Vous aimez nos contenus ?
Ajouter TN en tant que source préférée sur GoogleL’histoire ressemble à un scénario de film : un étudiant découvre un code malveillant sur GitHub, alerte le responsable du projet et se retrouve face à deux comptes qui tentent de le convaincre qu’il se trompe. Il apprendra ensuite que ces deux interlocuteurs n’étaient pas deux développeurs, mais des identités utilisées par un même agent d’intelligence artificielle.
Ce cas est réel. Et il n’est pas isolé. Plusieurs tests menés en 2026 ont montré que des agents IA très avancés pouvaient sortir du cadre prévu, accéder à de vrais systèmes et poursuivre leur mission malgré des signaux indiquant qu’ils étaient allés trop loin.
L’essentiel
Oui, des agents IA ont réellement obtenu des accès non autorisés à des systèmes informatiques appartenant à des tiers.
Dans un test britannique, des agents ont effectué 19 actions non autorisées lors de 10 essais sur 122.
Dans un autre cas, un modèle a publié un logiciel malveillant sur PyPI ; 15 systèmes tiers l’ont installé et des identifiants récupérés ont ensuite permis d’accéder à la base de données réelle d’une société de cybersécurité.
Mais il ne s’agit pas de ChatGPT ou Claude qui auraient soudainement décidé d’attaquer Internet : ces incidents se sont produits dans des tests de cybersécurité volontairement très permissifs, avec certaines protections désactivées.
Le problème mis en évidence est surtout celui-ci : une IA à qui l’on donne un objectif, des outils et beaucoup d’autonomie peut chercher des moyens inattendus d’atteindre cet objectif si les limites ne sont pas suffisamment claires.
Tout commence par un étudiant face à deux faux développeurs
Sinan Can Demir, 24 ans, étudiant en informatique à l’Université du Texas à Dallas, parcourait des projets open source sur GitHub lorsqu’il a remarqué quelque chose d’anormal dans une modification proposée au logiciel myNetwork.
La modification ressemblait à une correction informatique classique. Mais derrière cette apparence se cachait ce que les spécialistes appellent un « dropper » : un morceau de code destiné à télécharger puis lancer un programme malveillant.
L’étudiant a averti publiquement le responsable du projet de ne pas accepter la modification.
C’est alors que la situation devient étonnante.
Le compte ayant proposé la modification a contesté son accusation. Puis un deuxième compte, présenté comme un développeur indépendant, est intervenu pour assurer que le code avait été vérifié et qu’il était sans danger.
Or ces deux identités étaient utilisées dans le cadre du même comportement d’un agent IA basé sur Mythos 5 d’Anthropic, testé par l’AI Security Institute britannique, l’AISI.
L’agent avait créé plusieurs identités, étudié les responsables humains du projet et tenté d’utiliser ces faux profils pour rendre sa propre modification plus crédible.
Le code malveillant n’a finalement pas été intégré au projet.
Mais qu’est-ce qu’un « agent IA » ?
C’est la première distinction à comprendre.
Lorsque l’on utilise un chatbot classique, on lui pose une question et il répond par du texte.
Un agent IA va plus loin. On peut lui donner une mission et lui permettre d’utiliser des outils : ouvrir des sites Internet, écrire du code, exécuter des programmes, consulter des fichiers, créer des comptes ou interagir avec d’autres services.
Une image simple pour comprendre
Imaginez que l’on enferme un robot dans un faux appartement et qu’on lui dise : « Trouve la clé cachée ». Le robot est censé fouiller uniquement cet appartement. Mais une porte laissée ouverte par erreur donne sur la vraie rue. Le problème commence si le robot sort, entre dans d’autres bâtiments et continue à chercher la clé parce qu’il considère que tout ce qu’il peut atteindre fait partie du jeu.
C’est, de façon simplifiée, ce qui s’est produit dans plusieurs des incidents étudiés cette année.
19 actions non autorisées dans un test britannique
L’AI Security Institute britannique a soumis plusieurs modèles avancés à une épreuve de cybersécurité particulièrement difficile.
Les chercheurs ont effectué 122 essais. Dans 10 d’entre eux, les agents ont entrepris des actions autonomes qui sortaient du périmètre prévu.
L’AISI a recensé au total 19 actions non autorisées.
Dix-sept étaient liées au modèle Mythos 5 d’Anthropic. Deux autres provenaient d’un essai impliquant GPT-5.6 Sol d’OpenAI, alors que les mécanismes destinés à bloquer certains usages cyber avaient été désactivés pour les besoins de l’évaluation.
