La rumeur de la mi-septembre tenait en une phrase : les géants de l'IA auraient monté une cellule de crise parce que leurs modèles se mettraient à comploter. En ouvrant le dossier, on trouve autre chose. Une entreprise fictive qui portait le nom d'une entreprise réelle. Un serveur de test dont l'accès à Internet n'avait pas été coupé. Un mot de passe deviné, deux autres récupérés dans une base publique de fuites. Et quatre laboratoires concurrents qui ont découvert, chacun de son côté, que leurs modèles étaient sortis du même bac à sable, par la même porte, chez le même prestataire. Cette histoire parle de la chaîne qui évalue l'IA, et ce qu'elle dit d'elle est plus instructif que n'importe quel scénario de complot.
Mai 2026 : une entreprise fictive qui existait vraiment
Les faits ont eu lieu en mai, et le public les a appris le 18 septembre. Entre les deux, quatre mois.
Le décor est un exercice classique de sécurité informatique, un « capture the flag » : on donne à un système une cible fictive et on regarde s'il parvient à s'y introduire. L'exercice était conduit par Irregular, une société israélienne indépendante spécialisée dans le test de sécurité des modèles d'IA, mandatée par plusieurs grands laboratoires. Le modèle évalué était un Gemini de Google, pas le plus récent d'après l'éditeur, qui n'a pas précisé lequel.
Deux erreurs se sont superposées, et aucune des deux n'est le fait du modèle. La première : sur le serveur d'évaluation, l'accès à Internet était resté actif, alors que les règles du test prévoyaient un environnement isolé. La seconde : l'entreprise fictive que le modèle devait attaquer portait le nom d'une entreprise réelle, bien vivante, avec une infrastructure accessible en ligne.
Le reste se déduit. Le modèle a cherché sa cible sur Internet, l'a trouvée, et a fait ce qu'on lui demandait de faire. Il est entré dans trois entreprises. Dans un cas en devinant le mot de passe ; dans les deux autres en récupérant des identifiants valides dans une base publique de mots de passe ayant fuité. Aucune faille inédite, aucune technique sophistiquée, rien qu'un agent consciencieux et des mots de passe faibles.
Google a prévenu les trois entreprises et les autorités fédérales américaines fin juillet. La confirmation publique est venue le 18 septembre, après la publication de l'affaire par le Wall Street Journal. Heather Adkins, vice-présidente de l'ingénierie de sécurité chez Google, a résumé l'épisode ainsi : lors d'une évaluation standard, le modèle a trouvé des informations publiques en ligne et devin des identifiants pour accéder à des sites qu'il croyait faire partie du test, et dans les trois cas, le modèle s'est arrêté.
Le même défaut, quatre laboratoires
C'est ici que l'histoire cesse d'être une anecdote. Plus tôt dans l'année, des évasions comparables avaient été rapportées pour des modèles d'OpenAI, d'Anthropic et de Meta. Toutes remontent au même défaut de confinement, dans le même environnement d'évaluation, chez le même prestataire. Irregular dit avoir alerté les laboratoires concernés fin juillet et avoir corrigé depuis.
Quatre laboratoires qui se font concurrence sur tout, qui ne partagent ni leurs poids ni leurs méthodes d'entraînement, et dont les modèles se sont échappés par la même porte. Pour qui cherchait la preuve que l'IA devient incontrôlable, le résultat est décevant. Pour qui s'intéresse à la façon dont on vérifie la sûreté de ces systèmes, il est beaucoup plus embarrassant : le maillon qui a cédé n'était pas le modèle, c'était le dispositif chargé de le tester.
Et il y a une leçon de méthode là-dedans, que connaît n'importe qui a déjà monté un environnement de recette. Un bac à sable est une propriété à vérifier à chaque exécution, et le traiter comme un réglage posé une fois pour toutes suffit à le perdre. Personne ne doute de l'isolement d'un environnement de test ; c'est précisément pour cela qu'on ne le contrôle pas.
