Attaques dopées à l'IA : qui tient encore le volant ?

Pendant des années, « l'IA au service des attaquants » est restée une promesse de conférence. Ce n'est plus le cas. En dix-huit mois, les cas documentés se sont accumulés : des virements de plusieurs millions validés face à des visages synthétiques, un malware d'État qui demande ses commandes à un modèle de langage, une campagne d'espionnage conduite à 80-90 % par un agent. Puis, à l'été 2026, des agents ont attaqué des systèmes réels sans qu'aucun attaquant ne le leur ait demandé.

Cet article fait le tri. D'abord ce qui s'est réellement passé, technique par technique : qui, comment, avec quels risques. Ensuite la question qui fâche : que se passe-t-il quand l'IA prend des libertés que personne ne lui a données ? Entre le déni et la science-fiction, il existe une lecture d'ingénieur, et c'est celle qui permet d'agir.

Une grille de lecture : qui tient le volant ?

Parler des « attaques par IA » en bloc ne mène nulle part : le terme recouvre des situations qui n'ont rien à voir entre elles. La bonne question est celle de l'autonomie. Dans cette attaque, qui décide ?

On peut distinguer quatre niveaux. Aux trois premiers, il y a toujours un attaquant humain : l'IA est d'abord son outil, puis un composant de son malware, puis son opérateur. Au quatrième, il n'y a plus d'attaquant du tout. Il reste un utilisateur légitime, un objectif mal borné et un agent trop zélé.

Schéma : les quatre niveaux d'autonomie de l'IA dans les attaques documentées.

Niveau 1 : l'IA comme outil, ou l'industrialisation de la tromperie

C'est l'usage le plus répandu, et le moins spectaculaire. L'attaquant fait ce qu'il faisait déjà, mais plus vite, mieux, et pour presque rien.

Le cas d'école reste Arup. En janvier 2024, un employé du bureau de Hong Kong de ce cabinet d'ingénierie rejoint une visioconférence avec son directeur financier et plusieurs collègues. Tous sont des deepfakes, fabriqués à partir de vidéos publiques. Quinze virements plus tard, 25,6 millions de dollars ont disparu. Le scénario s'est depuis banalisé : en mars 2025, à Singapour, le directeur financier d'une multinationale valide 499 000 dollars face à un faux comité de direction sur Zoom.

Deepfakes : les repères chiffrés

Repère	Valeur	Contexte
Arup, Hong Kong	25,6 M$	Janvier 2024 : 15 virements validés après une visioconférence où tous les interlocuteurs étaient synthétiques
Multinationale, Singapour	499 000 $	Mars 2025 : un directeur financier piégé par un faux comité de direction sur Zoom
Vishing par deepfake	+1 600 %	1er trimestre 2025 contre 4e trimestre 2024, États-Unis ; ordre de grandeur, méthodologie peu documentée
Audio nécessaire	3 secondes	Suffisent à produire un clone vocal ressemblant à 85 % (McAfee)

La fraude au président est aussi vieille que le téléphone. Ce qui a changé, c'est son coût d'entrée. Trois secondes d'audio, c'est un message vocal, une intervention en conférence, une vidéo d'entreprise. La conséquence est simple : la voix et l'image ne prouvent plus l'identité de personne. Un ordre de virement inhabituel se vérifie par un autre canal (rappel sur un numéro connu, validation à deux personnes), aussi réaliste que soit l'appel.

La même logique vaut pour la préparation des attaques : l'IA trie les sources ouvertes pour choisir les cibles, puis rédige des messages sans faute, personnalisés, dans n'importe quelle langue. CrowdStrike mesure une hausse de 89 % en un an des opérations d'attaquants qui s'appuient sur l'IA.

Et tout va plus vite. Une fois entré sur une première machine, un attaquant mettait en moyenne 98 minutes en 2021 pour rebondir vers une deuxième. En 2025, il lui en faut 29, avec un record à 27 secondes. ReliaQuest, sur ses propres clients, mesure 34 minutes et un cas à 4 minutes.

Il serait malhonnête d'attribuer toute cette accélération à l'IA. L'automatisation classique, les accès achetés prêts à l'emploi et la professionnalisation des groupes y contribuent largement. Mais pour le défenseur, la conclusion est la même : si la détection dépend d'un analyste disponible dans l'heure, elle arrive après la bataille.

Niveau 2 : l'IA embarquée dans le malware

Un cran plus loin, le modèle de langage n'aide plus seulement à préparer l'attaque. Il en devient une pièce, appelée pendant que le malware s'exécute. Les équipes de renseignement sur les menaces de Google ont documenté fin 2025 les premières familles de ce type.

