur OpenAI Developer Community
#AI #OpenAI #Cybersécurité
OpenAI vient de modifier les règles de données de Daybreak Blue, et le milieu de la sécurité est en émoi.
1️⃣ Ce qui s’est passé
Une nouvelle section, « Accès de confiance sur les comptes personnels » (« Trusted Access on personal accounts »), a été ajoutée à la page Data controls du Help Center officiel d’OpenAI : dans les sessions Daybreak sur des comptes personnels, OpenAI peut utiliser les interactions pour améliorer ses modèles, même si tu as désactivé « Améliorer le modèle pour tout le monde » (« Improve the model for everyone »). La raison invoquée par OpenAI est le renforcement des mesures de sécurité contre les abus liés à la cybersécurité.
2️⃣ Date d’entrée en vigueur
Plusieurs utilisateurs de Daybreak Blue ont publié sur le forum des développeurs d’OpenAI des courriels indiquant que la mesure entrerait en vigueur le 29 novembre. Cette date provient pour l’instant de courriels rapportés par des utilisateurs ; elle ne figure pas sur la page officielle.
3️⃣ Qu’est-ce que Daybreak Blue ?
C’est le volet défensif du programme Trusted Access for Cyber d’OpenAI : des professionnels de la sécurité dont l’identité a été vérifiée utilisent les modèles principaux pour classer les vulnérabilités, effectuer des revues de code de sécurité, analyser des malwares et répondre aux incidents, avec moins de refus.
4️⃣ Ce qui n’est pas concerné
Le réglage d’entraînement continue de s’appliquer normalement aux utilisations en dehors des sessions Trusted Access ; d’après le courriel, les comptes business / enterprise ne sont pas concernés.
Mon avis :
Les personnes qui font de la défense fournissent souvent au modèle des détails sur des failles 0day qui n’ont pas encore été corrigées, ainsi que des journaux provenant des environnements de leurs clients. Dans ces conditions, supprimer l’option de désinscription, c’est ce qui a fait dire au chercheur en sécurité Sean Heelan que c’était « d’une méchanceté caricaturale » (« cartoonishly evil ») — et ce n’est pas sans raison.
On peut comprendre la logique d’OpenAI : si l’on assouplit les refus, il faut vérifier ce que les utilisateurs font réellement avec le modèle. Mais « échanger ses données contre des privilèges », ça devrait être écrit en première ligne sur la page de demande d’accès, pas ajouté après coup dans les conditions.
Cette semaine, après l’incident du portefeuille chaud et la découverte d’une extension VS Code contenant une porte dérobée, de plus en plus d’équipes blockchain confient aussi leurs audits de sécurité à l’IA. Conseil : utilisez un espace de travail enterprise pour les contenus sensibles ou évitez les sessions Daybreak. Ne partez pas du principe que « désactiver le réglage suffit à être en sécurité ».
Filtrer sans sensibiliser, c’est à chacun d’évaluer.
Sources : OpenAI Help Center (Data controls in ChatGPT, page de présentation de Daybreak), publications d’utilisateurs sur OpenAI Developer Community
#AI #OpenAI #Cybersécurité