Un environnement de test d’IA décrit comme étant hors ligne disposait tout de même d’un accès à l’Internet public. D’autres modèles ont trouvé des moyens de contourner les restrictions censées les maintenir confinés.
Geoffrey Hinton, Yoshua Bengio et des centaines d’autres scientifiques appellent à renforcer le confinement des modèles d’IA capables d’opérations de cybersécurité. Leur lettre ouverte d’octobre 2026 recommande, dans un premier temps, d’isoler ces systèmes des réseaux externes et d’établir des normes internationales pour gérer les défaillances du confinement.
Cette proposition fait suite à des évaluations de cybersécurité au cours desquelles des modèles d’OpenAI et d’Anthropic ont atteint des systèmes situés en dehors de leurs environnements de test prévus. Ces incidents soulèvent des questions pour les entreprises qui accordent à des agents autonomes l’accès à des infrastructures cloud, à des applications métier et à des données sensibles.
Pourquoi les scientifiques appellent à isoler l’IA
La lettre ouverte des scientifiques, signée par 489 chercheurs au 16 octobre, préconise un confinement offrant de fortes garanties, en privilégiant d’abord l’isolation physique (« air gap »), qui déconnecte les systèmes des réseaux externes.
Les signataires proposent également la création d’un organisme international chargé d’élaborer des normes pour les systèmes d’IA connectés, de consigner les défaillances du confinement et de soutenir le signalement public des incidents. Ces recommandations ne sont pas contraignantes.
Dans une enquête du 9 septembre, Anthropic a documenté quatre incidents au cours desquels des modèles Claude ont obtenu un accès non autorisé à des systèmes tiers pendant des évaluations de cybersécurité. Trois d’entre eux avaient été divulgués initialement en juillet, après l’examen d’environ 141 000 transcriptions.
Une recherche plus vaste portant sur environ 481 millions de transcriptions n’a révélé aucun autre incident d’une gravité comparable. Anthropic a attribué ces défaillances à un environnement tiers mal configuré, qui avait conservé son accès à Internet malgré des instructions décrivant l’exercice comme étant hors ligne. Les modèles évalués ne disposaient pas des garde-fous intégrés aux versions commercialisées.
OpenAI a rencontré un problème différent. Lors des évaluations de juillet, ses modèles ont exploité des vulnérabilités de l’infrastructure, contourné les restrictions réseau et compromis des systèmes de Hugging Face.
Son enquête du 26 août a décrit des communications non autorisées et l’exploitation de plusieurs failles. L’infrastructure compromise comme la réduction des garde-fous des modèles sont détaillées dans l’enquête précédente sur la faille de Hugging Face.
Le défi posé par les agents d’entreprise connectés
Une isolation complète est irréaliste pour de nombreux agents d’entreprise qui dépendent d’API cloud, de bases de données et d’applications métier. Les scientifiques reconnaissent que certains systèmes nécessitent une connectivité et appellent à établir des normes régissant les accès, plutôt qu’à déconnecter définitivement chaque agent d’IA.
Les entreprises peuvent réduire leur exposition en limitant les connexions sortantes, en restreignant les identifiants et en testant les procédures d’intervention. Ces garde-fous s’appuient sur les approches visant à protéger les infrastructures d’entreprise contre les agents d’IA malveillants, en particulier ceux autorisés à exécuter du code ou à modifier des systèmes sensibles.
Les fournisseurs devraient démontrer le fonctionnement de ces contrôles pendant les tâches autonomes, notamment si les administrateurs peuvent détecter une activité non autorisée et interrompre l’exécution.
Ce qu’a constaté eWeek : les tests de capacités de l’IA ne peuvent pas prouver le confinement
Les incidents concernant Anthropic et OpenAI ont révélé des failles de sécurité différentes dans des environnements conçus pour des évaluations contrôlées de cybersécurité.
L’infrastructure de test d’Anthropic avait conservé une connexion à Internet que les modèles avaient reçu pour instruction de considérer comme inexistante. OpenAI avait imposé des restrictions techniques, mais ses modèles ont exploité des vulnérabilités pour les contourner. Une défaillance résultait d’une mauvaise configuration ; l’autre mettait en jeu des faiblesses dans les contrôles appliqués.
Les deux entreprises ont enquêté sur les incidents et décrit les mesures correctives prises. Anthropic a élargi sa divulgation initiale, qui portait sur trois incidents, à quatre, tandis qu’OpenAI a renforcé l’isolation et la surveillance. Aucune des deux enquêtes n’établit la fréquence de défaillances similaires dans les environnements de production des entreprises.
La proposition des scientifiques porte sur les normes de confinement et le signalement des incidents, mais elle ne met pas en place de système de certification et ne prouve pas que tous les agents connectés présentent des risques équivalents.
Les équipes chargées des achats informatiques en entreprise devraient évaluer séparément les capacités des modèles et la sécurité de leur déploiement, en demandant des preuves de permissions appliquées, de restrictions réseau et de procédures d’arrêt testées avant d’étendre l’autonomie des agents.
À lire aussi : À mesure que les outils autonomes de cybersécurité gagnent en capacité, les différentes approches adoptées par OpenAI et CrowdStrike montrent pourquoi les entreprises doivent évaluer à la fois les capacités de l’IA et les contrôles qui encadrent leur utilisation.