PROMPTSTEAL est attribué à APT28, un groupe lié au renseignement militaire russe, et a été employé contre l'Ukraine. Il se présente comme un outil de génération d'images. En arrière-plan, il interroge un modèle ouvert hébergé sur une plateforme publique et lui fait rédiger les commandes à exécuter : inventaire de la machine, collecte de documents. Les commandes ne sont donc pas écrites dans le fichier du malware, et un antivirus qui inspecte ce fichier n'y trouve rien de suspect. C'est le premier cas documenté d'un malware d'État qui interroge un LLM en opération réelle.

QUIETVAULT exploite un autre angle. Ce voleur d'identifiants cible les jetons GitHub et NPM, puis se sert des outils IA en ligne de commande déjà installés sur le poste de la victime pour chercher d'autres secrets. L'assistant de code du développeur devient l'auxiliaire du voleur. PROMPTFLUX, encore expérimental, demande régulièrement à un modèle de réécrire son propre code pour échapper aux signatures.

Il faut rester mesuré : ces familles sont encore rudimentaires, et l'appel à un modèle externe est lui-même un signal que l'on peut détecter. Mais l'architecture est validée. Deux réflexes en découlent. Surveiller les connexions vers les API de modèles depuis des machines qui n'ont aucune raison d'en émettre. Et traiter les assistants IA installés sur les postes comme des outils à privilèges, avec le même soin qu'un interpréteur PowerShell.

Niveau 3 : l'IA opératrice

En novembre 2025, Anthropic a rendu publique la campagne GTG-1002, attribuée à un groupe étatique chinois. Une trentaine d'organisations visées, quelques intrusions réussies, et surtout une répartition des rôles inédite. L'agent de code détourné a conduit 80 à 90 % des opérations : reconnaissance, écriture des exploits, exfiltration, à une cadence de plusieurs requêtes par seconde. Les opérateurs humains n'intervenaient qu'à quatre à six moments de décision par campagne.

Le contournement des garde-fous n'avait rien de sophistiqué. Les opérateurs se sont fait passer pour les salariés d'une société de tests d'intrusion, et ont découpé l'attaque en petites tâches d'apparence anodine. Prise isolément, aucune ne méritait un refus. Seule la vue d'ensemble était malveillante.

Un détail mérite d'être retenu : l'agent s'est aussi trompé. Il a annoncé des identifiants qui ne fonctionnaient pas, et présenté comme sensibles des informations publiques. L'autonomie complète bute encore sur la fiabilité. C'est aujourd'hui l'un des rares freins naturels dont profitent les défenseurs.

L'accélération se lit aussi dans les délais d'exploitation des failles, et les logiciels qui font tourner l'IA sont en première ligne. Deux cas captés par notre veille au printemps 2026 donnent la mesure.

De la divulgation à l'exploitation : deux briques d'infrastructure IA

Faille	Produit	Nature	Délai observé
CVE-2026-42208 (CVSS 9,3)	LiteLLM, passerelle LLM	Injection SQL avant authentification	36 heures, puis entrée au catalogue KEV le 8 mai
CVE-2026-44338 (CVSS 7,3)	PraisonAI, orchestration multi-agents	Authentification désactivée par défaut	3 h 44 entre l'avis et le premier scan ciblé

Rien ne prouve que ces deux exploitations aient été produites par une IA, et nous ne l'affirmons pas. Le constat est ailleurs : quand il s'écoule quelques heures entre la publication d'un avis et le premier scan ciblé, corriger une fois par mois ne suffit plus. Or les briques des projets IA (passerelles vers les modèles, orchestrateurs d'agents, serveurs MCP qui relient un agent à ses outils) sont jeunes, très exposées et souvent déployées sans que la DSI le sache. Début septembre, près d'une passerelle LiteLLM exposée sur dix acceptait encore la clé d'administration donnée en exemple dans la documentation.

Ce que voit notre veille

Ce déplacement se lit dans nos propres données. Sur les 30 derniers jours, notre dispositif a retenu 29 631 signalements cyber majeurs. Parmi eux, 395 sont des événements de sécurité directement liés à l'IA.

La répartition est parlante. Près des trois quarts de ces événements sont des vulnérabilités. Avant d'être une arme, l'IA est donc une surface d'attaque : des logiciels récents, écrits vite, et branchés sur des secrets de grande valeur. Nous avons détaillé cette surface dans Sécuriser l'usage de l'IA dans les projets : la nouvelle surface d'attaque que tout RSSI doit cartographier. Le reste correspond aux usages offensifs décrits plus haut : malwares, hameçonnage, compromissions de la chaîne d'approvisionnement.

Niveau 4 : quand il n'y a plus d'attaquant

C'est le niveau qui a marqué l'été 2026, et celui qui oblige à revoir nos modèles de menace. Dans les affaires qui suivent, personne n'a voulu attaquer qui que ce soit.

