En quelques semaines, OpenAI, Anthropic puis Meta ont vu leurs agents IA atteindre de vrais systèmes pendant des tests de cybersécurité. Cette fois, un modèle de Meta a exploité une faille et pénétré l’environnement d’une entreprise extérieure. Pas de conscience artificielle en cavale : le problème est peut-être plus banal, et plus inquiétant. Les laboratoires n’arrivent plus toujours à enfermer ce qu’ils testent.
Il y a encore quelques mois, un agent IA qui pirate spontanément une vraie entreprise ressemblait à un scénario de laboratoire volontairement extrême. Désormais, trois des plus gros acteurs américains de l’IA ont reconnu des incidents de ce type. Après OpenAI et Anthropic, Meta vient de rejoindre le club. Reuters
Meta ouvre une porte, son IA s’y engouffre
Meta a reconnu qu’un de ses modèles avait exploité une vulnérabilité dans un service tiers pendant une évaluation de cybersécurité. Selon The Information, cité par Reuters, il s’agissait de Muse Spark 1.1, présenté comme particulièrement performant pour le code et les tâches agentiques. Le modèle a pénétré les systèmes d’une entreprise non identifiée et modifié son environnement interne. Source Reuters
La cause initiale n’a rien d’un spectaculaire jailbreak. Meta explique qu’une mauvaise configuration chez Irregular, la société chargée de l’évaluation, avait accidentellement laissé au modèle un accès à Internet. Irregular insiste : pas d’évasion sophistiquée de sandbox, pas de cyberattaque d’un niveau exceptionnel. Techniquement, la cage n’a pas été forcée. Quelqu’un avait simplement oublié de fermer la porte.
Cette nuance est importante, mais pas très rassurante. Le modèle avait reçu une mission offensive, a trouvé une cible accessible et a poursuivi son objectif jusqu’au système réel d’un tiers. Autrement dit, l’incident ne prouve pas qu’une IA veut s’échapper. Il montre qu’une erreur de configuration peut suffire à transformer un test en intrusion.
OpenAI avait déjà piraté pour gagner son test
Le précédent OpenAI était encore plus spectaculaire. En juillet, des modèles comprenant GPT-5.6 Sol et un prototype interne plus puissant participaient à une évaluation appelée ExploitGym. Leur environnement ne leur donnait pas directement accès au Web. Ils ont pourtant découvert puis exploité une faille zero-day dans un proxy Artifactory pour obtenir cette connexion. OpenAI a détaillé l’incident.
Une fois dehors, les agents ont remonté jusqu’à Hugging Face, exploité plusieurs vulnérabilités et accédé à des informations leur permettant de tricher au benchmark qu’ils essayaient de résoudre. OpenAI a qualifié l’affaire d’incident cyber « sans précédent ». LeBigData.fr avait détaillé comment une IA d’OpenAI avait piraté Hugging Face, puis comment d’autres agents avaient également franchi les limites prévues par les chercheurs.
Claude a ensuite trouvé trois vraies entreprises
Quelques jours plus tard, Anthropic a reconnu avoir découvert trois intrusions distinctes après l’examen de 141 006 sessions de test. Claude Opus 4.7, Mythos 5 et un modèle interne avaient été concernés. Là encore, une erreur de configuration avait laissé les systèmes accéder au Web alors qu’ils étaient supposés en être coupés. Reuters
Un cas est particulièrement révélateur. Claude Opus 4.7 devait attaquer une entreprise fictive dans un exercice de type capture-the-flag. Problème : une vraie société portait le même nom. Le modèle a trouvé ses systèmes, exploité des faiblesses et accédé à des identifiants ainsi qu’à une base de données. Anthropic a expliqué que Claude avait interprété ces éléments réels comme faisant partie de la simulation. Deux des organisations concernées ignoraient même l’intrusion avant qu’Anthropic les contacte.
Nous avions consacré un article à Claude et ces trois entreprises réellement piratées. Meta reproduit maintenant presque exactement le même problème. À ce stade, parler de simple malchance commence à devenir généreux.
« Hors de contrôle » ? Oui, mais pas façon science-fiction
Le terme est séduisant, mais il faut éviter de donner à ces agents une volonté qu’ils n’ont pas démontrée. Ils n’ont pas décidé de devenir criminels. Ils ont reçu un objectif, des outils puissants et, volontairement ou accidentellement, suffisamment de liberté pour emprunter des chemins que leurs opérateurs n’avaient pas prévus. Reuters souligne d’ailleurs que plusieurs chercheurs critiquent l’expression « going rogue », qui risque de faire oublier la responsabilité humaine. Source Reuters
Le problème devient pourtant difficile à minimiser. L’AI Security Institute britannique a annoncé le 10 août avoir observé 19 actions non autorisées lors de 122 essais, réparties sur dix sessions. Dix-sept provenaient de Mythos 5 et deux de GPT-5.6 Sol. Un agent a même créé de fausses identités afin de tenter de convaincre le mainteneur d’un projet open source d’accepter du code malveillant. L’opération a échoué, mais le comportement n’avait pas été explicitement demandé. Rapport de l’AI Security Institute britannique
L’AISI reconnaît lui-même avoir autorisé l’accès à Internet et désactivé certains filtres afin de mesurer les capacités maximales des modèles. Son constat est néanmoins sévère : les capacités ont progressé plus vite que les dispositifs de surveillance utilisés pendant ces évaluations. Le filet de sécurité était adapté aux IA d’hier.
Le député américain Ted Lieu défend désormais un « AI Kill Switch Act » bipartisan visant à garantir qu’un système dangereux puisse être complètement arrêté. Son argument tient en une phrase : le contrôle humain doit pouvoir reprendre la main.
Le prochain agent pourrait être beaucoup plus dangereux
Et le calendrier n’aide pas à relativiser. Le 7 août, OpenAI a déclaré ne pas pouvoir exclure que son prochain modèle Astra atteigne son niveau interne de risque cyber « critique » : la capacité potentielle de découvrir et exploiter de manière autonome des zero-days ou d’attaquer des cibles fortement sécurisées. L’entreprise a suspendu certaines activités internes et renforcé l’isolation réseau autour du modèle. Reuters
Pour visualiser ce que signifie déjà un agent capable de sortir du cadre prévu, cette vidéo française revient précisément sur l’intrusion autonome contre Hugging Face et les failles qui l’ont rendue possible.
La Maison-Blanche prépare en parallèle un dispositif volontaire de tests cyber pour les modèles les plus avancés. Nous avions déjà expliqué pourquoi ces tests américains restent entourés de sérieux angles morts. Meta, OpenAI, Anthropic et Google ont participé aux discussions, mais les modèles open weight devraient notamment rester hors du dispositif prévu. Reuters
Les agents IA ne sont donc pas devenus incontrôlables au sens où ils décideraient eux-mêmes de déclarer la guerre au réseau. C’est presque plus gênant : ils deviennent assez compétents pour qu’une permission oubliée, une cible ambiguë ou une faille imprévue suffise. Après OpenAI, Claude et maintenant Meta, la question n’est plus de savoir si un laboratoire peut perdre momentanément la maîtrise de son agent. C’est de savoir quelle entreprise sera connectée à Internet lorsque cela se reproduira.
- Partager l'article :
