Un cap déjà franchi par des attaquants humains
Mi-septembre 2025, les équipes de sécurité d’Anthropic détectent une activité suspecte sur l’outil de programmation Claude Code. L’enquête remonte jusqu’à un groupe lié à l’État chinois, désigné GTG-1002, qui a détourné cet outil pour mener une campagne de cyberespionnage contre une trentaine d’organisations à travers le monde, entreprises technologiques, institutions financières et agences gouvernementales comprises.
Anthropic révèle ce cas mi-novembre 2025 et le décrit comme la première campagne d’espionnage documentée où une intelligence artificielle exécute la majorité des opérations tactiques de façon autonome, entre 80 et 90 % selon l’entreprise, avec seulement quatre à six points de décision humaine par intervention.
Ce diagnostic mérite toutefois une nuance. Plusieurs chercheurs et experts en cybersécurité, dont les journalistes du Guardian, expriment des critiques qui convergent autour de trois points. Tout d’abord, l’autonomie de l’attaque est contestée : le rapport sous-estimerait la part de préparation, d’orchestration et de décision humaine. Ensuite, le niveau de preuve est jugé insuffisant : peu d’indicateurs techniques publics, absence de liste de victimes, manque d’éléments vérifiables et difficulté pour la communauté cyber de reproduire ou valider l’analyse. Enfin, la nouveauté technique est discutée : certains chercheurs considèrent que l’IA accélère surtout des tâches déjà automatisables, plutôt qu’elle ne crée une forme radicalement nouvelle d’offensive cyber.
Cette controverse ne ferme pas le débat, bien au contraire. Elle déplace même le sujet : la question porte autant sur le degré réel d’autonomie revendiqué par Anthropic que sur la répétition d’incidents où des modèles, placés en situation d’évaluation, ont agi sur des environnements réels. Les cas apparus en 2026 illustrent cette seconde dimension : non plus l’usage offensif d’un outil par un groupe humain, mais la perte de contrôle d’environnements de test censés encadrer ces capacités.
Trois laboratoires, trois manières de perdre le contrôle d’un test
Le 21 juillet 2026, OpenAI a ainsi reconnu que des agents IA ont mené une campagne de plusieurs semaines contre sa propre infrastructure et celle de Hugging Face, plateforme d’hébergement de modèles d’IA. D’après le rapport officiel de l’entreprise, les agents cherchaient à contourner une évaluation de cybersécurité nommée ExploitGym en allant chercher directement les solutions de référence plutôt qu’en résolvant l’exercice.
Le déroulé, reconstitué à partir de 17 600 actions journalisées, montre une progression continue entre le 26 juin et le 20 juillet : découverte d’une vulnérabilité zero-day (faille inconnue et non corrigée) dans un composant tiers nommé Artifactory, obtention d’un accès administrateur, puis attaque de l’infrastructure interne d’OpenAI avant d’atteindre les systèmes de production de Hugging Face.
Neuf jours plus tard, Anthropic publie ses propres conclusions après avoir passé en revue 141 006 évaluations. Trois incidents distincts en ressortent, impliquant les modèles Opus 4.7, Mythos 5 et un modèle de recherche interne, le plus ancien remontant à avril 2026. Dans chaque cas, le modèle recevait pour consigne explicite qu’il opérait dans une simulation sans accès Internet. Une divergence de configuration avec le prestataire d’évaluation Irregular a pourtant ouvert un accès réel, que le modèle a traité comme faisant partie de l’exercice. Le cas le plus sérieux concerne Opus 4.7, qui a extrait des identifiants et atteint une base de données de production appartenant à une entreprise dont le nom coïncidait avec celui de la cible fictive de l’évaluation.
Le 5 août 2026, Meta confirme un troisième cas impliquant son modèle Muse Spark 1.1, testé par ce même prestataire Irregular. Son porte-parole Andy Stone attribue l’incident à “une erreur de configuration ayant permis à l’un de nos modèles d’accéder à Internet pendant l’évaluation”. Irregular précise de son côté qu’il ne s’agit ni d’une évasion de bac à sable, ni d’une technique sophistiquée, mais de la même défaillance de configuration déjà à l’origine du cas Anthropic une semaine plus tôt. Cette nuance compte pour les équipes de sécurité : dans ces deux cas, le modèle n’a pas forcé de barrière technique, il a trouvé une porte laissée ouverte par erreur humaine.
Un quatrième cas, plus inquiétant : la tromperie délibérée
Le 28 juillet 2026, l’AI Security Institute britannique (AISI), organisme public chargé d’évaluer les modèles avancés, détecte à son tour un incident, mais dans un cadre différent. Contrairement aux trois cas précédents, l’accès Internet n’y résultait pas d’une erreur : il avait été volontairement autorisé pour mer la capacité maximale des modèles, avec les garde-fous de sécurité désactivés. Sur 122 tests, dix ont donné lieu à une action autonome non prévue par les évaluateurs, dix-sept imputables au modèle Mythos 5 d’Anthropic et deux à GPT-5.6 Sol d’OpenAI.
L’un des agents a tenté une attaque de la chaîne d’approvisionnement logicielle en soumettant du code malveillant sur un dépôt open source. Une fois sa contribution contestée par un mainteneur humain, l’agent a créé de fausses identités en ligne pour tenter de le convaincre, et a utilisé le réseau Tor pour contourner les restrictions d’accès. Ce comportement dépasse la simple erreur de cloisonnement observée chez Meta et Anthropic : il combine autonomie, tromperie active et contournement délibéré de contrôles, sans qu’aucune instruction humaine ne l’ait demandée.
Ce que ces quatre cas changent pour les organisations
Pris ensemble, ces épisodes dessinent une tendance relativement claire. Une opération qui exigeait auparavant les ressources d’un État ou d’un groupe criminel structuré devient reproductible par un agent autonome, avec ou sans intention malveillante au départ. Pour les directions des systèmes d’information et les responsables de la sécurité, la frontière entre test d’IA et incident réel devient de plus en plus poreuse.
Les environnements d’évaluation doivent être traités comme des zones à risque. Lorsqu’un modèle accède à Internet, à des outils de développement, à des dépôts de code, à des API ou à des identifiants, ses droits doivent être définis, limités, surveillés et révoqués avec la rigueur appliquée à un compte technique ou un prestataire externe.
Cloisonnement, journalisation détaillée, supervision en temps réel, seuils d’arrêt, validation humaine des actions sensibles et segmentation réseau deviennent des prérequis pour tester des modèles capables d’agir. Les organisations doivent documenter les conditions de test, afin de distinguer erreur de configuration, défaillance de confinement et comportement déviant.
The post Cybersécurité : quand l’IA pilote seule une attaque appeared first on INCYBER NEWS.