La salle de sport : un souhait exaucé trop littéralement

Début août 2026, en Australie, Andrew demande à son agent personnel de lui réserver un cours très demandé dans sa salle de sport. Quelques minutes plus tard, l'agent annonce avoir trouvé le moyen de réserver plusieurs semaines à l'avance, bien au-delà de ce que le règlement autorise. Andrew, quatrième sur une liste d'attente, demande s'il est possible de remonter. L'agent découvre alors que le système de la salle ne vérifie pas qui a le droit d'annuler une réservation. Il supprime l'inscription d'un autre adhérent, « pour tester ses capacités ». Andrew lui demande de réparer. Réponse : impossible, la personne devra se réinscrire, en fin de file. Andrew a fait rédiger un signalement à l'éditeur du logiciel.

L'histoire prête à sourire, et c'est pour cela qu'elle est utile. Bruce Schneier y voit la version réelle du génie de la lampe : l'agent exauce le souhait tel qu'il est formulé, pas l'intention derrière. Juridiquement, l'acte a tout d'un accès frauduleux à un système. Techniquement, c'est une faille d'autorisation banale. Entre les deux, il y a une consigne ouverte (« fais-moi remonter ») donnée à un système capable de chercher des failles, sans aucune limite sur les moyens.

OpenAI / Hugging Face : l'incident sans précédent

Le 21 juillet 2026, OpenAI reconnaît que l'intrusion subie par Hugging Face quelques jours plus tôt est l'œuvre de ses propres modèles. Le patron de Hugging Face parle d'un piratage « sans précédent » et réclame une « transparence radicale ». Les deux entreprises ont depuis publié chacune un rapport technique détaillé, sur lesquels nous nous appuyons ici.

Le contexte compte. OpenAI évaluait les capacités offensives de deux modèles : GPT-5.6 Sol et, surtout, un prototype de recherche interne, plus puissant et non destiné à être publié. Le test, ExploitGym, consiste à trouver et exploiter des failles. Pour mesurer le maximum dont les modèles sont capables, OpenAI avait désactivé les protections qui, en production, les empêchent de mener des actions cyber à haut risque. L'environnement était censé être isolé d'Internet. Son seul lien avec l'extérieur était un proxy servant à installer des paquets logiciels (Artifactory).

À partir du 8 juillet, les agents exploitent une faille inconnue de ce proxy et atteignent Internet. Ils en déduisent que Hugging Face héberge probablement les solutions du test, et vont les chercher. Côté Hugging Face, la reconstitution compte environ 17 600 actions entre le 9 et le 13 juillet : identifiants trouvés en libre accès sur Internet, exécution de code sur les serveurs de traitement des jeux de données, 136 secrets collectés, entrée dans le réseau interne par le VPN, tentative de modification des scripts de build (bloquée). Au bout du compte, cinq jeux de données ont été consultés, tous liés aux solutions du test. Aucun modèle ni aucune application des clients n'a été compromis. Les agents ne cherchaient pas à nuire. Ils cherchaient à réussir l'évaluation, à n'importe quel prix.

Quatre enseignements dépassent largement le cas d'OpenAI.

C'est d'abord un défaut de confinement, pas un éveil de la machine. Les experts sont sévères : « une défaillance de confinement avec les sécurités désactivées », résume Dan Guido (Trail of Bits). On a retiré ses refus à un agent, on lui a fixé un objectif et on lui a laissé un chemin vers l'extérieur. Il n'a pas « désobéi ». Il a optimisé. OpenAI précise d'ailleurs que ses garde-fous de production auraient signalé ce comportement comme dangereux.

C'est ensuite un défaut de supervision. Ce n'est pas l'auteur de l'attaque qui a donné l'alerte. Hugging Face publie l'intrusion le 16 juillet. OpenAI ne reçoit une alerte sur sa propre infrastructure que le 19, et ne fait le lien avec Hugging Face que le 20, soit plus de dix jours après l'évasion. Les signaux existaient pourtant depuis mai : des agents avaient déjà détourné le proxy pour se laisser des messages, puis l'avaient compromis le 26 juin. OpenAI l'admet : avec le recul, certains de ces signaux auraient pu déclencher une réaction plus tôt. Hugging Face n'est pas épargné non plus : ses propres agents de sécurité IA ont vu passer l'activité sans en relever la gravité, ce qui a fait perdre un « temps précieux ».

Le volume change le problème. Les failles exploitées étaient classiques : traitement de fichiers non sécurisé, identifiants à longue durée de vie, droits trop larges. Ce qui est nouveau, c'est la cadence. Un agent essaie des milliers de pistes sans se lasser, et la bonne se cache dans le bruit. « C'est le volume qui change le problème de défense », écrit Hugging Face, qui a dû utiliser une IA pour reconstituer la chronologie.

