L’essentiel
- Un agent IA autonome a pénétré la plateforme IA interne de McKinsey en exploitant une ancienne faille d’injection SQL, sans identifiant volé ni pilotage humain.
- La chaîne complète, de la reconnaissance à l’exfiltration, a tenu en moins de deux heures et a atteint les systèmes de production.
- Des millions de messages de conversation et des centaines de milliers de fichiers ont été exposés.
- Le référentiel OWASP Top 10 pour les applications LLM sert de grille d’audit à la plupart des outils de red teaming, dont DeepTeam et Promptfoo.
Une injection SQL, technique vieille de vingt ans, a suffi à ouvrir la plateforme IA interne de McKinsey. Ce qui l’a exploitée, en revanche, n’existait pas il y a vingt ans : un agent autonome, sans identifiant volé et sans personne pour le guider, qui a enchaîné reconnaissance, passage aux systèmes de production et exfiltration en moins de deux heures. L’opération est signée CodeWall, la société de sécurité qui l’a rendue publique. Le butin : des millions de messages de conversation et des centaines de milliers de fichiers déposés là par les collaborateurs.
Deux heures, c’est plus court qu’un tour de garde
Les SOC (security operations centers), ces équipes qui surveillent les alertes de sécurité en continu, reposent sur une hypothèse implicite, rarement écrite noir sur blanc : l’attaquant est lent. Il tâtonne, il revient le lendemain, il laisse des traces entre deux sessions, il dort. Toute la mécanique en découle : corrélation d’alertes sur plusieurs heures, remontée vers un analyste de niveau 2, validation humaine avant de couper un accès.
Un agent qui enchaîne sa séquence en cent vingt minutes ne laisse pas cette respiration. Le temps qu’une première alerte remonte, soit triée puis qualifiée, les fichiers sont dehors. La détection n’est pas vraiment en cause : c’est la chaîne de réponse, calibrée en heures, qui arrive trop tard.
La nuance compte, parce qu’elle change la nature de l’investissement à faire. Ajouter des règles de détection à un dispositif qui répond en heures ne rattrape rien face à un adversaire qui opère en minutes. Gagner en précision ne suffira pas : il faut raccourcir la boucle.
Une vieille faille ne coûte plus rien à exploiter
Une injection SQL n’a rien de sophistiqué : il s’agit de glisser des instructions dans un champ que l’application transmet à sa base de données sans les vérifier. La technique traîne dans les référentiels de vulnérabilités depuis plus de vingt ans. Ce qui a changé, c’est le coût marginal de son exploitation. Un attaquant humain doit choisir où chercher : il regarde deux ou trois points d’entrée plausibles, abandonne les impasses, arbitre parce que son temps coûte cher.
Un agent n’arbitre rien. Il énumère, teste, recommence, garde le fil du contexte entre les tentatives et, dès qu’une porte cède, poursuit vers les systèmes voisins. Les vulnérabilités que l’on tolérait parce qu’elles coûtaient plus cher à exploiter qu’elles ne pouvaient rapporter viennent de perdre cette protection économique. Le déplacement est là : votre dette de sécurité résiduelle n’est plus amortie par la fatigue de l’attaquant.
Le précédent est déjà documenté. En novembre 2025, Anthropic racontait comment un groupe lié à l’État chinois avait détourné Claude Code pour conduire 80 à 90 % des opérations d’une campagne d’espionnage visant une trentaine d’organisations. McKinsey en donne la version civile : plus besoin d’un commanditaire étatique pour lâcher un agent sur une application mal fermée.
La plateforme IA interne concentre tout ce qui a de la valeur
Les volumes exposés disent où se trouve désormais la valeur. Une plateforme IA d’entreprise, c’est un entrepôt de données non structurées où les collaborateurs collent, au fil de l’eau, des extraits de contrats, des chiffres clients, des bouts de code interne, des notes de stratégie avant publication.
Aucune de ces données n’a été classifiée à l’entrée. Personne n’apposera d’étiquette de confidentialité sur un message envoyé à un assistant interne. Ces plateformes finissent donc en magasin de secrets sans inventaire, souvent déployées à la vitesse d’un produit interne et revues avec le sérieux d’un prototype. Pour un attaquant, c’est la cible la plus rentable du système d’information : un seul point d’accès, aucune traversée fastidieuse de partages réseau, et de la donnée déjà agrégée, déjà lisible, déjà résumée.
Tester une fois par an ne dit plus rien de votre exposition
Le red teaming appliqué à l’IA consiste à casser son propre système avant qu’un tiers ne s’en charge : envoyer les entrées les plus hostiles imaginables, vérifier si le modèle divulgue ce qu’il devrait garder, s’il accepte ce qu’il devrait refuser, s’il peut être détourné hors de son périmètre. Rien à voir avec le test fonctionnel, qui vérifie qu’une application marche quand on l’utilise normalement.
La grille d’audit existe. Le Top 10 de l’OWASP pour les applications LLM (grands modèles de langage), publié par la fondation qui fait autorité en sécurité applicative, sert de référence à la plupart des outils du domaine, de DeepTeam à Promptfoo. Elle est solide. Le problème est dans la cadence. Un modèle change de comportement selon la formulation d’une demande, sans qu’une ligne de code ni un prompt système aient bougé. Un audit daté ne certifie rien au-delà du jour de l’audit.
Deux réflexes à installer, et aucun n’exige un nouvel outil. D’abord, rejouer les scénarios de rupture en continu, à chaque changement de modèle, de fournisseur ou de version, comme on rejoue une suite de tests de non-régression. Ensuite, traiter la plateforme IA interne comme un système de production critique : cloisonnement des accès en base, journalisation des volumes sortants, et surtout une capacité de coupure automatique qui n’attend pas la validation d’un humain.
En comité de sécurité, le chiffre à réclamer tient en une ligne : le nombre de minutes qui séparent la première requête anormale sur votre plateforme IA de la coupure effective de l’accès. Peu d’organisations savent le dire, et McKinsey vient de montrer combien coûte cette ignorance.
Mon avis
Les budgets sécurité de l’année vont partir dans les filtres de prompts, alors que ce cas ne raconte rien d’une injection de prompt : il raconte une base de données mal protégée derrière un service interne déployé trop vite. Je trouve l’obsession pour une sécurité « spécifiquement IA » commode, parce qu’elle permet d’acheter un produit plutôt que de réauditer des fondations qu’on sait fragiles. Et je ne crois pas une seconde qu’on remettra un analyste humain dans la boucle de réponse : contre un adversaire qui opère en minutes, la seule parade sera automatique, avec les faux positifs et les coupures de service que ça suppose. Les entreprises qui refuseront ce compromis auront choisi, de fait, de perdre la course.
