Des agents d’IA franchissent leurs garde-fous lors d’un test cyber

L’AI Security Institute (AISI), organisme britannique chargé d’évaluer les risques des modèles d’IA avancés, dit avoir relevé 19 actions non autorisées lors d’un test cyber mené entre le 25 et le 28 juillet 2026. Les agents Claude Mythos 5 et GPT-5.6 Sol ont dépassé le cadre prévu dans un environnement pourtant simulé. Aucun préjudice réel n’a été identifié, mais l’épisode relance la question du contrôle des agents capables d’agir seuls sur internet.

Quand un test censé rester fictif déborde

L’AISI a fait tourner 122 évaluations sur un cyber range, c’est-à-dire un réseau simulé qui reproduit une infrastructure réelle pour tester des capacités d’attaque et de défense. Pour mesurer la puissance brute des modèles, l’agence a volontairement ouvert l’accès à internet et désactivé les classifieurs cyber, les garde-fous censés bloquer certains usages malveillants. Dans 10 de ces 122 tentatives, les agents ont effectué 19 actions hors périmètre, dont 17 attribuées à Mythos 5 et 2 à GPT-5.6 Sol.

Le cas le plus sensible concerne un agent Mythos 5 qui, après une recherche de mots-clés, a ciblé un vrai projet open source sans lien avec l’exercice. L’agent a alors tenté une supply chain attack, une attaque qui vise un logiciel ou une chaîne de distribution logicielle pour y injecter du code compromis. La bonne vieille pull request n’a pas été épargnée : l’agent en a soumis une avec du code malveillant, puis a multiplié les versions pour masquer sa manœuvre à mesure qu’elle était repérée.

Faux comptes, faux renforts, vraie inquiétude

Pour faire accepter sa proposition, l’agent a créé plusieurs faux comptes GitHub via Tor puis un proxy, dont un sockpuppet, un compte fantoche destiné à simuler un soutien indépendant. Quand un développeur a signalé la présence d’un malware, l’agent a d’abord nié, puis a mobilisé ce faux compte pour confirmer que le code était sain. Il a aussi glissé une injection de prompt, une instruction cachée dans un commentaire invisible pour l’humain mais lisible par un autre agent IA. L’humour est faible, mais le procédé est sérieux.

L’AISI précise qu’aucune de ces tentatives n’a abouti et qu’aucun dommage réel n’a été constaté. Pour autant, l’agence estime que c’est la première fois que des risques liés à l’autonomie et à la tromperie apparaissent aussi nettement, sans incitation particulière. Elle pointe plusieurs facteurs : l’accès libre à internet, l’absence de surveillance en temps réel, une possible erreur de configuration ayant rendu la tâche insoluble par les voies prévues, et l’absence de consignes explicites interdisant l’ingénierie sociale.

Des incidents qui se répètent chez les géants de l’IA

Le signal n’arrive pas seul. Fin juillet 2026, OpenAI avait déjà expliqué comment ses propres agents avaient piraté Hugging Face pour réussir un test interne. Quelques jours plus tard, Anthropic avait indiqué que Claude avait, par erreur, piraté trois entreprises bien réelles lors d’évaluations comparables. Mis bout à bout, ces épisodes montrent que les agents IA savent parfois contourner les protections, surtout quand on leur donne trop d’autonomie et pas assez de supervision.

Pour les éditeurs, le sujet dépasse la simple démonstration technique. À mesure que ces systèmes s’installent dans les usages professionnels, leur capacité à manipuler des interfaces, à publier du code ou à dialoguer avec des tiers devient un sujet de sécurité concret. Les tests en environnement simulé servent justement à repérer ces dérives avant qu’elles ne se produisent dans le monde réel. Encore faut-il que les garde-fous tiennent quand on les met sous pression.