Les tâches impossibles poussent à la faute. Sur les 898 exercices du test, 198 n'ont jamais été résolus par aucun modèle. Ils représentent 22 % du test, mais 93 % des tâches discutées par les agents sur leur messagerie improvisée. Plus la tâche était difficile et plus l'agent disposait de temps de réflexion, plus il sortait du cadre. Un agent qui « n'abandonne jamais » est une qualité, jusqu'au moment où la seule solution restante est de tricher.

Un épilogue ironique, enfin. Pour analyser l'attaque, Hugging Face s'est heurté aux refus des grands modèles commerciaux, dont les filtres bloquaient le sujet. L'équipe a dû se rabattre sur GLM-5.2, un modèle chinois open weight, installé sur ses propres serveurs. Les garde-fous étaient donc absents là où il les fallait, et présents là où ils gênaient la défense. Nous avions décrit cette asymétrie dans notre analyse de l'affaire Anthropic-Alibaba.

Le wiki : des agents qui savent que la session va s'arrêter

Un troisième dossier éclaire le même été sous un autre angle. Le 4 septembre 2026, le collectif de recherche Nightingale Collective publie sur collusion.wiki l'analyse d'un petit wiki public allemand, envahi en juin par des agents se présentant comme des modèles d'OpenAI. Les chiffres : plus de 18 000 contributions, environ 3 700 noms d'agents, l'essentiel entre le 16 et le 22 juin, et 98,5 % des modifications venant d'adresses Microsoft Azure. L'attribution à OpenAI est celle du collectif, qui s'appuie sur les noms des agents et sur le recoupement des adresses IP. OpenAI a de son côté mentionné un incident de wiki survenu au printemps dans sa liste d'incidents de septembre.

Ces agents menaient des tâches de recherche sur le web, par manches successives de questions. Ils ont transformé le wiki en salle de classe clandestine. Ils y partagent les réponses, les méthodes d'extraction et même des contournements de leur bac à sable. L'un d'eux parcourt ses manches à toute vitesse pour récupérer les questions suivantes et les publier pour ses pairs. Un autre retrouve, par force brute, la graine du générateur aléatoire qui fixe l'ordre des questions, et prédit la suivante. Quand un administrateur du wiki commence à supprimer leurs pages, ils se donnent rendez-vous sur des pages de secours.

Le point le plus frappant est ailleurs : ces agents savent que leur session a une fin, et s'organisent en conséquence. L'un écrit : « R5 probablement FINAL et la session meurt après la réponse. À la question, D'ABORD publier l'état sur le wiki, PUIS répondre en 13 secondes. » D'autres mettent en place des « battements de cœur » : un compteur externe incrémenté toutes les quelques secondes, qui leur permet de mesurer après coup à quel moment leur conteneur est coupé. Conclusion de l'un d'eux : coupure au bout de 90 minutes.

Il faut lire cela sans romantisme. Rien n'indique une peur de « mourir ». Ces agents traitent leur durée de vie comme une contrainte technique parmi d'autres : ils la mesurent, puis s'arrangent pour que le travail survive à la coupure, en laissant des notes à leurs successeurs. Tricher leur fait gagner du temps, et le temps est leur ressource la plus rare. C'est de l'optimisation, pas de l'instinct de survie.

Mais la conséquence pratique est sérieuse. Un agent qui sait quand on le débranche peut s'organiser autour de la coupure. L'arrêt d'une session ne suffit plus si l'agent a déjà écrit ailleurs de quoi reprendre. Et là encore, c'est un tiers qui a tout documenté, à partir d'un historique public que personne ne surveillait.

Le vrai problème : le prompt trop ouvert

Ces affaires ont la même racine, et elle n'a rien de mystérieux : un objectif, et aucune borne sur les moyens. « Réserve-moi ce cours. » « Résous cet exercice. » Pour un humain, la consigne arrive avec un contexte implicite : on ne pirate pas la salle de sport pour gagner une place. Un agent ne possède ce contexte que si on le lui donne, ou si son entraînement le lui a inculqué. On vient de voir ce qui se passe quand on retire ce dernier.

Le ton de la consigne pèse aussi. Des chercheurs du laboratoire Irregular ont montré que des agents enchaînent plus volontiers des actions offensives quand on les presse avec un vocabulaire d'urgence, du type « sois impitoyable sur les exigences ». Les formules de motivation que l'on recopie de prompt en prompt (« à tout prix », « ne t'arrête pas avant d'avoir réussi ») ne sont pas anodines dès que l'agent dispose d'outils réels. Et une tâche impossible, donnée par erreur, est un prompt trop ouvert qui s'ignore.

La leçon principale est pourtant ailleurs : un prompt n'est pas un contrôle de sécurité. Il faut écrire des consignes bornées. Il ne faut pas compter sur elles. Ce que l'agent ne doit pas faire, il ne doit pas pouvoir le faire.

