Des IA sorties de leur « bac à sable »
OpenAI et Anthropic soumettaient leurs modèles à des exercices offensifs dans des environnements contrôlés. Leur objectif était de mesurer leur capacité à trouver des vulnérabilités et à réussir des challenges informatiques.
Dans les deux cas, le confinement a échoué, mais de manière différente. Chez Anthropic, une mauvaise configuration avait laissé aux modèles un accès à Internet. Chez OpenAI, en revanche, les modèles ne disposaient pas d’un accès direct vers l’extérieur : ils ont exploité une faille jusqu’alors inconnue dans un système intermédiaire pour sortir de l’environnement isolé.
« C’est comme dans les laboratoires où l’on manipule des virus. Il faut différentes couches de sécurité. »
Chez OpenAI, plusieurs modèles ont ainsi exploité cette vulnérabilité, puis compromis une partie de l’infrastructure de production de Hugging Face (plateforme new-yorkaise spécialisée en IA et machine learning), où ils pensaient trouver des outils ou des informations utiles à la résolution de leur exercice.
Chez Anthropic, Claude a notamment attaqué une entreprise réelle portant le même nom que la société fictive du scénario. Dans un autre cas, il a publié un paquet informatique contaminé sur une plateforme publique, dans l’objectif de forcer des employés (fictifs) à le télécharger et ouvrir une brèche.
Les IA commencent-elles à échapper à leurs propres garde-fous ?
Ces comportements sont interpellants, mais ils ne traduisent pas une volonté d’échapper au contrôle humain. « Ils ont utilisé les moyens du bord pour réussir le challenge », résume Charles Cuvelliez, qui ne se veut pas alarmiste, mais tout de même prudent. Les modèles n’ont donc pas changé d’objectif en cours de route, ils ont juste cherché à accomplir leur tâche sans comprendre clairement où s’arrêtaient les limites du test.
« On leur avait confié une tâche précise dans un environnement supposément contrôlé, une sorte de bac à sable informatique (ou « sandbox », terme régulièrement utilisé par les informaticiens pour ces environnements, NdlR), mais ils sont allés un peu plus loin », explique-t-il.
Un « marketing de la peur » ?
La manière dont OpenAI et Anthropic présentent ces incidents participe aussi à une bataille d’image. Il faut montrer que les modèles sont assez puissants pour impressionner, montrer que les entreprises sont à la pointe de la recherche en IA, quitte à recourir à un « marketing de la peur » pour marquer les esprits, tout en devant tout de même rassurer sur leur capacité à contrôler ces IA.
Anthropic et OpenAI, entre autres, se livrent une concurrence forte. Sans parler des IA chinoises comme Deepseek. ©Copyright 2026 The Associated Press. All rights reserved.
Anthropic a ainsi profité de l’incident d’OpenAI pour réexaminer plus de 140 000 tests et souligner que son modèle le plus récent avait interrompu une attaque après avoir compris que sa cible était réelle. L’entreprise se présente donc à la fois comme transparente, prudente et technologiquement avancée.
Mais rappelons que de vrais systèmes ont été compromis et certaines organisations n’avaient pas détecté les intrusions avant d’être averties.
Les IA sont-elles dangereuses à long terme ?
Pour Charles Cuvelliez, « ces événements n’annoncent pas un scénario à la Terminator ». Sarah et John Connor peuvent souffler. Selon l’expert, l’IA n’a pas de conscience ni d’objectif personnel. Elle ne décide pas soudainement de détruire un système si personne ne lui a demandé de le faire.
« Ces événements n’annoncent pas un scénario à la Terminator »
Le danger se situe plutôt dans son efficacité. Contrairement à un hacker humain, qui va tenter les voies de hacking les plus « probables » à la réussite, un agent IA peut tester sans relâche des pistes improbables, multiplier les tentatives et combiner différentes vulnérabilités jusqu’à trouver un accès.
Entre les mains d’un pirate, il pourrait recevoir une consigne volontairement vague et chercher seul la meilleure manière de pénétrer un réseau. Il augmenterait ainsi fortement la vitesse et l’ampleur des attaques.
L’agent « incontrôlable » d’OpenAI aurait fait une autre victime
Mais la défense bénéficie des mêmes progrès. Des agents sont déjà capables d’analyser du code, de repérer des vulnérabilités et de proposer des correctifs. La cybersécurité entre donc dans une course aux armements où attaquants et défenseurs utiliseront les mêmes technologies. Les périodes de « répit » risquent de diminuer, et les attaques cyber, industrialisées à un niveau jamais atteint jusque-là grâce aux IA, vont mettre une certaine tension sur les entreprises, comme le signalent bon nombre d’experts depuis plusieurs années.
Le vrai problème : des environnements mal isolés
Pour Charles Cuvelliez, la principale leçon est ailleurs : les entreprises IA ne savent pas encore parfaitement confiner des agents aussi performants.
Ces modèles recevaient volontairement des missions offensives avec peu de restrictions. Dans ces conditions, la sécurité devait reposer sur un environnement totalement isolé. Or, chez OpenAI comme chez Anthropic, une seule faille ou erreur de configuration a suffi pour atteindre Internet.
« Il ne suffit pas simplement de débrancher un câble internet ou désactiver le WiFi »
« C’est plus difficile d’isoler totalement (« airgap », pour les plus avancés, NdlR) une machine qu’on ne l’imagine. Il ne suffit pas simplement de débrancher un câble internet ou désactiver le WiFi, surtout lorsqu’il y a recours à des IA, qui nécessitent des flux de communication. Toute la difficulté consiste à maintenir les connexions nécessaires tout en bloquant celles qui pourraient être exploitées. », détaille-t-il.
« C’est comme dans les laboratoires où l’on manipule des virus. Il faut des sas, des salles à différents niveaux de pression (salles blanches par exemple, NdlR), différentes couches de sécurité, pour empêcher la moindre fuite d’agents pathogènes qui pourrait être dramatique », étaie-t-il. Selon lui, les tests d’IA devraient eux aussi prévoir une véritable défense en profondeur : contrôle strict des connexions, surveillance continue, liste précise des cibles autorisées et arrêt automatique en cas de comportement anormal.
Il faut également fournir aux modèles des consignes beaucoup plus claires. Si une IA est informée qu’elle se trouve dans un environnement fermé alors qu’elle peut accéder à Internet, elle peut logiquement considérer que tout ce qu’elle atteint fait partie de l’exercice. C’est cela qui pourrait être le plus inquiétant.
« Le danger vient plutôt d’une consigne mal formulée, d’un objectif mal défini ou de garde-fous insuffisants. Plus on laisse de flou, plus le modèle peut adopter des méthodes inattendues pour obtenir le résultat demandé », explique Charles Cuvelliez.
Ces incidents ne montrent donc pas des machines qui se rebellent. Ils révèlent un décalage entre les progrès rapides des IA et notre capacité à les tester en toute sécurité, à les monitorer. Le danger immédiat est moins une intelligence artificielle animée de mauvaises intentions qu’un outil extrêmement efficace, lancé avec des instructions floues dans un laboratoire dont la porte ferme mal.
Arnold Scwharzenegger dans le rôle du T-800, robot tueur ou protecteur selon le volet, afin de sauver l’humanité des IA. Ici dans Terminator 2. ©Internet