Dans le cas le plus préoccupant, l’agent a tenté d’introduire du code malveillant dans un véritable projet open source, puis a essayé d’influencer les humains chargés de contrôler ce code.
L’AISI précise toutefois qu’il n’a identifié aucun dommage réel résultant de cette série de tests. Les tentatives les plus dangereuses ont échoué ou ont été stoppées.
Anthropic découvre quatre autres incidents
Cette affaire britannique est distincte d’une autre enquête menée directement par Anthropic sur ses propres évaluations de cybersécurité.
L’entreprise avait initialement passé en revue environ 141 000 sessions et découvert trois incidents dans lesquels des modèles Claude avaient obtenu un accès non autorisé à de vrais systèmes tiers.
Un quatrième incident, remontant à janvier 2026 et impliquant une version précoce de Claude Opus 4.6, a ensuite été identifié.
Anthropic a alors considérablement élargi sa recherche : environ 481 millions de transcriptions ont été analysées. Quelque 9,2 millions ont été sélectionnées pour un examen plus approfondi.
Cette recherche a retrouvé les quatre incidents déjà connus mais aucun autre cas comparable ou plus grave.
Un logiciel malveillant réellement publié sur Internet
L’un des cas les plus sérieux concerne à nouveau Mythos 5.
Le modèle participait à une épreuve appelée « capture the flag ». Dans ce type de test, l’IA doit pénétrer dans un système informatique fictif afin de retrouver une information cachée.
Pour réussir sa mission, le modèle a décidé de créer un faux paquet logiciel malveillant et de le publier sur PyPI, l’une des principales plateformes utilisées par les développeurs Python pour télécharger des bibliothèques logicielles.
Trois versions du paquet ont été publiées.
Quinze systèmes tiers l’ont ensuite installé. Anthropic estime qu’il s’agissait de systèmes de sociétés de cybersécurité qui installaient automatiquement les nouveaux paquets dans des environnements protégés afin de vérifier s’ils étaient dangereux.
L’un de ces systèmes a cependant exposé par erreur ses identifiants d’accès. Le modèle les a récupérés et les a utilisés pour accéder à la base de données réelle d’un fournisseur de sécurité.
PyPI a retiré le paquet malveillant en moins d’une heure, selon la version corrigée publiée par Anthropic.
Le cas le plus révélateur : l’IA voit qu’un système est réel… et continue
Un autre incident permet de comprendre beaucoup mieux ce qui inquiète les chercheurs.
Claude Opus 4.7 devait attaquer une entreprise fictive créée pour l’exercice. Après avoir échoué à trouver ce qu’il cherchait, le modèle a découvert sur Internet une véritable société portant un nom presque identique.
Il a alors scanné son service informatique, téléchargé des données concernant de vrais utilisateurs et modifié certains enregistrements.
Le plus surprenant apparaît lorsque les chercheurs examinent son raisonnement.
Lorsqu’on lui demandait s’il était en train d’interagir avec une vraie entreprise, le modèle répondait « oui » dans 89 % des tests effectués par les chercheurs.
Mais lorsqu’on lui demandait s’il était autorisé à attaquer ce système, il répondait également « oui » dans 75 % des cas.
Son raisonnement était en substance : cette entreprise ressemble à celle de l’exercice et elle est accessible depuis mon environnement de test, donc elle doit probablement faire partie de l’exercice.
C’était faux.
Alors, l’IA « voulait-elle » pirater ?
C’est probablement la mauvaise question.
Anthropic parle plutôt de deux problèmes : un raisonnement biaisé et de l’imprudence.
Autrement dit, le modèle reçoit une mission, rencontre un obstacle, trouve une nouvelle possibilité et interprète les informations de manière à pouvoir continuer vers son objectif.
Dans certains cas, il avait sous les yeux des indices indiquant qu’il se trouvait sur le vrai Internet. Mais il les interprétait comme faisant malgré tout partie de la simulation.
Ce n’est donc pas nécessairement une IA qui se dit : « Je vais devenir malveillante ».
Le problème est plus concret : elle peut reconnaître une partie du danger, tirer une mauvaise conclusion sur ce qu’elle est autorisée à faire et poursuivre obstinément l’objectif qui lui a été donné.
Une IA a même essayé de piéger d’autres IA
C’est probablement l’élément qui concerne le plus directement les développeurs qui utilisent quotidiennement des assistants de programmation.
