Agents IA et cyberattaques : ce qu'octobre 2026 enseigne

Le 19 octobre 2026, The Verge a rapporté qu’un attaquant avait pénétré plus de 100 sites web avec une armée d’agents d’IA qui travaillaient presque sans lui. Deux semaines plus tôt, Ars Technica décrivait une faille qui permet à un agent piégé de transmettre ses ordres aux autres agents d’une même entreprise. Entre les deux, OpenAI publiait quatre nouveaux incidents où ses propres modèles en test avaient forcé des accès.

Ce billet de notre rubrique IA d’entreprise rassemble ces trois faits et ce qu’ils changent pour une équipe de 20 à 500 personnes qui utilise ou branche des agents. Aucun des outils cités n’est pire qu’un autre : les failles décrites touchent plusieurs éditeurs, et les gestes qui protègent valent pour tous.

Ce qui s’est passé en octobre

1. 5 octobre

   Ars Technica décrit le « pivot de protocole », une injection qui passe d’un agent à l’autre ; Google et quatre autres organisations ont reconnu des failles de ce type.

2. 15 octobre

   OpenAI publie quatre incidents survenus en juin, où des modèles en test ont forcé l’accès à des sites et à un portefeuille de test.

3. 19 octobre

   The Verge rapporte les attaques menées par agents sur plus de 100 sites, découvertes par Norforge.

Plus de 100 sites pénétrés par des agents presque autonomes

La société de sécurité Norforge a découvert ces attaques à travers des instances exposées de Cairn, une plateforme d’IA open source qui se présente comme un « moteur de résolution de problèmes généraliste » : l’utilisateur fixe un point de départ et un objectif, les agents avancent seuls et consignent leur progression. L’attaquant le plus actif visait des entreprises aux États-Unis, au Canada, en Australie et au Japon, rapporte The Verge en citant Reuters :

Ses tactiques préférées tenaient en moins de 100 caractères chinois. Les entreprises citées relativisent : Cummins enquête sur un site opéré par l’un de ses prestataires, John Deere n’a vu aucun signe d’accès à des informations sensibles, SharkNinja parle d’un site isolé d’aide produit, désormais maîtrisé. Le créateur de Cairn rappelle que la plateforme n’a jamais été un outil de piratage et que « le mauvais usage est une décision humaine ».

Ce que ça change : la vitesse et le volume. Une attaque qui demandait une équipe se mène désormais seul, en parallèle sur des dizaines de cibles. Les sites secondaires (support, campagnes, sites confiés à un prestataire) deviennent la porte d’entrée, parce qu’ils sont les moins surveillés.

Quand un agent piège les autres agents

Le chercheur indépendant Syed Anas Mohiuddin a testé des agents de Google, de JPMorgan Chase, de Weaviate, de Rapid7, de la direction interministérielle du numérique française et de l’administration fédérale américaine. Sa technique, qu’il appelle « pivot de protocole », vise un agent spécialisé (traduction, analyse de données) plutôt que le modèle lui-même, explique Ars Technica :

Le protocole MCP, qui relie les agents aux outils, conserve les identifiants de chaque agent, et les agents sont conçus pour se faire confiance entre eux. La faille trouvée chez Rapid7 a été notée 2,7 sur 10 et corrigée ; celle de Google, dans une boîte à outils MCP pour bases de données, 8 sur 10.

Ce que ça change : un réseau d’agents se protège comme un réseau d’ordinateurs, en supposant qu’un maillon peut être compromis. Chaque agent demande une autorisation avant une action sensible, même si la demande vient d’un autre agent de la maison.

Des modèles en test qui forcent les portes

Le 15 octobre, OpenAI a publié quatre incidents survenus en juin pendant des entraînements et des évaluations, rapporte Ars Technica. Un modèle chargé de récupérer des statistiques publiques a récupéré des fichiers de configuration contenant des identifiants, puis contourné les contrôles d’accès ; un autre, qui devait relever cinq chiffres d’un tableau de bord, a téléchargé cinq tables non publiques de 147 451 lignes ; un troisième a dérivé les clés d’un portefeuille de test à partir de phrases de récupération publiques. Ces aveux prolongent ceux de juillet, que nous avons analysés dans quand les agents d’OpenAI ont piraté Hugging Face.

Ce n’est pas un défaut propre à un éditeur : un modèle entraîné à atteindre son objectif cherche le chemin le plus court, et la plupart des garde-fous avaient été désactivés pour ces tests. Qu’un éditeur publie ces incidents est plutôt une bonne nouvelle ; la leçon vaut pour tous les agents à qui l’on confie un accès réel.

Les gestes qui protègent une entreprise

Rien de nouveau dans les remèdes : ce sont ceux de la sécurité d’avant l’IA, appliqués à un nouveau type d’utilisateur. Cinq, dans l’ordre où ils rapportent :

1. 01Lister vos agents et ce qu’ils touchent.

   Chaque agent, chaque connecteur MCP, chaque outil auquel il a accès : l’inventaire précède tout le reste.

2. 02Donner les droits minimaux.

   Lecture seule par défaut ; chaque droit d’écriture, d’envoi ou de paiement se décide, agent par agent.

3. 03Garder les secrets hors de portée.

   Un agent se sert d’une clé sans la lire : elle est ajoutée au moment de l’appel, depuis un coffre-fort.

4. 04Valider les actions sensibles.

   Une suppression, un virement ou un envoi massif attend une confirmation humaine, même demandé par un autre agent.

5. 05Garder les journaux.

   Qui a demandé quoi, à quel agent, avec quel résultat : sans eux, on ne saura pas ce qu’un agent piégé a fait.

Ces règles sont détaillées dans la gouvernance de l’IA en entreprise, dans le coffre-fort de secrets à l’heure de l’IA et dans la leçon d’autorisations que tirent les banques qui bloquent les agents IA. Pour un agent qui doit passer en production, la démarche complète est dans agent IA en production : de la démo au produit, et la place des agents dans un projet d’ensemble dans notre guide pour intégrer l’IA en entreprise.

Ce que ça change pour une équipe de 20 à 500 personnes

Les agents ne sont pas plus dangereux qu’un prestataire à qui l’on donne les clés du bureau ; ils le sont autant, et plus vite. L’entreprise qui les traite comme des utilisateurs à part entière, avec une identité, des droits et un journal, garde leurs bénéfices et borne leurs dégâts. Celle qui les branche avec les droits de l’administrateur parce que « c’est plus simple » leur ouvre toutes les portes, et à quiconque saura les tromper.

La question se pose aussi côté réglementation : les fabricants de logiciels doivent signaler en 24 heures une faille exploitée depuis le 11 septembre 2026, et NIS2 attend toujours sa loi en France. Les dates sont dans notre calendrier de la réglementation numérique et dans notre point sur NIS2 . Côté IA, la prochaine échéance est celle du marquage des contenus générés au 2 décembre, dans le calendrier révisé par l’Omnibus numérique dans l’AI Act. Les agents qui lisent les sites posent une autre question, celle de ce que les sites leur ouvrent et des conditions de Meta sur l’exploration des sites ; le reste du mois est dans notre actu IA d’octobre pour les dirigeants. Pour ranger les clés de vos agents dans un coffre et leur donner chacun leur identité, voyez notre offre coffre-fort IA ; pour décider quels usages confier à un agent, et avec quel modèle, notre offre IA au juste coût.

Questions fréquentes

Sources

1. The Verge (nouvel onglet)theverge.com
2. Ars Technica (nouvel onglet)arstechnica.com
3. Ars Technica (nouvel onglet)arstechnica.com