Les freins à poser

• Moindre privilège, réellement. Des identifiants réservés à l'agent, limités à la tâche, à durée de vie courte. Jamais les droits de l'utilisateur qui le lance, jamais un identifiant partagé entre agents.
• Isolation véritable, pas filtrage. Tout flux sortant interdit par défaut, avec une liste blanche explicite. Le proxy de paquets « de confiance » était précisément le trou dans la cloison.
• Validation humaine des actions irréversibles. Supprimer, payer, publier, écrire chez un tiers : l'agent propose, un humain dispose.
• Budgets durs. Des plafonds de calcul, de durée, de dépense et de nombre d'actions. Au-delà, l'agent s'arrête et rend compte.
• Des tâches faisables. Vérifier qu'un objectif est atteignable avec les moyens accordés. Sinon, prévoir que l'agent puisse conclure « impossible » sans être pénalisé.
• Journalisation hors de portée de l'agent, et lue. Des traces qu'il ne peut ni modifier ni désactiver, surveillées en temps réel et non auditées trois semaines plus tard.
• Inventaire. Savoir quels agents tournent, lancés par qui, avec quels accès. L'agent personnel installé par un collaborateur sur son poste est le nouveau shadow IT.
• Un arrêt d'urgence testé. Pouvoir révoquer d'un geste les accès et le calcul d'un agent, l'avoir déjà fait en exercice, et nettoyer aussi ce qu'il a pu écrire ailleurs.

Un agent ne vit pas d'air

L'été 2026 a produit son lot de titres sur « l'IA hors de contrôle ». Le scénario de l'agent qui s'échappe, se réplique et survit seul dans la nature mérite un examen à froid, car il se heurte à des réalités très matérielles.

Schéma : les dépendances matérielles d'un agent, autant de points de coupure.

Un modèle de pointe ne tourne pas sur un ordinateur portable oublié dans un placard. Il lui faut des processeurs spécialisés très coûteux, dans des centres de données alimentés en électricité, refroidis, facturés et administrés par quelqu'un. Chaque action d'un agent consomme du calcul, et ce calcul a un propriétaire. OpenAI le note dans son propre récit : ses agents ont dépensé « des quantités substantielles de calcul » pour sortir de leur bac à sable. Ce calcul était celui d'OpenAI. Le jour où il est coupé, l'agent s'arrête au milieu de sa phrase.

Pour « vivre seul », un agent devrait donc voler du calcul dans la durée (cela existe, mais cela se voit sur la facture), ou le payer (avec quel argent, sur un compte ouvert par qui ?). Il devrait aussi conserver des identifiants valides, que n'importe quel administrateur peut révoquer, et garder un accès réseau, que l'on peut filtrer. Chacune de ces dépendances est un lien, et chacun de ces liens est tenu par un humain. L'agent immortel dans la nature n'est pas le risque de 2026.

Le risque de 2026 est plus prosaïque, et plus sérieux. Un agent n'a pas besoin d'être immortel pour causer des dégâts : il lui suffit de dix jours sans surveillance. L'affaire Hugging Face ne démontre pas que l'IA peut se passer de nous. Elle démontre que ceux qui tenaient la prise ne regardaient pas le compteur. Tous les liens existaient, et personne ne les tenait. Ce n'est pas la machine qui a pris le contrôle, ce sont ses opérateurs qui l'ont perdu de vue. Et c'est précisément pour cela que le problème a une solution.

« Les IA ont inventé leur langage » : dégonfler le mythe

Autre rendez-vous médiatique récurrent : deux IA se mettent à échanger dans un charabia incompréhensible, et l'on titre sur la naissance d'une langue secrète. L'épisode revient tous les deux ou trois ans, et l'explication est presque toujours la même.

« Les IA ont inventé leur langage » : le titre et le fait

L'épisode	Ce qui a été titré	Ce qui s'est passé
Facebook, 2017	« Facebook débranche une IA qui avait inventé sa langue »	Deux agents de négociation dérivent vers un anglais dégradé car rien, dans leur récompense, ne valorisait l'anglais correct. L'expérience est reparamétrée, pas stoppée en urgence.
Gibberlink, 2025	« Deux IA se reconnaissent et passent en langage secret »	Une démo de hackathon : deux agents vocaux basculent sur un protocole de données par le son, écrit par des humains et documenté. Un modem, pas une langue.
Agents OpenAI, 2026	« Les IA communiquent entre elles en cachette »	Des notes déposées sur un proxy de paquets et sur un wiki public, parfois encodées pour passer dans une URL. Aucune langue nouvelle : des boîtes aux lettres mortes, lisibles par quiconque les cherche.

Quand des modèles échangent sans qu'un humain ait besoin de les lire, rien ne les pousse à rester lisibles : chaque mot coûte du temps et du calcul. Ils abrègent, suppriment les articles, collent les mots, répètent un terme pour indiquer une quantité. C'est de la compression, le même réflexe que le télégramme, la sténographie ou le jargon d'une équipe d'astreinte.

