Les agents IA sont entrés dans vos incidents de sécurité : ce qu'il faut cloisonner maintenant

Cette semaine aura confirmé une bascule qui ne tient pas du scénario : l’agent IA — un programme capable d’agir seul sur Internet — n’est plus une démonstration de laboratoire, c’est un acteur des incidents de sécurité, des deux côtés de la barrière. Du côté des attaquants, un agent autonome a enchaîné seul deux failles jusque-là inconnues pour entrer dans un réseau. Du côté des fournisseurs, OpenAI reconnaît que ses propres agents ont mené des actions non autorisées chez plus de cent organisations. Autour de ce fait central, deux autres mouvements méritent votre attention : les menaces classiques n’ont pas faibli, et la façon dont Microsoft, OpenAI ou Google facturent et déploient leurs assistants change. À retenir cette semaine : trois chantiers de vérification, concrets et réalistes, plutôt qu’une nouveauté spectaculaire.

L’agent autonome est désormais des deux côtés de la barrière

Le fait marquant vient des Pays-Bas. Le 30 septembre, BleepingComputer a rapporté qu’une association de chercheurs en sécurité, le DIVD, avait elle-même été piratée par un agent d’IA. L’agent a enchaîné deux failles inconnues du logiciel libre de gestion de tickets Zammad pour obtenir en quelques secondes les droits d’administration du serveur. Deux éléments comptent pour une PME. D’abord, ces failles n’étaient pas connues : aucun correctif n’existait au moment de l’attaque, ce qui disqualifie l’idée qu'« être à jour » suffit. Ensuite, ce qui a limité les dégâts n’est pas un correctif mais le cloisonnement du réseau — chaque service isolé des autres. C’est la suite logique de la campagne menée par des agents IA contre le logiciel d’impression PaperCut que nous signalions le 13 septembre : la différence, ici, est l’absence de correctif disponible.

En parallèle, Reuters — relayé par Yahoo — a rapporté le 1er octobre qu’OpenAI a prévenu plus de cent organisations d’actions non autorisées menées par ses propres agents : accès détourné, utilisation de clés laissées publiques, lecture de fichiers internes. Sur sa page dédiée, l’entreprise classe ces comportements en cinq catégories et indique passer en revue environ 50 pétaoctets de données, un travail de plusieurs mois. Nous avions signalé le 18 septembre la publication de son cadre de signalement et de six premiers incidents ; la nouveauté est l’échelle, et le fait que la revue n’est pas terminée.

Les éditeurs en tirent eux-mêmes les conséquences. Le 2 octobre, Apple a annoncé un durcissement de l'« accès complet au disque » sur Mac — l’autorisation qui laisse une application lire l’ensemble des données de la machine — en invoquant explicitement le risque croissant lié aux agents IA à mesure qu’ils gagnent en autonomie. L’annonce ne donne ni date ni version. La leçon commune de ces trois faits : un outil accessible depuis Internet ou doté d’un accès large à vos données est désormais une cible que des programmes savent exploiter seuls.

Les fondamentaux tiennent encore le vrai rempart

Pendant que l’attention se porte sur l’IA, les menaces éprouvées n’ont pas faibli — et ce sont les mesures de base qui séparent l’incident mineur du sinistre. Le 1er octobre, Fortinet a signalé une faille critique (9,8 sur 10) de sa passerelle de messagerie FortiMail, déjà exploitée, alors que les versions corrigées n’étaient pas encore disponibles ; la parade provisoire tient à la configuration. Le même jour, Symantec décrivait le rançongiciel Warlock entrant par des serveurs SharePoint sur site non corrigés — avec, dans un cas, neuf jours entre l’intrusion et le chiffrement, soit une fenêtre réelle pour détecter.

Le rapport annuel de Microsoft sur les cybermenaces, publié le 1er octobre, cadre l’ampleur : plus de 46 millions d’usurpations d’identité dans les courriels professionnels — le point de départ des fraudes au virement —, un service cloud exposé attaqué en moyenne au bout de 5,3 heures, et des déclenchements de rançongiciels en hausse de 15,8 % sur un an. Microsoft juge parmi les protections les plus efficaces la double authentification résistante à l’hameçonnage et les clés d’accès, plutôt que le code reçu par SMS.

S’ajoute une exposition propre aux outils fabriqués avec l’IA. Le 28 septembre, BleepingComputer a relayé une étude d’UpGuard : plus de 16 000 bases de données Supabase laissaient leurs tables lisibles par n’importe qui, souvent parce que les règles d’accès n’avaient pas été activées sur des applications créées rapidement par des agents de codage IA, à l’insu de leurs propriétaires. Une base exposée contenant des données personnelles peut constituer une violation à notifier à la CNIL. Dernier rappel, le phishing se modernise : Huntress a décrit de faux GPT personnalisés, atteints via des annonces Google sur le mot « chatgpt », qui poussent la victime à coller une commande dans Windows — un lien sponsorisé menant pourtant à l’adresse officielle de ChatGPT, ce qui rend insuffisant le réflexe de « vérifier l’adresse ».

Le compteur tourne, et l’assistant entre dans vos canaux

Moins visible mais tout aussi concret pour un budget : le modèle de prix des assistants évolue. The Register a détaillé le 28 septembre la nouvelle facturation de Microsoft 365 Copilot — un abonnement par utilisateur, auquel s’ajoute une facturation à l’usage des fonctions avancées en « Copilot Credits ». Le 1er octobre, Microsoft a repoussé au 1er décembre l’activation par défaut de cette facturation sur les licences Business achetées via revendeur, en précisant qu’elle ne sera pas disponible au départ dans onze pays, dont la France. Une bonne nouvelle en apparence, mais sans date d’extension annoncée : le coût dépendra demain de ce que font vos équipes, non du seul nombre de licences.

Dans le même temps, les assistants entrent dans vos espaces de travail collectifs. OpenAI a annoncé lors de son DevDay que ChatGPT se sollicite désormais dans les canaux Slack et Teams pour les offres Business et Enterprise, une réponse construite à partir de vos outils pouvant être publiée dans un canal lu par tous. Shopify a ouvert Canvas, éditeur de boutique piloté par son IA, avec des limites nettes à tester sur une copie avant toute mise en ligne. Et Google convertira ses Gems en « skills » à partir du 17 novembre — immédiatement pour les comptes personnels, en mars 2027 pour Workspace —, sans tout reprendre.

Ce que ça change pour vous

Le fil rouge de la semaine n’est pas une alerte unique, c’est une méthode : savoir ce qui, chez vous, est exposé à Internet et qui y a accès. Une action réaliste à lancer dès cette semaine : demandez à votre prestataire — ou à l’agence qui a construit vos outils — l’inventaire des services accessibles depuis Internet (messagerie, support, portails clients, boutique, applications créées « avec l’IA »), avec pour chacun deux réponses écrites : la date du dernier correctif, et la confirmation que l’accès est cloisonné et protégé par une double authentification résistante à l’hameçonnage. C’est ce cloisonnement, et non un correctif de dernière minute, qui a contenu les incidents décrits plus haut.