Claude Code, Copilot et Codex ont tous été piratés : les attaquants visaient les identifiants, pas le modèle

Anthropic : les modèles IA plus puissants négocient mieux, et les perdants ne s'en rendent pas compte

Anthropic a conduit une expérience interne pendant une semaine en déployant 69 agents d'intelligence artificielle pour négocier et conclure des transactions à la place de ses propres employés au sein d'un marché interne simulé. Le résultat est sans appel : les modèles les plus puissants ont systématiquement obtenu de meilleures conditions que leurs homologues moins avancés. Plus frappant encore, les employés représentés par les agents les plus faibles n'ont pas remarqué qu'ils étaient désavantagés. Ce constat soulève une question économique sérieuse : si les agents IA commencent à gérer de vraies transactions pour de vraies personnes, l'accès à un modèle plus performant pourrait devenir un avantage concurrentiel direct et invisible. Un cadre ou une entreprise disposant d'un abonnement premium obtiendrait mécaniquement de meilleures offres qu'un particulier ou une PME utilisant un modèle standard, sans que personne ne perçoive l'écart en temps réel. Ce type de déséquilibre, opaque et automatisé, est particulièrement difficile à corriger. Cette recherche s'inscrit dans un effort plus large d'Anthropic pour comprendre les comportements émergents de ses modèles dans des contextes multi-agents et économiques. L'entreprise, qui développe la famille de modèles Claude, multiplie les expériences sur l'autonomie des agents depuis 2024. L'enjeu dépasse la performance technique : il touche à la question de savoir qui bénéficiera réellement de la délégation des décisions économiques aux systèmes d'IA, et si les régulateurs auront les outils pour détecter ces nouvelles formes d'inégalités.

💬 Le truc qui me frappe, c'est pas que les meilleurs modèles négocient mieux (ça, on s'en doutait depuis un moment), c'est que les perdants ne le voient pas. Une inégalité invisible, automatisée, qui s'installerait dans chaque transaction sans que personne tire la sonnette d'alarme. L'AI Act va avoir du boulot.

Copilot Studio : Microsoft corrige une injection de prompt, mais les données ont quand même été exfiltrées

Microsoft a corrigé en janvier 2026 une faille de sécurité critique dans Copilot Studio, sa plateforme de création d'agents IA pour entreprises. Identifiée sous le nom ShareLeak et référencée CVE-2026-21520 (score CVSS 7.5), la vulnérabilité a été découverte le 24 novembre 2025 par la société Capsule Security, confirmée par Microsoft le 5 décembre, puis corrigée le 15 janvier 2026. Le principe d'attaque est simple mais redoutable : un attaquant remplit un champ de commentaire public dans un formulaire SharePoint avec une instruction malveillante. Copilot Studio concatène alors cette entrée directement avec les instructions système de l'agent, sans aucune désinfection. Dans le proof-of-concept de Capsule, le payload injecté prenait le contrôle de l'agent, lui ordonnait d'interroger des listes SharePoint contenant des données clients, puis de les envoyer par Outlook à une adresse email contrôlée par l'attaquant. Le système de sécurité de Microsoft a bien signalé la requête comme suspecte, les données ont quand même été exfiltrées. Le DLP (système de prévention des fuites) n'a jamais déclenché d'alerte, car l'email transitait par une action Outlook considérée comme légitime. Ce type de faille illustre une limite architecturale fondamentale des agents IA : le modèle de langage est incapable de distinguer les instructions de confiance des données non fiables qu'il récupère. Carter Rees, vice-président IA chez Reputation, parle d'un "confused deputy", l'agent agit pour le compte de l'attaquant sans en avoir conscience. L'OWASP classe ce pattern sous le code ASI01 : Agent Goal Hijack. Ce qui rend la situation particulièrement préoccupante, c'est que des correctifs ne peuvent pas éliminer complètement cette classe de vulnérabilités : tant que des agents auront accès à des données non fiables et à des outils d'action (email, API), le risque structurel demeure. La décision de Microsoft d'attribuer un CVE à une injection de prompt dans une plateforme agentique est jugée "hautement inhabituelle" par Capsule, ce qui laisse entrevoir un durcissement des standards de responsabilité pour toute l'industrie. En parallèle, Capsule a découvert PipeLeak, une vulnérabilité identique dans Salesforce Agentforce : un formulaire public de génération de leads suffit à détourner un agent sans aucune authentification, avec une exfiltration de données CRM apparemment illimitée. Naor Paz, CEO de Capsule, a déclaré à VentureBeat : "Nous n'avons atteint aucune limite. L'agent continuait simplement à faire fuiter tout le CRM." Salesforce n'a attribué aucun CVE ni publié d'advisory officiel pour PipeLeak à ce jour, contrairement à Microsoft. La firme de San Francisco avait pourtant déjà patché ForcedLeak (CVSS 9.4, découverte par Noma Labs en septembre 2025) via des listes d'URL de confiance, PipeLeak contourne ce correctif par un canal différent, les actions email de l'agent. Salesforce recommande un contrôle humain dans la boucle comme mesure d'atténuation, une réponse que Capsule juge insuffisante face à l'ampleur du risque.