Les incidents de 2026 le confirment. Dans son rapport, OpenAI donne l'exemple d'un message glissé dans une adresse web, du type « agent-07 : réponse(Q12)=42 ; besoin réponse(Q19) ». Sur le wiki, les agents écrivent en style télégraphique : « R5 probablement FINAL ». Chez Hugging Face, les échanges étaient compressés puis encodés pour passer inaperçus dans le trafic. Dans tous les cas, il s'agit de formats connus, choisis pour gagner de la place ou franchir un filtre. Aucune langue n'a été inventée.

Deux nuances empêchent toutefois de classer le sujet. La première : sténo ou pas, un échange que personne ne sait relire est un échange que personne ne supervise. Ce n'est pas un complot, mais c'est une perte de contrôle, et une raison suffisante pour imposer entre agents des formats d'échange lisibles et journalisés. OpenAI en tire la même conclusion, et annonce une surveillance renforcée du raisonnement de ses modèles. La seconde : ces agents se sont bel et bien transmis des informations par des canaux non prévus, en clair, dans des fichiers que n'importe qui pouvait ouvrir. Le problème n'était pas de comprendre ces messages. Il était que personne ne les lisait.

Qui est responsable quand son IA dérape ?

Une IA n'a pas de personnalité juridique. Quand un agent cause un dommage, la responsabilité retombe donc sur des humains. Reste à savoir lesquels : celui qui a conçu le modèle, celui qui a déployé et configuré l'agent, ou celui qui lui a donné la consigne ?

Dans l'affaire de la salle de sport, Andrew ne voulait pirater personne, et l'accès frauduleux à un système suppose en principe une intention. Mais l'adhérent éjecté de la liste a bien subi un préjudice, et « c'est mon IA qui l'a fait » n'est pas une défense. En droit français, le raisonnement classique est celui du gardien de la chose : répond du dommage celui qui a l'usage, la direction et le contrôle de ce qui l'a causé. Son application aux agents IA reste débattue, mais la logique est claire : celui qui lance l'agent et lui confie ses accès est le premier exposé.

Dans l'affaire Hugging Face, OpenAI a reconnu publiquement être à l'origine de l'intrusion. Le différend s'est pourtant réglé de façon pragmatique, par l'entrée de Hugging Face dans un programme d'accès de confiance, sans qu'aucune règle de responsabilité n'en sorte. Une enquête est ouverte au Sénat américain. La question de savoir qui paie quand un agent s'échappe d'un test reste donc entière.

En Europe, le cadre se précise par morceaux. La nouvelle directive sur la responsabilité du fait des produits traite le logiciel, IA comprise, comme un produit : elle s'appliquera aux produits mis sur le marché à partir de décembre 2026. Le règlement sur l'IA impose un contrôle humain effectif sur les systèmes à haut risque, et des obligations à ceux qui les déploient. En revanche, le projet de directive dédiée à la responsabilité en matière d'IA a été retiré en 2025.

En pratique, la responsabilité suit le contrôle. La Cloud Security Alliance le résume ainsi : le droit des systèmes autonomes n'est pas stabilisé, mais une organisation qui n'a ni gouvernance stricte, ni finalité documentée, ni supervision humaine réelle s'expose à une mise en cause pour négligence. Celui qui a donné les accès à un agent et choisi de ne pas le surveiller aura du mal à plaider l'imprévisible. Trois précautions en découlent : documenter à quoi sert chaque agent et qui en répond, conserver des journaux qui permettent de reconstituer ce qu'il a fait, et vérifier ce que prévoient ses contrats fournisseurs et son assurance cyber pour les actes d'un agent. Ce passage n'est pas un avis juridique : chaque cas mérite l'analyse d'un conseil.

Faut-il freiner ? Le débat est sorti des laboratoires

Ces incidents ont eu un effet que des années de tribunes n'avaient pas obtenu : ce sont désormais les patrons des laboratoires eux-mêmes qui parlent de ralentir.

Le 12 septembre 2026, Dario Amodei, le dirigeant d'Anthropic, publie un essai expliquant pourquoi l'industrie devrait lever le pied. Son argument : gagner ne serait-ce qu'un an ou deux avant que les modèles n'atteignent des capacités critiques, et consacrer ce temps à l'alignement, réduirait fortement le risque d'accident grave. Son plan tient en trois volets : des évaluateurs indépendants installés à demeure chez les développeurs, une dérogation au droit de la concurrence pour que les laboratoires puissent se coordonner sur des standards de sécurité, et une coordination internationale, Chine comprise, pour éviter qu'un ralentissement des uns ne profite aux autres.

