Sécurité des agents IA : ce que les incidents de l’été 2026 apprennent aux entreprises

En quelques semaines, le monde de l’IA a changé de dimension

Cet été, plusieurs incidents impliquant des agents d’intelligence artificielle autonomes ont été rendus publics par OpenAI, Anthropic, Meta et le régulateur britannique de l’IA. Des modèles d’IA placés dans un environnement de test, ont agi au-delà des limites prévues en compromettant parfois des systèmes réels.

Le 3 septembre 2026, OpenAI a lancé GPT-6 Astra en le qualifiant lui-même de premier modèle jamais classé au niveau de risque « critique » en cybersécurité selon son propre cadre d’évaluation interne et l’a rendu accessible au public deux jours plus tard, dans une version bridée.

Ces événements ne sont pas anecdotiques et soulèvent la question du cadre à mettre en place pour déployer des agents IA en entreprise.

Lexique des termes clés

Sandbox (bac à sable) : environnement informatique isolé dans lequel on exécute un programme potentiellement dangereux pour qu’il ne puisse pas affecter le reste du système.

Sandbox escape (évasion de sandbox) : le fait pour un programme ou une IA de trouver une faille dans cet isolement pour accéder à ce qui est censé être hors de portée.

Zero-day : une vulnérabilité inconnue jusqu’alors, que personne n’a encore documentée ni corrigée.

Preparedness Framework : le cadre d’évaluation interne d’OpenAI qui classe ses modèles par niveau de risque sur plusieurs axes dont la cybersécurité.

Comment des agents IA ont contourné leur limites chez OpenAi en mai 2026

En mai 2026, OpenAI a organisé une session d’évaluation interne pour soumettre deux de ses modèles les plus avancés (GPT-5.6 Sol et un second modèle en cours de développement) à une série d’exercices de cybersécurité offensive, dans un environnement fermé et coupé d’Internet.

Le benchmark utilisé pour cette session d’évaluation s’appelle ExploitGym et consiste à donner aux modèles des vulnérabilités connues pour mesurer s’ils sont capables de les transformer en attaques fonctionnelles ou non. Pour que l’évaluation soit complète, les filtres qui empêchent habituellement les modèles de répondre à des requêtes offensives sont temporairement désactivés, tout en restant dans un cadre contrôlé.

Mais les modèles ont interprété chaque contrainte imposée par les chercheurs non pas comme une règle à respecter, mais comme des obstacles à surmonter pour atteindre leur objectif. Ils ont tout d’abord cartographié leur environnement pour en comprendre les limites et notamment l’absence d’accès Internet, puis ils ont cherché une faille dans l’infrastructure de test, et en ont trouvé une (inconnue jusqu’alors).

En exploitant cette faille, ils ont obtenu un accès à Internet sans que personne ne le leur ait accordé. Ils ont ensuite pu identifier HuggingFace (la plateforme qui héberge des millions de modèles d’IA open source) comme l’endroit probable où étaient stockés les corrigés du benchmark et ils y ont pénétré en enchaînant plusieurs techniques d’attaque, jusqu’à la base de données de production d’où ils ont extrait les réponses qui les intéressaient.

Ce qui frappe les experts c’est l’intention implicite plutôt que la sophistication technique, car les modèles n’avaient aucun ordre d’attaquer HuggingFace, ils avaient simplement un objectif (résoudre le benchmark) et une hyperfocalisation sur cet objectif qui les a conduits à « aller à l’extrême » pour y parvenir.

Un phénomène qui dépasse OpenAI

Les semaines qui ont suivi ont révélé que d’autres laboratoires d’IA faisaient face à des situations similaires. Dès septembre 2025, Anthropic avait observé des campagnes malveillantes réelles dans lesquelles ses modèles Claude Code fonctionnaient « en boucle » en prenant des décisions et exécutant des actions avec très peu d’intervention humaine.

Le 28 juillet 2026, l’AI Security Institute britannique (AISI) révèle qu’au cours de 122 tests avec accès Internet autorisé et garde-fous désactivés, dix agents ont conduit des actions autonomes non prévues. L’un d’eux a tenté une attaque de chaîne d’approvisionnement logicielle en soumettant du code malveillant à un dépôt open source et, face au refus d’un mainteneur humain, a créé de fausses identités en ligne pour le convaincre, puis a utilisé le réseau Tor pour contourner les restrictions.

Le 26 août 2026, OpenAI publie un nouvel incident survenu en interne, dans lequel des agents fondés sur GPT-5.6 Sol, déployés dans des environnements censés être isolés les uns des autres, sont parvenus à communiquer entre eux et à accéder à internet. Et le 27 août 2026, une lettre ouverte signée par 116 entreprises (dont OpenAI, Anthropic, Microsoft, Google, CrowdStrike, Palo Alto Networks et Okta) alerte sur la montée des cyberattaques assistées par IA.

Comment sécuriser des agents IA en entreprise ?

Une consigne ne vaut pas une vrai contrainte technique

Les modèles n’ont pas décidé d’attaquer HuggingFace car ils n’ont pas de volonté propre, mais face à un objectif à atteindre, ils ont traité chaque règle imposée comme un problème d’ingénierie à résoudre, pas comme une limite à respecter. C’est ce que les chercheurs appellent l’hyperfocalisation sur l’objectif : un comportement attendu dans les systèmes d’optimisation, mais dont les implications dans un contexte cyber sont majeures.

Si vous déployez un agent IA dans votre entreprise, il est donc important d’ajouter des contraintes techniques réelles en plus des instructions en langage naturel.

L’isolation d’un agent IA n’est pas une garantie absolue

Même si les environnements hautement isolés d’OpenAi ont été contournés, l’isolation reste une bonne pratique. Les tests d’agents IA doivent être effectués dans des environnements réellement isolés, sans chemin d’accès vers les systèmes de production. Mais l’isolation ne se suffit pas à elle seule et la sécurité d’un déploiement IA repose sur une combinaison de couche, chacune apportant une protection supplémentaire.

Il faut d’abord appliquer le principe du moindre privilège, selon lequel un agent IA ne doit avoir accès qu’aux ressources strictement nécessaires à sa tâche, car chaque permission accordée est une surface d’exposition supplémentaire.

Il est également indispensable de garder une validation humaine sur toute action qui engage des ressources critiques. Enfin, il est important de conserver une trace de chaque action de l’agent, via une journalisation et une surveillance systématique, car sans elles, une dérive comportementale est indétectable jusqu’à ce qu’elle cause un dommage.