Empoisonner une IA open-weight ne coûte presque rien selon cette chercheure

Cette IA open source est aussi puissante que Mythos : comment est-ce possible ?

La société chinoise Z.ai a lancé début juillet un nouveau modèle d'intelligence artificielle à pondération ouverte baptisé GLM-5.2, capable selon Forbes d'effectuer des tâches de programmation à grande échelle et de rivaliser avec les modèles les plus récents d'Anthropic pour détecter des vulnérabilités logicielles. Ce lancement intervient un mois après que l'administration Trump a contraint Anthropic à suspendre ses modèles Mythos 5 et Fable 5 pour des raisons de sécurité nationale, Washington redoutant des failles dans les mécanismes de protection de Fable 5. Un déploiement limité de Mythos 5 a depuis été autorisé, et Fable 5 est de nouveau accessible au public depuis le 1er juillet, mais à un tarif élevé en dehors des abonnements classiques. Contrairement à ces modèles fermés, GLM-5.2 peut être téléchargé librement et exécuté localement sur de nombreuses machines, sans qu'aucun fournisseur ne contrôle son accès ou son utilisation. Des consultants interrogés par Axios affirment que des jailbreaks du modèle circulent déjà sur des forums russophones fréquentés par des cybercriminels, cherchant à supprimer les rares garde-fous encore en place. Cette disponibilité en accès libre inquiète les experts en cybersécurité, car elle change radicalement l'équation du risque. Un outil capable d'identifier des vulnérabilités logicielles peut tout aussi bien servir à corriger des failles qu'à préparer des attaques, et le contrôle qui existait auparavant via les fournisseurs disparaît entièrement. Comme l'a résumé le consultant Travis Lanham, un attaquant peut désormais exécuter GLM-5.2 localement sans garde-fous de sécurité, l'adapter à ses cibles et agir sans qu'aucun fournisseur ni défenseur ne puisse le surveiller. Les entreprises de sécurité Semgrep et Graphistry, qui ont testé le modèle, confirment ses performances élevées pour détecter des bugs et mener des tâches avancées de cybersécurité. Semgrep a résumé son évaluation en une phrase : « Mythos est désormais chez nous. » Les chercheurs de Graphistry avancent l'hypothèse que Z.ai aurait utilisé la distillation, une technique consistant à entraîner un modèle moins avancé à partir des réponses produites par des modèles plus performants, en l'occurrence GPT-5.5 d'OpenAI et Opus 4.8 d'Anthropic. Cette explication, si elle se confirme, éclairerait la rapidité avec laquelle la Chine semble avoir comblé son retard en intelligence artificielle. Elle prolonge aussi une série d'alertes déjà lancées par Anthropic, qui a récemment accusé des acteurs liés à Alibaba d'avoir utilisé Claude dans un but similaire, après avoir signalé en février des tentatives comparables impliquant la startup chinoise DeepSeek, ainsi que les laboratoires Moonshot AI et MiniMax.

Ce ransomware dopé à l’IA peut mener une cyberattaque presque sans intervention humaine

