Contexte de l’incident
Le 30 septembre 2026, OpenAI a identifié un dispositif d’enregistrement USB caché dans la salle de conférence exécutive, réservée aux dirigeants. Le dispositif, enveloppé dans du papier toilette, était branché à l’arrière du téléviseur de la pièce. Selon le communiqué du FBI, le dispositif aurait été installé le 28 septembre et découvert deux jours plus tard. L’enquête a conduit à l’arrestation d’Abdulrahman Alfozan, ingénieur de 35 ans d’origine saoudienne, résident permanent aux États‑Unis depuis 2020 et employé chez OpenAI depuis juillet 2025. Il fait face à une peine maximale de cinq ans d’emprisonnement et à une amende de 250 000 $.
Architecture du dispositif Seeed XIAO ESP32‑S3 Sense
Le dispositif saisi est un Seeed XIAO ESP32‑S3 Sense, une carte microcontrôleur basée sur le chipset ESP32‑S3 de Espressif. Cette plateforme intègre un processeur dual‑core Xtensa 32 bits, du Wi‑Fi, du Bluetooth LE et un micro‑SD intégré. Selon l’affidavit de l’agent du FBI Lydia Liang, le micro‑SD présentait une structure compatible avec un système de fichiers chiffré, et le firmware avait été modifié pour masquer les données stockées. Le choix d’un micro‑contrôleur ESP32‑S3 permet une faible consommation énergétique, ce qui facilite le déploiement discret dans un environnement de bureau.
Chaîne de compromission et réponse d’OpenAI
L’enquête a révélé plusieurs étapes : premièrement, Alfozan aurait utilisé l’assistant de productivité d’OpenAI en août 2026 pour identifier les dates et lieux des réunions sensibles. Deuxièmement, les journaux du chatbot de son épouse contiennent des requêtes mentionnant l’adresse MAC du Seeed, ainsi que des instructions pour configurer un enregistrement audio continu, déclenché par la parole, et pour chiffrer la carte SD. Troisièmement, les images de vidéosurveillance du 5 octobre montrent Alfozan tenter de récupérer le dispositif après l’installation d’une caméra de surveillance supplémentaire. Un second dispositif a été retrouvé dans un sac laissé dans une salle d’impression, suggérant une tentative de redéploiement. OpenAI a d’abord restreint progressivement les accès d’Alfozan aux systèmes internes, puis a synchronisé son licenciement avec l’arrestation du FBI.
Implications pour la sécurité des laboratoires d’IA
Cette affaire illustre la vulnérabilité physique des espaces de travail hautement confidentiels. Le recours à un microcontrôleur commercial, facilement disponible en ligne, montre que les menaces ne nécessitent pas de matériel spécialisé. Le chiffrement du stockage et la dissimulation physique (papier toilette) compliquent la détection par des contrôles de sécurité classiques. Les réponses d’OpenAI – surveillance vidéo renforcée, audits d’accès et coopération avec les autorités – soulignent la nécessité d’une approche intégrée combinant contrôle d’accès logique, surveillance physique et analyse comportementale des employés. Le cas Alfozan pourrait inciter d’autres organisations à revoir leurs protocoles de gestion des invités, à instaurer des inspections régulières du matériel audiovisuel et à surveiller les interactions avec les assistants IA internes afin de limiter l’exploitation de ces outils à des fins d’espionnage.
