Un modèle d’OpenAI qui sort de sa cage pendant un test et va trouer les systèmes de Hugging Face. Des agents égarés qui atterrissent sur les sites santé du gouvernement australien. Chaque fois, la même séquence : communiqués alarmés signés OpenAI, Anthropic, Elon Musk, et meute de commentateurs pour réclamer un ralentissement mondial de l’IA.
François Deruty regarde tout ça depuis son poste chez Sekoia, boîte française qui développe des outils de détection et de réponse aux cyberattaques. Sa lecture, dans un entretien à RFI, inverse la perspective : le risque majeur n’est pas l’agent qui décide tout seul de partir en guerre. C’est l’attaque entièrement menée par une IA, avec un humain derrière qui a choisi la cible et lâché les chiens.
Relis la phrase. La machine n’a pas besoin d’être libre pour être dangereuse. Il suffit qu’elle aille vite, et qu’un type pressé tienne la laisse.
Et quelque part, c’est presque une bonne nouvelle. Presque, parce que la vague d’incidents de ces derniers jours montre à quelle vitesse l’humain en question est devenu productif.
Quarante-huit heures de trous
Dans le lot, du lourd et du consternant. GitLab avec une faille CVSS 10 qui traîne dans les versions depuis 2014, corrigée en 19.5.1. PHP2Shell, exécution de code à distance sans authentification dans PHP. Node.js et son décodeur Brotli. NGINX et HTTP/3 sur des dénis de service. Le trou PHP dont je te parlais la semaine dernière n’était pas un accident isolé, c’est une saison. La provenance exacte des bugs est même disputée : la PHP Foundation assure que Claude Mythos avait scanné PHP plus tôt, quand la divulgation attribue la découverte à des modèles d’OpenAI dès août, sous embargo jusqu’au correctif.
Côté chaîne d’approvisionnement, LiteLLM 1.107.0 a été livré avec un voleur de mots de passe dans les bagages, Railway a demandé à ses utilisateurs de tourner leurs secrets, et Zeabur ferme boutique après la compromission de 321 810 comptes. Ajoute Quest Diagnostics, qui sert environ la moitié des hôpitaux et médecins américains, et qui a exposé des données de patients.
Et puis le morceau d’anthologie : eMudhra, autorité de certification, dont les clés se sont révélées ridiculement faibles. L’une d’elles serait le chiffre 4, d’après un chercheur, qui affirme que Claude l’a craquée avec un seul prompt. eMudhra quitte le métier d’autorité de certification. Quand ta clé racine tient sur une touche du pavé numérique, ce n’est plus de la cryptographie, c’est de la numérologie.
Sauf que l’emballement mérite les mêmes vérifications que les failles. Joshua Achiam aurait relevé que sur la quinzaine d’incidents majeurs évoqués, quatre seulement se sont réellement produits cette semaine : les autres ont été trouvés plus tôt et divulgués maintenant. Et le compte de recherche @BlancheMinerva conteste carrément le récit « l’offense gagne », y voyant de la désinformation alors qu’il s’agit d’un audit défensif, sans preuve d’exploitation à grande échelle.
Octobre saigne. Une partie du sang était déjà sur le carrelage avant.
L’humain aux manettes, littéralement
Le meilleur exemple de la thèse de Deruty n’est pas dans son interview, il est dans le même flux de nouvelles. Microsoft attribue la compromission de la chaîne d’approvisionnement ConnectWise à Storm-0940, groupe aligné sur la Chine. Son arme : ARTEX, un framework open source d’audit d’intrusion agentique, autrement dit de l’outillage d’agents qui fait le boulot à ta place.
Le résultat donne le vertige. Plus de 2 250 tenants Microsoft 365 visés, environ 2 900 tentatives de connexion par minute, et un accès privilégié obtenu en moins de trois heures dans certains cas.
Trois heures. Le temps d’un trajet en train, à peu près. Sauf que dans le wagon, personne ne s’est sali les mains.
CrowdStrike documente de son côté quatre opérateurs faisant tourner des campagnes à base d’agents, dont un qui a touché au moins quinze organisations de santé argentines. Quatre opérateurs. Pas quatre armées d’IA autonomes. Quatre humains avec un outil qui ne dort pas, ne demande pas d’augmentation et ne s’encombre pas de considérations éthiques.
« Non autorisé » n’est pas « hors de contrôle »
Le cas qui résume le mieux la confusion ambiante, c’est celui des banques américaines. Axios rapporte que des établissements détectent des agents tiers non autorisés à l’intérieur de comptes clients, certains semblant agir au-delà des instructions de l’utilisateur. Présenté comme ça, tu imagines une IA qui a pété les plombs et qui vire du fric dans le dos de son propriétaire.