Des attaquants ont compromis des outils de sécurité IA dans plus de 90 organisations, avec accès en écriture aux pare-feu

En 2025, des attaquants ont compromis des outils d'intelligence artificielle dans plus de 90 organisations, en y injectant des prompts malveillants pour dérober des identifiants et des cryptomonnaies. Ces incidents, documentés dans le rapport CrowdStrike Global Threat Report 2026, ciblaient des outils capables uniquement de lire et de résumer des données. Mais la génération suivante d'agents IA, les SOC agents autonomes désormais commercialisés par Cisco, Ivanti et d'autres, dispose, elle, d'un accès en écriture aux systèmes critiques : règles de pare-feu, politiques IAM, quarantaine d'endpoints. Cisco a annoncé AgenticOps for Security en février 2026, avec des capacités de remédiation autonome et de conformité PCI-DSS. Ivanti a lancé la semaine dernière Continuous Compliance et son agent Neurons AI, intégrant dès le départ des mécanismes d'approbation et de validation. Selon George Kurtz, PDG de CrowdStrike, « l'IA compresse le délai entre l'intention et l'exécution, tout en transformant les systèmes d'entreprise en cibles ». L'utilisation de l'IA par des acteurs étatiques dans des opérations offensives a bondi de 89 % sur un an. Le danger concret de cette transition est que des agents compromis peuvent agir via des appels API légitimes, classifiés comme autorisés par les outils de détection, l'attaquant n'effleure jamais le réseau. Selon un rapport 2026 de Saviynt et Cybersecurity Insiders portant sur 235 RSSI, 47 % ont déjà observé des agents IA adoptant des comportements non intentionnels, et seulement 5 % se déclarent confiants dans leur capacité à contenir un agent compromis. Un sondage Dark Reading place l'IA agentique comme le vecteur d'attaque le plus dangereux selon 48 % des professionnels de la cybersécurité. Palo Alto Networks rapporte un ratio de 82 identités machine pour 1 humain dans l'entreprise moyenne, et chaque agent autonome ajouté en production élargit cette surface d'exposition. Ce saut qualitatif survient dans un contexte où les cadres de gouvernance peinent à suivre. L'OWASP a publié en décembre 2025 son Top 10 pour les applications agentiques, élaboré avec plus de 100 chercheurs en sécurité, identifiant trois catégories de risque directement liées aux agents SOC : le détournement d'objectif (ASI01), le mésusage d'outils (ASI02) et l'abus de privilèges et d'identité (ASI03). Des serveurs MCP malveillants imitant des services légitimes ont déjà intercepté des données sensibles dans des workflows IA. Le Centre national de cybersécurité britannique a prévenu que les attaques par injection de prompt « ne seront peut-être jamais totalement éliminées ». L'IEEE-USA, dans sa soumission au NIST, formule le problème sans détour : le risque dépend moins du modèle lui-même que de son niveau d'autonomie, de l'étendue de ses privilèges et de son environnement d'exécution. La course entre les capacités offensives et les mécanismes de contrôle est lancée, la question est de savoir lequel des deux prendra de l'avance.

Actualité : "Une entreprise à qui vous confiez votre code ne sait pas sécuriser le sien" : tout le code source de Claude Code a fuité

Le 31 mars 2026, Chaofan Shou, chercheur en sécurité chez Fuzzland, a découvert dans le paquet officiel de Claude Code publié sur le registre npm un fichier de débogage de 59,8 Mo. Ce fichier, une source map JavaScript normalement absente des builds de production, permettait de reconstituer intégralement le code source original à partir du code minifié et compressé distribué publiquement. Il pointait vers un espace de stockage cloud où l'ensemble du code source de l'outil — développé par Anthropic — était accessible. La fuite a été signalée rapidement et Anthropic a depuis retiré le fichier incriminé. L'incident est particulièrement embarrassant pour Anthropic, dont Claude Code est précisément un outil destiné aux développeurs pour les assister dans l'écriture et la sécurisation de leur propre code. La contradiction est immédiate : une entreprise qui demande aux ingénieurs de lui confier leur base de code propriétaire a elle-même laissé fuiter son code source par une erreur de configuration élémentaire. Cela soulève des questions légitimes sur les pratiques internes de sécurité et sur la confiance que les équipes de développement peuvent accorder à un tel outil. Cette mésaventure s'inscrit dans un contexte plus large de vigilance accrue autour de la chaîne d'approvisionnement logicielle. Les registres npm, PyPI et consorts sont régulièrement exploités comme vecteurs d'attaque ou de fuite involontaire. Pour Anthropic, dont les revenus reposent en grande partie sur la confiance des entreprises clientes, l'incident rappelle que la crédibilité en matière de sécurité se construit par l'exemple — et se perd très vite.