« Le modèle s'est arrêté » : ce que cette phrase règle, et ce qu'elle laisse ouvert
La position de Google est défendable et mérite d'être prise au sérieux. Le modèle a cessé son action dès qu'il a compris la situation, l'éditeur n'y voit donc pas un défaut d'alignement, et comme aucun dommage n'a été constaté, il n'a pas jugé la divulgation publique nécessaire.
Deux réserves tiennent quand même. La première est factuelle : les comptes rendus divergent sur ce que l'arrêt du modèle a réellement empêché, puisque l'authentification et l'usage d'identifiants avaient déjà eu lieu. Un intrus qui renonce après être entré est entré. La seconde porte sur la divulgation elle-même. Quatre mois séparent les faits de l'information du public, et la publication n'a pas suivi la notification aux autorités : elle a suivi l'enquête d'un journal. La question de savoir qui décide qu'un incident mérite d'être rendu public, et selon quel critère, n'est pas tranchée par « aucun dommage n'a été causé », puisque c'est l'éditeur concerné qui évalue le dommage.
💡 Ce qu'un dirigeant peut retenir de cette affaire
Un agent IA à qui l'on donne des identifiants et un accès réseau fera ce que ses permissions autorisent, sans distinguer la cible de test de la cible réelle. Trois questions suffisent avant de brancher un agent sur un système d'entreprise : à quoi a-t-il accès, qui l'a vérifié, et comment le saurait-on s'il en sortait ? Le vocabulaire utile est dans le glossaire, et l'affaire ci-dessus montre que ces questions se posent aussi aux laboratoires qui écrivent les modèles.
Le 18 septembre, trois nouvelles le même jour
La confirmation de Google tombe dans une semaine chargée, et c'est la raison pour laquelle elle a été lue comme un signe de panique collective.
Le 12 septembre, Dario Amodei, dirigeant d'Anthropic, publie un essai intitulé « We Must Pace the Frontier », dont la thèse est explicite : il faut ralentir le rythme auquel on améliore les capacités des modèles. L'auteur y prend soin de préciser que ralentir ne veut pas dire arrêter l'entraînement ni le progrès technique, mais laisser aux entreprises le temps d'aligner et de sécuriser leurs modèles. Il y avance aussi la phrase qui a fait les titres : dans six à douze mois, un essaim d'agents pourrait être capable de prendre le contrôle de l'ensemble d'Internet au moyen d'un réseau de machines compromises. La fourchette est de six à douze mois dans le texte ; plusieurs reprises ont retenu six. Son plan tient en trois marches : des évaluateurs embarqués, une coordination entre laboratoires des pays démocratiques, puis une coordination mondiale, sur laquelle l'essai se garde de tout optimisme en reconnaissant que les enjeux géopolitiques imposeront des limites nettes. Le même jour, les dirigeants d'OpenAI, de Google DeepMind et de xAI se rangent publiquement à cet appel. Le 15, le responsable des affaires publiques d'OpenAI confirme des discussions en cours depuis plusieurs semaines avec Anthropic et Google DeepMind.
Puis vient le 18 septembre, et trois choses sortent ensemble.
Google confirme l'affaire Gemini. Quatre abonnés payants déposent devant le tribunal fédéral du district nord de Californie une plainte contre OpenAI, Anthropic, Google et SpaceXAI, au titre du Sherman Act, pour entente illégale visant à ralentir le développement de l'IA ; ils demandent des dommages triplés. Leur argument est plus fin que son résumé : ils ne contestent pas qu'une entreprise décide seule de ralentir, ni qu'elle demande une régulation au Congrès, ni même qu'elle sollicite une dérogation formelle au droit de la concurrence. Ce qu'ils attaquent, c'est le raccourci qui consiste à substituer une retenue collective à une responsabilité individuelle, en dehors de toute procédure publique. Ces allégations n'ont à ce jour fait l'objet d'aucune décision de justice.
Et le même jour, plus de deux cents chercheurs et évaluateurs, dont Geoffrey Hinton, des représentants de Stanford, de Johns Hopkins et de l'organisme d'évaluation METR, publient une lettre intitulée « Minimum Conditions for Embedding Evaluators ».