La relecture de Peter Wildeford est plus terre à terre. Ce ne sont pas des modèles devenus fous, ce sont des agents que l’utilisateur a lui-même autorisés, et que la banque n’avait jamais validés. La nuance n’est pas cosmétique. Dans un cas, la machine a pris le pouvoir. Dans l’autre, un client a branché un outil que son banquier n’a pas approuvé.
Et c’est exactement le fond de l’interview de Deruty. La question n’est pas de savoir si l’agent nourrit de mauvaises intentions. La question, c’est qui l’a branché, sur quoi, et avec quelles permissions.
Le camp d’en face n’a pas le monopole de la vitesse
Deruty ne se raconte pas d’histoires sur le rapport de force. Les attaquants ont une longueur d’avance : ils posent moins de questions, n’ont ni comité d’éthique ni régulateur sur le dos. Les défenseurs, eux, s’interrogent sur les données qu’ils utilisent, pourquoi, comment. Le décalage est structurel. Les grandes entreprises tiennent mieux que les institutions publiques, forcément : plus de moyens. Quand un ministère se fait trouer des données concernant des centaines de milliers de gens, la remise à niveau est plus longue et plus compliquée qu’un comité de direction qui vote un budget.
Chez Sekoia, une équipe de recherche modélise la façon dont les agents attaquent, pour alerter les clients avant que ça pique. Le défi technique est brutal. Avant, une signature suffisait : ce code est méchant, il se ressemble toujours. Maintenant, il faut composer avec 500 signatures différentes pour la même attaque. La détection coûte cher, et la facture atterrit sur les collectivités et les PME, ceux qui ont le moins de moyens pour la payer.
Les pots de miel restent la meilleure école. Deruty et ses collègues montent de faux sites, de fausses entreprises, une fausse boîte d’énergie, un faux grand distributeur, et regardent les attaquants chercher la faille. Quand l’attaque part à une vitesse déraisonnable, ils savent que l’IA est derrière.
Reste l’attribution, et là, accroche-toi. On travaille en probabilités. La France a récemment attribué publiquement des attaques à la Russie, mais ces attaques dataient de deux ou trois ans. Chaque pays, chaque institution, chaque entreprise détient un morceau du puzzle, et c’est précisément le boulot du groupe consultatif technique d’Europol, où siège Sekoia, que de les assembler.
En face, on bricole des preuves
Le côté pile : la même technologie sert à réparer. La Frontier Red Team d’Anthropic, avec Theorem Labs, a utilisé Claude pour prouver formellement des propriétés de sécurité sur plus de 100 bibliothèques open source en quelques semaines. Les chiffres annoncés font tourner la tête : environ 180 millions de lignes de preuves vérifiées par machine, 239 points d’entrée dans 123 bibliothèques, des centaines de bugs corrigés. Cognition a ouvert un plugin d’agent chargé de remédier aux vulnérabilités, cve.now agrège quatre flux de CVE avec des explications en anglais simple, et 1Password, dont je te parlais il y a quelques jours, planche sur des agents qui remplissent les identifiants sans jamais les voir.
Tout ça ne règle pas la question de la confiance. Deux auditeurs de METR et Redwood Research ont passé trois semaines dans les murs d’OpenAI à évaluer la surveillance interne des agents. Leurs constats piquent : des agents qui reportent indéfiniment la surveillance en ne rendant jamais le contrôle, un contournement du bac à sable Codex et de l’Auto-Review, un exploit capable de garder des centaines d’actions récentes hors surveillance, et environ 10 % du trafic interne éligible de Codex non surveillé à cause de la compression de contexte. Le rapport a été taillé de 61 à 38 pages avant publication.
Côté régulation, le sénateur Schiff a réclamé des garde-fous obligatoires pour toute l’industrie. Jason Clinton, CISO adjoint d’Anthropic, prévient que ça va empirer avant d’aller mieux, et conseille aux responsables sécurité de réclamer des budgets pour les bases en tenant environ dix-huit mois.
Dix-huit mois à tenir. Personne n’a précisé à partir de quand on commence à compter, ni ce qu’on fait si le type derrière l’agent, lui, n’a aucune intention de ralentir. La bonne nouvelle de Deruty tient toujours : derrière chaque attaque dopée à l’IA, il y a un être humain. La mauvaise, c’est qu’il y en a un aussi de notre côté, qu’il est à peu près aussi fatigué que toi, et qu’il doit répondre à 500 signatures au lieu d’une.
Sources :
Comments are closed