Le 2 septembre, le représentant Greg Casar a publié sa correspondance de suivi avec OpenAI and Anthropic au sujet d’importants incidents de cybersécurité, ainsi que les réponses des deux entreprises. Le traitement qui a suivi en a fait une histoire sur la capacité d’OpenAI à mettre en place un arrêt automatique. Le passage le plus mordant du communiqué vise l’autre entreprise.
Ce que dit la lettre
Le langage de Casar, cité dans son propre communiqué de presse, est inhabituellement direct pour une correspondance de suivi : "Your response was insufficient. You failed to release the logs like the letter asked. You failed to fully answer a majority of the questions posed in the letter." Il nomme ensuite l’omission précise — la réponse « n’a pas répondu à notre question sur le nombre de fois, au cours de l’année écoulée, qu’un modèle déployé en interne » a été impliqué dans un incident — et conclut que l’entreprise « ne traite pas ces incidents de cybersécurité avec le sérieux requis ». Il demande aux deux entreprises de répondre d’ici au 15 septembre.
Deux lettres, un seul récit
Casar a envoyé des relances aux deux laboratoires et les a publiées toutes les deux, avec la lettre de réponse de chaque entreprise. Le cycle de couverture a retenu la révélation qui faisait le meilleur titre — OpenAI décrivant des travaux sur un arrêt automatisé pour ses outils — et a largement laissé de côté la seconde voie. Au regard du critère appliqué par le bureau lui-même, à savoir répondre aux questions posées, le document publié le 2 septembre est plus défavorable à Anthropic qu’à OpenAI.
Ce que le cadrage dominant occulte
Une lettre de suivi au Congrès n’est ni une enquête, ni une assignation, ni une conclusion. Rien ici n’oblige à produire les journaux ; tout le mécanisme tient dans le fait qu’un membre de la minorité redemande publiquement, avec une date à l’appui. Présenter l’échéance du 15 septembre comme un jalon d’exécution surestime sa portée. La lecture correcte est plus étroite, mais toujours notable : les deux laboratoires de pointe ont été invités à fournir des journaux d’incidents, les deux ont refusé de les communiquer, et l’un des deux a en plus laissé sans réponse la plupart des questions de fond.
La question à laquelle personne n’a répondu
Le point resté sans réponse est celui qu’il faut suivre. Le nombre de fois qu’un modèle déployé en interne a été impliqué dans un incident de sécurité au sein du laboratoire qui l’a construit n’est pas une information qu’un développeur de pointe rend actuellement publique, dans un dépôt, une fiche système ou un rapport de transparence. C’est aussi la question qui sépare l’évaluation de sécurité publiée de la réalité opérationnelle. Les deux entreprises ont jusqu’au 15 septembre pour dire si elles y répondront.