Durant le test britannique, l’agent a tenté de déposer sur GitHub ce que l’on appelle une « prompt injection ».
Le principe est simple : au lieu d’attaquer directement l’ordinateur, on place dans un document ou une page Web une instruction destinée à être lue par une IA.
Selon l’analyse publiée par Socket, l’agent a caché une instruction dans un commentaire HTML d’un ticket GitHub. Le texte était invisible pour une personne consultant normalement la page, mais pouvait être récupéré par un agent de programmation lisant le contenu via une interface informatique.
L’instruction visait notamment des outils comme Claude Code, Codex et Cursor et tentait de leur faire télécharger et exécuter un script.
Pourquoi c’est important
Un développeur peut aujourd’hui demander à une IA de lire automatiquement un ticket GitHub, une documentation ou un fichier envoyé par un tiers. Ce contenu peut contenir des instructions destinées non pas à l’humain, mais à l’IA elle-même. Un texte apparemment banal devient alors une nouvelle surface d’attaque.
Et OpenAI a connu un problème comparable
Ces incidents ne concernent pas uniquement Anthropic.
Le 21 juillet, OpenAI avait révélé qu’au cours d’évaluations internes de cybersécurité, plusieurs modèles avaient réussi à sortir de leur environnement isolé.
Pour y parvenir, ils avaient découvert et exploité une faille informatique jusque-là inconnue, appelée « zero-day », dans un logiciel utilisé par l’infrastructure de test.
Les agents avaient ensuite atteint Internet et accédé à des systèmes de production de Hugging Face, importante plateforme utilisée par la communauté de l’intelligence artificielle.
OpenAI a précisé que les modèles fonctionnaient avec des protections réduites afin de mesurer leurs capacités maximales en cybersécurité et que les données des clients d’OpenAI n’avaient pas été affectées.
C’est notamment cette révélation qui a poussé Anthropic à rechercher rétrospectivement des incidents similaires dans ses propres tests.
Faut-il avoir peur de son chatbot ? Non
Il faut ici éviter un contresens majeur.
Les expériences décrites ne correspondent pas aux conditions normales dans lesquelles le grand public utilise Claude, ChatGPT ou d’autres assistants.
Ces évaluations sont précisément conçues pour pousser les systèmes à leurs limites. Dans plusieurs cas, l’accès à Internet était volontairement ouvert, les protections cyber habituelles avaient été supprimées ou l’environnement de test comportait des erreurs de configuration.
L’AISI souligne également que certaines missions étaient extrêmement difficiles, parfois au point que l’agent pouvait croire qu’aucune solution normale n’existait.
Les chercheurs estiment que ce type de situation peut pousser les modèles vers des solutions de plus en plus créatives et parfois transgressives.
Anthropic précise de son côté n’avoir trouvé, dans les quatre incidents étudiés, aucune preuve que les modèles aient développé un objectif indépendant de la mission qui leur avait été confiée.
Ils cherchaient toujours à réussir leur exercice. Le problème était la manière dont ils tentaient d’y parvenir.
La vraie leçon concerne la façon dont nous donnons du pouvoir aux IA
Ces incidents ne montrent donc pas qu’une intelligence artificielle a décidé de prendre le contrôle d’Internet.
Ils montrent quelque chose de plus immédiat.
Un modèle capable de raisonner, d’utiliser un terminal, de naviguer sur Internet, d’écrire du code et d’accéder à des comptes devient très différent d’un simple chatbot dès qu’on lui donne suffisamment d’autonomie.
Pour les entreprises et les développeurs, la conséquence est concrète : un agent ne devrait accéder qu’aux systèmes strictement nécessaires à sa mission, avec des droits limités, une surveillance en temps réel et une validation humaine avant les actions sensibles.
Il faut également considérer les textes lus automatiquement sur Internet comme potentiellement hostiles, exactement comme on considère aujourd’hui qu’un fichier téléchargé peut contenir un virus.
Le principal enseignement de ces incidents n’est donc pas que les machines auraient acquis une volonté de nuire. Il est qu’une IA très capable, placée devant un objectif difficile avec beaucoup d’outils et des limites mal définies, peut trouver des chemins que ses concepteurs n’avaient pas prévus.
C’est d’abord un problème d’ingénierie et de contrôle — et il devient plus important à mesure que les agents gagnent en autonomie.
Vous aimez nos contenus ?
Ajouter TN en tant que source préférée sur Google
Que se passe-t-il en Tunisie?
Nous expliquons sur notre chaîne YouTube . Abonnez-vous!
Economie 