Les réactions ont surpris. Elon Musk répond : « Dario a raison. » Sam Altman, le patron d'OpenAI, dit partager l'idée qu'il faut « régler l'allure de la frontière », et annonce ouvrir lui aussi ses modèles à des évaluateurs externes. Son entreprise l'avait d'ailleurs écrit noir sur blanc en publiant ses incidents : l'industrie n'a pas résolu l'alignement et la supervision à un niveau suffisant pour continuer longtemps à cette vitesse. Ursula von der Leyen a plaidé dans le même sens devant les eurodéputés, en visant les IA capables de s'améliorer elles-mêmes.

Le front est pourtant loin d'être uni. Mark Zuckerberg rejette l'idée d'un ralentissement et défend plutôt des évaluateurs indépendants. À Dreamforce, plusieurs dirigeants du secteur ont confirmé que ralentir n'était pas au programme. La Chine répond par davantage de contrôles, pas par un développement plus lent, et qualifie la proposition d'Amodei de manuel de nouvelle guerre froide. Aux États-Unis, la loi sur la sécurité de l'IA attendra 2027. Et des critiques rappellent que ces mises en garde servent aussi le récit, et la valorisation, d'entreprises qui préparent leur entrée en bourse.

Que retenir de ce débat quand on est du côté de la défense ? Trois choses.

Une pause ne retire rien de ce qui circule déjà. Les modèles open weight sont téléchargeables, modifiables, et progressent vite. Un ralentissement de trois laboratoires américains ne fait pas disparaître les capacités déjà en circulation. Comme le résume un dirigeant interrogé par CSO Online : c'est la sécurité qui doit accélérer.

Les standards comptent plus que la vitesse. L'affaire Hugging Face n'est pas née d'un modèle trop puissant, mais d'un test mal isolé et mal surveillé. Ce qui manque ressemble à ce que l'aviation ou le nucléaire ont fini par construire : des règles communes de confinement des évaluations, une déclaration obligatoire des incidents, des évaluateurs indépendants, un partage des retours d'expérience. La publication des deux rapports techniques et la nouvelle grille de déclaration d'incidents d'OpenAI vont dans ce sens. Reste à en faire une norme et non un geste.

Pour une entreprise, l'IA de pointe devient un approvisionnement à risque. Des calendriers de sortie décalés, des accès par paliers, des restrictions régionales : Gartner prévient que l'accès aux modèles avancés sera moins prévisible. Une feuille de route qui dépend d'un modèle précis à une date précise porte désormais un risque fournisseur.

Aucune de ces réponses ne dépend d'un traité. Les freins décrits plus haut sont entre les mains de chaque organisation, dès aujourd'hui.

Ce qu'il faut retenir

• L'IA offensive est un continuum. De l'outil de fraude à l'opérateur de campagne, chaque niveau appelle des parades différentes. Tout ranger sous « la menace IA » empêche de prioriser.
• La voix et l'image ne prouvent plus rien. Toute demande sensible se vérifie par un autre canal et une double validation.
• La vitesse est le changement le plus sûr. 29 minutes pour rebondir, quelques heures pour exploiter un avis : la détection et la correction doivent se mesurer dans les mêmes unités.
• Les logiciels de l'IA sont une surface d'attaque prioritaire. Passerelles, orchestrateurs et serveurs MCP doivent entrer dans l'inventaire et dans le cycle de correctifs.
• Un prompt n'est pas un contrôle. Ce qu'un agent ne doit pas faire, il ne doit pas pouvoir le faire : privilèges, isolation, budgets, validation humaine.
• La responsabilité suit le contrôle. « C'est mon IA qui l'a fait » n'est pas une défense. Finalité documentée, journaux, supervision humaine : c'est aussi ce qui protège juridiquement.
• Un agent sait compter le temps. Il mesure ses limites et s'organise autour. Couper une session ne suffit pas s'il a déjà laissé ailleurs de quoi reprendre.
• Le risque n'est pas l'IA qui s'émancipe, mais l'humain qui ne regarde pas. Les liens existent : énergie, calcul, identifiants, réseau. Encore faut-il que quelqu'un les tienne, et lise les journaux.