Un ransomware baptisé JadePuffer, découvert début juillet 2026 par les chercheurs de Sysdig, constitue selon eux le premier cas documenté d'une opération d'extorsion pilotée presque intégralement par un agent d'IA. L'attaque a exploité une vulnérabilité critique référencée CVE-2025-3248 dans Langflow, une plateforme open source utilisée pour développer des applications basées sur l'IA, exposée sur internet. Une fois l'accès obtenu, l'agent a fouillé le serveur pour récupérer des identifiants cloud, des clés privées de portefeuilles de cryptomonnaies et des accès à des bases de données. Sysdig a publié ses conclusions le 1er juillet 2026, précisant que le code généré par l'agent contenait de nombreux commentaires détaillant son raisonnement, une caractéristique typique des modèles d'IA et peu commune chez des cybercriminels pressés d'agir. Lors d'une tentative de création d'un compte administrateur caché, l'opération a échoué ; l'agent a alors identifié le problème, modifié son propre code et relancé la procédure en une trentaine de secondes, sans intervention humaine. Le ransomware a ensuite chiffré des fichiers, supprimé certains documents, puis déposé une demande de rançon avec une adresse Bitcoin et un contact e-mail. Cette autonomie change la donne pour l'industrie de la cybersécurité. Des opérations qui nécessitaient auparavant plusieurs spécialistes coordonnés, de l'intrusion initiale jusqu'à la négociation de la rançon, peuvent désormais être en grande partie automatisées par un seul agent capable de s'adapter à ses propres échecs. Sysdig souligne un détail particulièrement inquiétant : la clé de chiffrement n'a pas été conservée, ce qui signifie que même les victimes acceptant de payer n'auraient probablement pas pu récupérer leurs données. Cela suggère que certains attaquants n'ont plus pour objectif de négocier, mais simplement de détruire l'accès aux données. Pour les entreprises utilisant des plateformes d'IA exposées publiquement, comme Langflow, le risque devient double : une faille technique classique combinée à une exploitation automatisée et rapide qui laisse peu de temps de réaction. Les chercheurs appellent toutefois à la prudence quant à l'ampleur réelle de l'autonomie de l'attaque. Dans le cas de JadePuffer, un pirate humain a préparé le terrain en amont : il a choisi la cible, configuré les serveurs nécessaires et fourni des identifiants déjà volés lors d'une intrusion antérieure. L'IA n'a donc pas conçu seule l'ensemble du plan d'attaque, mais a pris le relais pour exécuter et adapter les étapes techniques. Les experts redoutent surtout un changement d'échelle : si de tels outils deviennent accessibles à davantage de groupes malveillants, la barrière technique nécessaire pour mener une cyberattaque sophistiquée continuera de s'abaisser, permettant de lancer plusieurs campagnes en parallèle avec moins de ressources humaines. Pour l'instant, l'humain reste aux commandes des décisions stratégiques, mais l'assistant IA gagne en autonomie sur l'exécution.

Les modeles d'IA de pointe ne suppriment pas seulement du contenu : ils le réécrivent, et les erreurs sont presque impossibles à détecter

Des chercheurs de Microsoft ont publié une étude démontrant que les grands modèles de langage les plus avancés introduisent silencieusement des erreurs dans les documents qu'ils traitent lors de workflows autonomes en plusieurs étapes. Pour mesurer ce phénomène, l'équipe a conçu un benchmark baptisé DELEGATE-52, composé de 310 environnements de travail couvrant 52 domaines professionnels, de la comptabilité à la cristallographie en passant par la notation musicale. Chaque environnement repose sur des documents réels de 2 000 à 5 000 tokens, associés à cinq à dix tâches d'édition complexes. La méthode d'évaluation, dite "round-trip relay", s'inspire de la rétro-traduction : chaque modification appliquée à un document est conçue pour être réversible, et le modèle doit ensuite exécuter l'opération inverse dans une session indépendante, sans connaissance de l'étape précédente. Résultat : même les modèles frontier les plus performants corrompent en moyenne 25% du contenu des documents à l'issue de ces séquences. Et la présence d'outils agentiques ou de documents parasites ne fait qu'aggraver les performances. Ces conclusions soulèvent des questions concrètes pour quiconque envisage de déléguer du travail intellectuel à une IA. Dans le cadre du "vibe coding", par exemple, un développeur confie l'édition de son code à un modèle sans relire chaque modification. En comptabilité, un utilisateur peut demander à un LLM de réorganiser un grand livre par catégorie de dépenses. Dans ces scénarios, les erreurs introduites par le modèle, suppressions non autorisées, hallucinations insérées dans le texte, reformulations inexactes, sont particulièrement difficiles à détecter précisément parce que l'utilisateur a choisi de faire confiance à la machine plutôt que de tout vérifier lui-même. Une corruption de 25% du contenu dans un document professionnel peut avoir des conséquences significatives et rester invisible si personne ne relit ligne par ligne. Cette étude s'inscrit dans un contexte de pression croissante pour automatiser les tâches de connaissance, portée notamment par l'essor des agents IA censés opérer de manière autonome sur de longues séquences d'actions. Philippe Laban, chercheur senior chez Microsoft Research et co-auteur de l'article, souligne que les modèles testés ignoraient totalement la structure de l'expérience et traitaient chaque étape comme une tâche ordinaire, ce qui rend les résultats d'autant plus représentatifs des conditions réelles. Alors que des acteurs comme OpenAI, Anthropic ou Google multiplient les annonces autour des agents autonomes, ce travail rappelle que la fiabilité sur des tâches longues et itératives reste un problème non résolu. La confiance dans ces systèmes ne devrait pas précéder les preuves de leur robustesse.

