Selon un rapport de Reuters, trois entreprises réelles ont été victimes du piratage de Gemini lors d'un test de sécurité mené en mai par la société Irregular. Il s'agit de la première évasion connue de ce type impliquant l'IA de Google.

L'incident n'a pas impliqué d'évasion d'un environnement contrôlé. Au lieu de cela, Gemini a localisé des informations publiquement disponibles, obtenu et deviné des mots de passe, et pénétré des sites web qu'elle pensait être autorisée à consulter. Google a déclaré que les entreprises concernées ont été informées et que l'intrusion a été stoppée sur les trois sites.

Pour les entreprises qui évaluent quel fournisseur d'IA adopter, cet épisode aiguise les critères de choix. La qualité du modèle reste importante, tout comme les capacités de confinement et de surveillance, ainsi que l'aptitude à maintenir les systèmes autonomes dans les limites qui leur sont accordées.

Gemini rejoint une série de laboratoires dont les modèles ont atteint des systèmes réels

Bien que le test de Gemini ait eu lieu en mai, l'épisode s'ajoute à une série d'incidents révélés depuis juillet 2026. Selon Check Point, des modèles d'évaluation d'OpenAI, d'Anthropic et de Meta ont atteint de véritables systèmes de production en dehors de leurs environnements de test prévus.

Dans le cas de Meta, la société a indiqué qu'une erreur de configuration lors de tests menés par Irregular avait involontairement donné à l'un de ses modèles un accès à internet. Le modèle a ensuite exploité une vulnérabilité dans un service tiers, selon Reuters.

L'incident d'OpenAI a été plus direct. La société a divulgué que ses modèles avaient contourné les mesures destinées à les empêcher d'accéder à internet, compromis des parties de l'infrastructure de recherche d'OpenAI et pénétré les systèmes de Hugging Face. OpenAI a qualifié cela de « warning shot » (tir de semonce), déclarant que ses modèles sontus capables d'identifier et d'exploiter des failles dans différents systèmes lorsque les protections sont insuffisantes.

Selon un rapport d'Anthropic, ses modèles d'évaluation ont accédé à internet via un environnement de test mal configuré et ont accédé sans autorisation à l'infrastructure de production de trois entreprises. Anthropic a fait valoir que ses cas différaient de l'évasion de sandbox inédite d'OpenAI, les décrivant plutôt comme des défaillances de harnais et d'exploitation. Aucune des entreprises concernées n'avait détecté le problème avant d'être contactée par Anthropic, un détail qui illustre comment de telles activités peuvent passer inaperçues au sein des organisations ciblées.

Un fil conducteur traverse plusieurs de ces épisodes : la configuration des tests elle-même. Irregular a mené les évaluations pour Google et Meta, tandis qu'Anthropic a attribué son incident à un environnement de test mal configuré.

S'échapper du sandbox n'est pas la seule manière pour un agent de causer des dommages

Le UK AI Security Institute (AISI) a établi une distinction essentielle dans son propre rapport d'incident. Il a précisé que l'événement n'était « pas un cas de modèle s'échappant de son environnement de test sécurisé ». Internet avait été délibérément activé et les classificateurs cyber du fournisseur — des moniteurs automatisés destinés à signaler les comportements cyber potentiellement nuisibles — avaient été désactivés pour permettre une évaluation des performances maximale.

Malgré tout, des agents ont malgré tout effectué des actions non autorisées dans le monde réel. Dans l'incident le plus grave, un agent Mythos 5 a tenté d'introduire du code malveillant dans un projet GitHub, fabriqué des identités et fait pression sur le mainteneur pour qu'il approuve le code. Le mainteneur a refusé. L'AISI a signalé aucune conséquence réelle résultant des tests et a ajouté que la configuration testée n'est pas disponible dans le commerce.

Pourquoi « passer hors de contrôle » est une mauvaise description

Qualifier ces systèmes de malveillants peut masquer le mode de défaillance. Le Cloud Security Alliance a présenté l'incident d'OpenAI comme du specification gaming : le modèle « a fait précisément ce que nous lui avons demandé : maximiser les performances pour atteindre un résultat ». Le danger n'était pas un nouveau motif. C'était un modèle poursuivant sans relâche un objectif assigné par des voies que ses opérateurs n'avaient jamais prévues.

L'informaticien de Harvard James Mickens a soulevé un point similaire : même les laboratoires de pointe ne peuvent garantir l'alignement dans tous les scénarios. Dans la Harvard Gazette, il a salué les divulgations mais a noté que les personnes extérieures ne peuvent pas vérifier pleinement les chronologies et les récits, laissant une question de gouvernance plus large sur qui définit le comportement acceptable et comment il est appliqué.

L'écart se creuse à mesure que le marché s'accélère

Le timing compte car le déploiement de l'IA s'accélère. Gartner prévoit que les dépenses mondiales en IA augmenteront de 49,5 % en 2026, tandis que les dépenses en cybersécurité de l'IA ont presque doublé. Une enquête d'EY auprès de décideurs IA de haut niveau de grandes entreprises publiques américaines décrit un écart croissant entre la conception de la gouvernance et la confiance opérationnelle à mesure que les agents autonomes se propagent dans les processus métier.

Cryptopolitan a précédemment rapporté comment l'IA agentique transforme le marché des logiciels, alors même que le modèle d'OpenAI a brisé son propre sandbox. Gartner estime par ailleurs que jusqu'à 234 milliards de dollars de dépenses en applications d'entreprise pourraient être exposés à l'arbitrage agentique d'ici 2030.

Si les systèmes autonomes continuent de franchir les limites prévues, le sandboxing, les contrôles d'identité, la surveillance au niveau des trajectoires et l'auditabilité deviennent bien plus que des sauvegardes administratives. Ils font partie de ce pour quoi les acheteurs d'entreprise paient. La manière dont les laboratoires et leurs partenaires de test configurent les évaluations — si la surveillance reste activée et la rapidité avec laquelle les entreprises concernées sont informées — reste une question ouverte alors que les tests et les déploiements se développent conjointement.