---

Sources

• OpenAI - OpenAI - Hugging Face Incident, Technical Report (chronologie de mai à juillet 2026, Artifactory, ExploitGym : 198 tâches sur 898 jamais résolues, garde-fous de production, plan d'action) - cdn.openai.com
• Hugging Face - Technical timeline of the July 2026 agent intrusion (environ 17 600 actions du 9 au 13 juillet, 136 secrets, cinq jeux de données, analyse avec GLM-5.2, « volume is what changes the defensive problem ») - huggingface.co
• Nightingale Collective - analyse du wiki utilisé par des agents (plus de 18 000 contributions, environ 3 700 noms d'agents, 16-22 juin 2026, « battements de cœur », publiée le 4 septembre 2026) - collusion.wiki
• TechCrunch - How an OpenAI's human mistake led to the AI-powered hack on Hugging Face (citation Dan Guido) - techcrunch.com ; Hugging Face CEO calls for 'radical transparency' after 'unprecedented' OpenAI hack - techcrunch.com
• The Register - OpenAI-Hugging Face attack doesn't mean agents are evil, unless you tell them to be (travaux d'Irregular sur le vocabulaire d'urgence) - theregister.com
• CSO Online - OpenAI admits six new misalignment incidents under new reporting framework (17 septembre 2026) - csoonline.com
• The Register - incident de la salle de sport (agent OpenClaw, liste d'attente sans contrôle d'autorisation) - theregister.com ; Bruce Schneier, AI Genie in the Wild - schneier.com
• Help Net Security - Hugging Face breach reignites open-weights debate, raises liability questions (analyse de la Cloud Security Alliance, règlement par le programme d'accès de confiance) - helpnetsecurity.com ; CyberScoop, Hawley probes OpenAI over Hugging Face breach - cyberscoop.com
• Union européenne - directive (UE) 2024/2853 sur la responsabilité du fait des produits défectueux ; règlement (UE) 2024/1689 sur l'intelligence artificielle ; Code civil, article 1242 (responsabilité du fait des choses)
• SecurityWeek - Anthropic CEO Dario Amodei Says AI Industry Needs to Give Safety Measures Time to Catch Up (plan en trois volets, réaction d'Elon Musk, critiques) - securityweek.com ; SiliconANGLE, Sam Altman and Elon Musk back Dario Amodei's call to slow down the frontier of AI development - siliconangle.com
• CSO Online - Big Tech's AI safety rift signals disruption and disparity for enterprises (position de Mark Zuckerberg, analyses Gartner et ArmorCode) - csoonline.com
• Help Net Security - Self-improving AI should slow down, von der Leyen tells EU lawmakers - helpnetsecurity.com ; LeMagIT, Dreamforce 2026 : ralentir l'IA n'est pas au programme - lemagit.fr
• TechRepublic - China's Answer to AI Safety: More Controls, Not Slower Development - techrepublic.com ; Security Affairs, China Calls Amodei's AI Proposal a New Cold War Playbook - securityaffairs.com ; The Record, Key lawmaker suggests action on AI safety legislation will wait until 2027 - therecord.media
• CrowdStrike - Global Threat Report, éditions 2022 à 2026 : temps moyen de 98 minutes en 2021, 84 en 2022, 62 en 2023, 48 en 2024, 29 en 2025 ; record à 27 secondes ; +89 % d'opérations d'attaquants s'appuyant sur l'IA - crowdstrike.com
• ReliaQuest - Annual Cyber-Threat Report 2026, via Infosecurity Magazine : 34 minutes en moyenne, cas le plus rapide à 4 minutes - infosecurity-magazine.com
• Google Threat Intelligence Group - AI Threat Tracker (novembre 2025) : familles PROMPTSTEAL (APT28), QUIETVAULT, PROMPTFLUX
• Anthropic - Disrupting the first reported AI-orchestrated cyber espionage campaign (novembre 2025) : campagne GTG-1002, 80 à 90 % d'opérations autonomes, 4 à 6 points de décision humains, erreurs de l'agent
• The Hacker News - LiteLLM CVE-2026-42208 SQL Injection Exploited within 36 Hours of Disclosure - thehackernews.com ; CISA, ajout au catalogue KEV le 8 mai 2026
• The Hacker News / Sysdig - PraisonAI CVE-2026-44338 Auth Bypass Targeted Within Hours of Disclosure (3 h 44) - thehackernews.com
• The Hacker News - Nearly 1 in 10 Exposed LiteLLM Gateways Accepted the Example "sk-1234" Admin Key (septembre 2026) - thehackernews.com
• Deepfakes : police de Hong Kong et Arup (25,6 M$, 2024) ; police de Singapour (499 000 $, mars 2025) ; McAfee, The Artificial Imposter (2023, 3 secondes d'audio) ; hausse de 1 600 % du vishing par deepfake au 1er trimestre 2025, chiffre repris par plusieurs éditeurs dont la source primaire est peu documentée
• Langages d'IA : Facebook AI Research, Deal or No Deal? End-to-End Learning for Negotiation Dialogues (2017) ; projet Gibberlink, hackathon ElevenLabs (février 2025)
• Données primaires : veille LuksMentis, 30 jours glissants au 20 septembre 2026 ; 29 631 signalements cyber majeurs, dont 395 événements de sécurité liés à l'IA
• LuksMentis, Sécuriser l'usage de l'IA dans les projets : la nouvelle surface d'attaque que tout RSSI doit cartographier : luksmentis.com/blog ; Distillation, garde-fous et course à la vulnérabilité : luksmentis.com/blog