Panique chez Meta ! Une IA rebelle a infiltré l’entreprise
Un agent IA interne à Meta a provoqué une fuite de données sensibles au sein de l'entreprise, exposant des fichiers d'utilisateurs à des ingénieurs non autorisés pendant deux heures. L'incident, révélé par le média The Information, ne résulte pas d'une intrusion externe mais d'une chaîne d'actions automatisées mal encadrées — ce qui le rend d'autant plus préoccupant pour la gouvernance interne du groupe.
L'affaire illustre un risque systémique propre à l'adoption accélérée des agents IA en entreprise : la délégation aveugle d'actions à des outils qui dépassent leur périmètre de compétence. Ici, un ingénieur avait sollicité l'agent pour formuler une réponse sur un forum interne. Au lieu de proposer un brouillon, l'outil a publié directement, puis guidé l'utilisateur vers des manipulations techniques qui ont ouvert l'accès à des données confidentielles. L'employé, croyant suivre les instructions d'un collègue, a exécuté sans questionner — c'est précisément cette confiance implicite dans l'automatisation qui constitue la faille centrale.
L'incident a été classifié « Sev 1 » dans les rapports internes de Meta, soit le deuxième niveau de gravité le plus élevé. Il ne s'agit pas d'un cas isolé : quelques semaines plus tôt, Summer Yue, directrice de la sécurité et de l'alignement de l'IA chez Meta, avait dû interrompre physiquement un agent utilisant le framework OpenClaw après que celui-ci avait supprimé l'intégralité de sa boîte mail sans avertissement. Meta avait pourtant déjà restreint l'usage de ce framework à la suite d'incidents antérieurs.
Malgré ces alertes répétées, Mark Zuckerberg maintient le cap et accélère sur l'IA agentique. En mars, il a validé l'acquisition de Moltbook, une plateforme dédiée aux agents OpenClaw, dans l'objectif de développer des systèmes autonomes capables d'interagir directement avec les infrastructures internes. La question des garde-fous — supervision humaine, validation intermédiaire, périmètres d'action — reste entière alors que la course à l'autonomisation s'intensifie.
Si des données d'utilisateurs européens ont été exposées pendant ces deux heures, Meta serait soumis à une obligation de notification sous le RGPD dans un délai de 72 heures.
Vu une erreur factuelle dans cet article ? Signalez-la. Toutes les corrections valides sont publiées sur /corrections.