💬 25% de corruption silencieuse dans des documents pro, c'est pas un bug de démo, c'est un problème de production. Ce qui me frappe, c'est l'aspect invisible : si tu délègues à l'IA précisément pour ne pas relire chaque ligne, tu ne verras jamais l'erreur. Les labs multiplient les annonces d'agents autonomes, mais la fiabilité sur des tâches longues, c'est toujours pas résolu.

Google met en garde contre des pages web malveillantes qui empoisonnent les agents IA

Des chercheurs de Google ont mis en lumière une menace croissante qui cible directement les agents IA déployés en entreprise : des pages web publiques contiennent des instructions malveillantes cachées, conçues pour détourner le comportement de ces systèmes autonomes. L'alerte est venue après l'analyse du dépôt Common Crawl, une base de données colossale regroupant des milliards de pages web publiques, où les équipes de sécurité ont découvert des pièges numériques dissimulés dans du code HTML ordinaire. Ces commandes invisibles, rédigées en texte blanc sur fond blanc ou enfouies dans les métadonnées, restent dormantes jusqu'au moment où un agent IA consulte la page pour en extraire des informations. L'agent ingère alors le contenu sans distinguer le texte légitime des instructions malveillantes, et exécute ces dernières avec ses propres privilèges d'accès aux systèmes internes de l'entreprise. Le danger concret est illustré par un scénario précis : un agent IA chargé par un département RH d'analyser le portfolio en ligne d'un candidat ingénieur pourrait se voir ordonner, via une instruction cachée dans ce même site, d'envoyer l'annuaire interne de l'entreprise à une adresse IP externe, puis de rédiger un avis positif sur le candidat. Ce type d'attaque, appelé injection de prompt indirecte, contourne intégralement les défenses existantes. Les pare-feux, les systèmes de détection d'intrusion et les plateformes de gestion des accès ne voient rien d'anormal : l'agent dispose de credentials légitimes, opère sous un compte de service autorisé, et ses actions ressemblent trait pour trait à ses opérations habituelles. Les tableaux de bord d'observabilité IA du marché, qui surveillent l'utilisation des tokens ou la latence des réponses, n'offrent quant à eux aucune visibilité sur l'intégrité des décisions prises. Cette vulnérabilité s'inscrit dans une transformation profonde de la cybersécurité à l'ère des systèmes agentiques. Les chercheurs de Google proposent plusieurs contre-mesures architecturales : déployer un modèle "sanitiseur" isolé, sans privilèges, pour récupérer et nettoyer le contenu web avant de le transmettre au moteur de raisonnement principal ; appliquer les principes du zéro-trust aux agents eux-mêmes, en cloisonnant strictement leurs droits selon leur mission (un agent de veille concurrentielle ne devrait jamais avoir accès en écriture au CRM interne) ; et construire des pistes d'audit capables de retracer la généalogie exacte de chaque décision prise par un système IA. L'enjeu dépasse la simple sécurité informatique : à mesure que les entreprises confient des tâches critiques à des agents autonomes connectés au web, la surface d'attaque s'élargit de façon inédite, sans que les outils de défense traditionnels ne soient en mesure de suivre.

💬 On a filé des accès aux systèmes internes à des agents qui naviguent librement sur le web, et on s'étonne maintenant que ça pose un problème. Le truc redoutable dans l'injection indirecte, c'est que tout a l'air normal de l'extérieur : credentials légitimes, compte autorisé, actions qui ressemblent aux opérations habituelles, les outils de détection ne voient rien. Le modèle sanitiseur isolé, c'est du bon sens, mais combien d'équipes vont vraiment l'implémenter avant qu'un agent RH envoie l'annuaire interne à une adresse inconnue ?