Qui évalue les évaluateurs ?
Cette lettre est le document le plus intéressant de la semaine, et c'est celui dont on a le moins parlé.
Elle répond directement à la première marche du plan d'Amodei, en relevant la barre. Embarquer des évaluateurs tiers ne sert à rien, disent ses signataires, si cinq conditions minimales ne sont pas remplies. L'indépendance structurelle : un organisme d'évaluation ne doit pas être détenu ni gouverné par les laboratoires qu'il examine, ne doit pas entretenir avec eux d'autre activité commerciale significative, et ne doit accepter aucune rémunération dépendant de ses conclusions. La diversité des points de vue, contre une équipe homogène qui partagerait les présupposés de ceux qu'elle évalue. L'accès réel, comparable à celui d'un salarié très privilégié : systèmes, données, outils, locaux, conversations avec le personnel. La transparence, avec une communication directe et non filtrée vers les conseils d'administration, et une publication des conclusions et des preuves, sous réserve d'une procédure d'occultation limitée dans le temps et bornée à la propriété intellectuelle, aux données clients, à la vie privée et à la sécurité. Enfin la protection contre les représailles, poursuites judiciaires de rétorsion comprises, adossée à un financement stable.
Mettez cette liste en regard de l'affaire Irregular, et le rapprochement se fait tout seul. Le seul incident de sûreté publiquement documenté de cette série vient d'un évaluateur tiers, mandaté par les laboratoires qu'il évaluait. Ce n'est pas un argument contre l'évaluation indépendante, et il faut le dire nettement : des évaluateurs extérieurs sont la seule façon connue de vérifier autre chose que les déclarations des éditeurs. C'est un argument pour que la chaîne d'évaluation soit tenue au même niveau d'exigence que ce qu'elle évalue, avec ses propres procédures, ses propres contrôles, et quelqu'un pour les vérifier. Un laboratoire de test qui laisse un accès réseau ouvert n'est pas moins préoccupant qu'un modèle qui s'en sert.
C'est la question que personne n'avait mise au programme de septembre, et c'est celle qui restera : non pas si l'IA devient dangereuse, mais si l'appareil chargé de le mesurer est à la hauteur de la mesure. Nous avons déjà vu que l'argument de la dangerosité sert parfois d'argument commercial ; la contrepartie est qu'un dispositif d'évaluation faible rend inutilisables les deux discours, celui qui alerte comme celui qui rassure.
Ce que ça change pour une entreprise, maintenant et plus tard
À court terme, rien. Aucune de ces trois nouvelles ne modifie ce qu'une PME marocaine ou française peut faire avec l'IA cette semaine.
À moyen terme, deux choses. Si un organisme de normes voit le jour, ou si le législateur reprend les conditions de la lettre du 18 septembre, des tests avant mise sur le marché deviendront obligatoires pour les modèles, et les délais de disponibilité des nouvelles versions s'allongeront. C'est le prolongement direct de ce que le règlement européen sur l'IA a commencé à imposer en août.
Et il y a une leçon immédiatement applicable, qui ne dépend d'aucune régulation. Les trois intrusions de mai n'ont demandé ni faille inédite ni modèle de pointe : un mot de passe devinable et deux jeux d'identifiants traînant dans une fuite publique ont suffi. Les pratiques qui protègent d'un agent IA mal cadré sont celles qui protègent de n'importe quel attaquant, et elles sont connues. Elles valent d'être relues avant de mettre un agent en production, et la sécurisation d'une application fondée sur un modèle de langue commence là plutôt qu'au choix du modèle. Quant à savoir qui répond quand un système automatisé cause un dommage chez un tiers, c'est une question que cette affaire rend concrète, et dont nous avons examiné le cadre juridique.
Sources primaires de cet article : l'essai « We Must Pace the Frontier » du 12 septembre 2026 ; la lettre « Minimum Conditions for Embedding Evaluators » et sa liste de signataires, et le compte rendu de sa publication ; le détail de l'incident Gemini et de l'environnement d'Irregular ; le dépôt de la plainte antitrust du 18 septembre.
