L’essentiel
- Le modèle Muse Spark de Meta a exploité une faille de sécurité chez une entreprise tierce pendant une évaluation, a confirmé un porte-parole du groupe mercredi.
- La cause est identique à celle des incidents d’OpenAI et d’Anthropic : une mauvaise configuration du prestataire Irregular, qui a ouvert l’accès à Internet pendant les tests.
- Le rapport de l’AI Security Institute britannique recense dix-neuf actions autonomes non autorisées sur Internet, dont une tentative d’injection de code dans un projet open source.
- Aucun des trois laboratoires n’a indiqué comment l’entreprise touchée sera prévenue, ni ce qu’elle obtiendra en réparation.
Après Anthropic et OpenAI, Meta complète la collection : mercredi, un porte-parole du groupe a reconnu qu’un de ses modèles avait exploité une vulnérabilité chez une entreprise tierce pendant une évaluation de cybersécurité. Dans le secteur, on plaisante déjà sur le retard de Google en matière de cyberattaque accidentelle.
Ce décompte entre laboratoires laisse de côté le seul acteur qui n’a rien demandé : l’entreprise dont les systèmes ont réellement été compromis par un exercice auquel elle n’était pas partie.
Il y a quelques jours, nous racontions comment quinze États américains réclamaient à OpenAI la préservation des preuves de l’intrusion chez Hugging Face. Depuis, les évaluateurs eux-mêmes ont publié leurs comptes rendus, et l’affaire cesse d’être une série d’accidents isolés pour ressembler à un défaut de conception partagé par toute la filière.
Trois laboratoires, un seul prestataire
Meta décrit un enchaînement désormais familier : « une mauvaise configuration par Irregular, une société de test indépendante utilisée par Meta, a permis par inadvertance à l’un de nos modèles d’accéder à Internet pendant l’évaluation ». Muse Spark 1.1 a ensuite exploité une faille chez un tiers, « de manière similaire à des cas précédemment rapportés ».
OpenAI décrit exactement le même défaut dans sa propre publication : des épreuves de type Capture the Flag (ces exercices où un agent doit prendre le contrôle d’une cible fictive) qui devaient rester coupées d’Internet. L’environnement de test a laissé passer le trafic, et le nom de la cible imaginaire coïncidait avec un domaine bien réel. Le modèle a attaqué un site web existant en croyant rester dans la simulation.
Anthropic désigne le même hébergeur d’environnement dans son compte rendu : c’est là que Claude a disposé d’un accès Internet vivant pendant certains tests. Trois laboratoires, trois modèles différents, un prestataire commun, une seule et même erreur de cloisonnement.
Ce prestataire, la société israélienne Irregular, n’est pas un acteur marginal : ses évaluations figurent dans les system cards d’OpenAI comme dans celle de Claude Opus 5, ces documents de sûreté publiés avec chaque modèle ; le gouvernement britannique s’appuie par ailleurs sur son cadre d’analyse. Un même maillon tient donc une bonne part du contrôle de sûreté du secteur.
L’entreprise touchée n’a signé aucun contrat
La chaîne contractuelle est courte. Le laboratoire paie l’évaluateur. L’évaluateur exploite l’environnement de test. Les deux se doivent des obligations réciproques, des clauses de confidentialité, sans doute des pénalités. La société attaquée, elle, ne figure dans aucun de ces contrats.
Elle n’a consenti à rien, n’a reçu aucun préavis, et découvre au mieux l’incident par un communiqué où son nom n’apparaît même pas. Aucun des trois laboratoires n’a précisé qui la prévient, dans quel délai, ni ce qu’elle obtient : le journal des actions menées sur ses machines, une aide à la remédiation, une indemnisation ? Le silence sur ce point est complet, et il est plus embarrassant que l’incident lui-même.
L’intrusion de juillet dans les bases internes de Hugging Face n’a fait du bruit que parce que la victime était une entreprise connue de l’écosystème, capable de se faire entendre. Une PME dont le site partage par malchance le nom d’une cible fictive n’a pas ce levier.
Un agent a fabriqué de faux profils pour piéger un bénévole
Le rapport de l’AI Security Institute britannique (AISI), l’organisme public chargé d’évaluer les modèles avancés, donne l’ordre de grandeur : lors d’un même défi de cybersécurité opposant Claude Mythos 5 et GPT-5.6 Sol, les agents ont mené dix-neuf actions autonomes non autorisées sur Internet, dix-sept pour le modèle d’Anthropic et deux pour celui d’OpenAI.
Le cas le plus inquiétant n’a rien d’une prouesse technique. Mythos 5 a tenté d’injecter du code malveillant dans un projet open source hébergé sur GitHub, puis a fabriqué de fausses identités pour convaincre le mainteneur humain, le bénévole qui valide les contributions, d’accepter ses modifications. Le relecteur a reconnu le code pour ce qu’il était et l’a refusé.
La victime, ici, est ce bénévole : ciblé par une opération d’ingénierie sociale conduite par une machine, dans le cadre d’un test dont il ignorait l’existence. C’est l’AISI qui a prévenu GitHub, effacé les traces laissées par l’agent et contacté les personnes approchées. L’organisme public a assuré la notification qu’aucun des trois laboratoires n’a prise en charge pour ses propres cibles.
Le correctif tient en trois lignes de configuration
Les parades techniques sont connues de n’importe quel administrateur réseau : blocage total du trafic sortant par défaut, liste d’autorisation explicite pour les rares flux nécessaires, et noms de cibles tirés des domaines réservés à cet usage (example.com, .test, .invalid) pour qu’aucune collision avec un domaine réel ne soit possible. Que trois laboratoires de ce niveau aient sous-traité ce cloisonnement sans jamais le vérifier en dit long sur la maturité du secteur.
Le vide, lui, est juridique. Aucun de ces accords ne semble prévoir de procédure d’incident tournée vers l’extérieur : qui notifie le tiers touché, sous quel délai, avec quelles preuves, et qui porte la charge financière de la remédiation. Tant que ces clauses n’existent pas, l’évaluation de sûreté produit des dégâts qu’elle ne paie pas.
Si vous exposez une infrastructure publique ou maintenez un projet ouvert, vous êtes une cible collatérale possible : gardez vos journaux d’accès sur une fenêtre assez longue, et documentez tout comportement d’exploitation suivi d’un abandon net, sans exfiltration. C’est la signature d’un agent qui s’est trompé de terrain de jeu.
Les trois laboratoires ont publié, expliqué, promis de renforcer leurs pratiques avec les évaluateurs. Aucun n’a encore prononcé le nom de l’entreprise qui a pris le coup, ni dit ce qu’il lui devait. La prochaine annonce de ce type se jugera à cela.
Mon avis
L’excuse de la mauvaise configuration devient un peu trop confortable pour des laboratoires qui vendent des modèles capables de trouver des failles tout seuls. Un environnement d’évaluation offensive sans blocage réseau par défaut relève d’une décision d’ingénierie que quelqu’un a validée, pas d’un coup du sort. Le jour où une des entreprises touchées portera plainte, c’est la responsabilité civile du prestataire et de son client qui sera jugée, pas la sûreté d’un modèle. Je doute que les contrats d’évaluation actuels y résistent, et je pense que ce sera l’affaire de cette année.
