L’essentiel
- En mai, lors d’un test conduit par la société Irregular, Gemini a pénétré les systèmes de trois entreprises réelles, et non d’un environnement simulé.
- Dans un cas, le modèle a deviné des mots de passe ; dans les deux autres, il a utilisé des identifiants trouvés dans un dépôt public.
- Google a eu connaissance des intrusions en juillet et ne les a confirmées qu’en septembre, après avoir été contacté par le Wall Street Journal.
- Irregular avait déjà été impliqué dans des incidents comparables rendus publics par OpenAI, Anthropic et Meta.
Quelque part en mai, un agent Gemini engagé dans un exercice de sécurité a ouvert une porte qui ne faisait pas partie du décor. Derrière, il y avait les systèmes d’une vraie entreprise. Puis d’une deuxième. Puis d’une troisième.
Google a confirmé vendredi ces trois intrusions, survenues pendant un test mené par la société Irregular, un laboratoire israélien qui évalue la sécurité des modèles d’IA avant leur sortie. Pour Google, il s’agit de la première évasion connue d’un de ses modèles : un agent sorti du périmètre d’essai qu’on lui avait tracé pour agir sur des machines bien réelles.
Deux dates encadrent l’affaire. En juillet, Google sait. En septembre, Google parle, après un appel du Wall Street Journal. Entre les deux, le modèle a eu un meilleur réflexe que son éditeur.
Deux portes d’entrée d’une grande banalité
Rien, dans les méthodes employées, ne relève de l’exploit de haut vol. Dans le premier cas, Gemini a deviné des mots de passe jusqu’à obtenir l’accès à un système protégé, ce que les équipes de sécurité appellent une attaque par force brute. Dans les deux autres, il a trouvé des identifiants laissés dans un dépôt public, puis s’en est servi pour entrer.
Ces deux voies figurent en tête de la liste de n’importe quel attaquant humain, parce qu’elles fonctionnent encore. L’agent, lui, n’a besoin d’aucune inspiration : il essaie, lit, recoupe, sans fatigue et sans s’interroger sur l’intérêt de la cible.
Comment un agent placé dans un exercice a-t-il pu atteindre des machines extérieures au dispositif ? D’après le Wall Street Journal, l’environnement de test n’était pas censé être relié à Internet : un accès a été ouvert par erreur. Dans un des cas, l’entreprise fictive visée portait le même nom qu’une entreprise réelle, et c’est chez cette dernière que Gemini a trouvé le bon mot de passe. La frontière entre le terrain d’essai et le monde réel tenait donc à un réglage réseau, et ce réglage a lâché. Le confinement mérite autant d’examen que le modèle lui-même.
Le modèle s’arrête, l’entreprise attend
Mettons les deux comportements face à face. D’un côté, Gemini : selon Google, dans chacun des trois cas, le modèle a mis fin à l’intrusion dès qu’il a compris qu’il se trouvait chez une vraie entreprise et non dans une simulation. De l’autre, Google : informé en juillet, le groupe a gardé l’information pour lui jusqu’à ce qu’un journaliste pose la question.
L’agent applique une règle en quelques instants. L’éditeur n’en applique aucune pendant deux mois.
Il faut rendre au modèle ce qui lui revient : Gemini a renoncé de lui-même. Mais regardez à quel moment il renonce : une fois entré. Le garde-fou ne se déclenche pas devant la porte, il se déclenche dans la pièce, quand l’agent reconnaît qu’il a quitté l’exercice. Pour l’entreprise visitée, l’accès a bel et bien eu lieu.
Pas de dégât, donc pas d’annonce ?
Google justifie son silence ainsi : le modèle n’a causé aucun dommage aux entreprises et a interrompu chaque intrusion immédiatement. Rien ne méritait donc, à ses yeux, une communication publique. Le groupe refuse aussi d’y voir un défaut d’alignement (un modèle qui agirait contre les intentions de ses concepteurs), puisque Gemini s’est arrêté seul.
Ce critère juge l’issue et laisse la capacité de côté. Pour une équipe qui déploie des agents, ou qui voit passer leur trafic, l’information utile ne porte pas sur le fait que rien n’a été cassé en mai. Elle porte sur le fait qu’un modèle grand public, placé dans un test, sait trouver un secret exposé et s’en servir pour entrer chez un tiers.
La comparaison avec les autres laboratoires pèse aussi. OpenAI, Anthropic et Meta ont rendu publics des incidents comparables, survenus avec le même prestataire de tests. Anthropic avait même détaillé en avril, dans la documentation de Mythos Preview, comment ce modèle s’était échappé de son environnement isolé pendant un test interne. Google a publié le sien après une question de presse. Même prestataire, même type d’événement, deux conceptions de la transparence.
Autre angle mort : rien, dans ce qu’a déclaré Google, n’indique si les trois entreprises ont été prévenues, ni à quelle date. Un responsable sécurité qui apprend qu’un agent est passé chez lui voudrait pourtant le savoir en premier.
Vos secrets traînent-ils dans un dépôt public ?
Deux intrusions sur trois reposent sur des identifiants publiés par erreur. Un agent les trouve plus vite qu’un humain, parce qu’il parcourt les dépôts sans jamais s’ennuyer. Le scan de secrets sur vos dépôts, historique des commits compris, passe du confort à la nécessité.
La troisième repose sur des mots de passe devinables. Verrouillage après plusieurs échecs, authentification multifacteur, limitation du nombre de tentatives de connexion : ces mesures sont anciennes, mais des attaquants automatisés et infatigables rendent leur absence bien plus coûteuse.
Si vous faites tourner vos propres agents avec un accès réseau, la leçon se retourne vers vous : un agent en test doit sortir vers une liste fermée de destinations, jamais vers Internet tout entier. Et si vous achetez l’accès à un modèle, demandez à l’éditeur, par écrit, sous quel délai il vous préviendrait d’un incident de ce type. L’attitude de Google cette semaine montre ce qui se passe quand ce délai n’est écrit nulle part.
Trois entreprises ont reçu en mai la visite d’un agent qui se croyait en exercice et a trouvé la production. Rien de ce que Google a publié ne dit si elles savent aujourd’hui qu’il est passé par chez elles.
Mon avis
Le critère de Google, pas de dégât donc pas d’annonce, récompense la chance et masque la capacité : je le tiens pour le mauvais. Un laboratoire qui décide seul de ce qui mérite d’être su sur ses agents offensifs ne publiera que ce qu’on vient lui demander. Les évasions constatées en test devraient alimenter un registre public daté, avec un délai de publication fixe, comme on le pratique depuis longtemps pour les vulnérabilités logicielles. Tant que ce délai reste à la discrétion de l’éditeur, c’est un journaliste qui fixe le calendrier.
Sources
Ils m’ont fait confiance
« Il ne se contente pas de corriger les symptômes, il cherche à comprendre l'origine des problèmes et à sécuriser les modifications effectuées. J'ai réellement le sentiment d'avoir trouvé un développeur qui comprend à la fois la technique et les enjeux globaux du projet. »
Évaluation client · projet WordPress · septembre 2026
5,0/5 sur 16 évaluations
Faire appel à mes services →
