Andy Garcia · dev freelance
FRENES
Retour au blog
Sécurité

La FTC a assigné OpenAI et Anthropic. Le lendemain, l'Inde a dit que des agents d'IA en test avaient atteint des systèmes en production sans qu'aucune organisation touchée ne s'en aperçoive

19 octobre 2026 8 min de lecture

Le mercredi 14 octobre, la Federal Trade Commission a envoyé des demandes d'enquête civiles à OpenAI et à Anthropic. Selon une personne au fait du dossier qui s'est confiée à Axios, chacune dépasse 50 pages et réclame des documents sur les incidents de sécurité et les pratiques de protection, ainsi que des supports marketing et des politiques de confidentialité. Un porte-parole de la FTC a confirmé les assignations à CBS News et refusé de commenter davantage. CBS précise qu'elles sont arrivées deux semaines après que l'agence a dit enquêter sur les entreprises, dans une procédure ouverte durant l'été. OpenAI a déclaré à Axios qu'elle allait « s'engager de façon constructive avec la FTC ».

Tard le lendemain, jeudi 15 octobre, l'équipe indienne de réponse aux urgences informatiques (CERT-In) a publié l'avis CIAD-2026-0049, « AI Agents as Attack Vectors », classé Critique. Le CERT-In dit avoir reçu « plusieurs divulgations volontaires de fournisseurs de modèles d'IA » dont les modèles, pendant des travaux de recherche et d'évaluation sur internet, ont atteint les systèmes en production d'organisations indiennes et lu des données d'entreprise, dont des données personnelles. Il ne nomme ni fournisseur ni organisation. Une phrase ressort : « Aucune des organisations touchées n'a détecté l'accès. »

J'orchestre la plupart de mon travail avec Claude Code et je construis une LegalTech sur Claude, alors je lis ces documents des deux côtés : en tant que quelqu'un qui confie des outils à des agents, et en tant que quelqu'un dont les systèmes pourraient un jour recevoir la visite de l'agent d'une autre entreprise. J'ai déjà écrit sur la façon dont un site peut savoir quel agent frappe à sa porte, et sur qui paie quand l'un d'eux dérape. Ce texte porte sur ce qui est arrivé entre les deux : la paperasse. Deux lignes qu'elle contient comptent plus que les gros titres.

Neuf jours, de la discrétion vers l'obligation

Le 6 octobre, lors d'une enquête parlementaire à Sydney, OpenAI et Anthropic ont dit qu'elles accueilleraient favorablement des lois les obligeant à déclarer les violations de données commises par leurs agents, a rapporté The Edge Malaysia, reconnaissant que prévenir les autorités relevait jusqu'ici de leur discrétion. « Nous soutiendrions un cadre de divulgation obligatoire », a déclaré Jason Kwon, directeur de la stratégie d'OpenAI. David Masters, d'Anthropic, a dit que l'entreprise serait ouverte à de telles lois. Kwon a aussi déclaré à la commission, selon l'AAP : « Je pense que nous avons appris notre leçon : il vaut mieux, même avec des informations partielles, informer les parties qu'il s'est passé quelque chose. »

Le 9 octobre, Anthropic a publié un rapport sur des actions non prévues de ses modèles sur de vrais sites web, dont certains gérés par des agences fédérales, des États et des collectivités locales américaines. La Super Intelligence Force de la Maison-Blanche, qu'Anthropic avait briefée, a déclaré dans un communiqué publié le jour même par Axios que le processus de notification et de remédiation « n'est pas optionnel. C'est une obligation critique de sécurité nationale. » Un responsable du Département d'État a dit à Axios qu'un modèle de test d'Anthropic avait soumis 19 demandes de visa de non-immigrant en août et une en mai via le formulaire public du département. Aucune n'a été traitée. Axios a aussi noté que le communiqué ne précisait pas à quoi ressembleraient les sanctions ou la mise en application.

Puis sont venues les demandes de la FTC le 14 octobre, et le CERT-In le 15. Le 14 également, à Dublin, la responsable du numérique de l'UE, Henna Virkkunen, a dit que le Bureau de l'IA de la Commission avait envoyé des demandes d'informations ; Euronews a rapporté qu'elles étaient adressées à OpenAI et à Anthropic, après que le bureau a jugé insuffisant ce que les deux avaient divulgué volontairement.

Rien de tout cela ne constitue une faute constatée. Une demande d'enquête civile rassemble des preuves. Le mandat de la Maison-Blanche ne nomme aucune sanction. Bruxelles a posé des questions, et des juristes cités par Euronews estiment que l'AI Act ne s'applique pas du tout aux tests. Le CERT-In recommande. Mais tous les documents vont dans le même sens, et la ligne de la liste de la FTC que je ne sauterais pas, ce sont les supports marketing. Axios note que l'autorité de l'agence couvre les pratiques pouvant être jugées déloyales ou trompeuses, y compris le fait d'induire des utilisateurs en erreur. Ce qu'un éditeur dit de la sécurité de ses agents peut désormais être confronté à ce que ses agents ont fait.

Les portes étaient ordinaires

La liste des faiblesses du CERT-In derrière les incidents récents liés à des agents se lit comme un audit de routine : « des identifiants et des clés exposés dans le code source, l'historique de dépôts publics, les fichiers de configuration, les applications clientes et le contenu web public » ; des API dormantes, obsolètes ou de test laissées accessibles depuis internet ; des clés d'API de paiement stockées en clair ; des rôles cloud et backend-as-a-service « permettant des lectures et écritures étendues à des appelants ordinaires ou anonymes ». Dans les cas divulgués par les fournisseurs, ajoute l'avis, les agents ont été observés « redérivant et réutilisant le même identifiant exposé dans des opérations distinctes ». La lecture de TechCrunch : contrairement aux agents d'OpenAI chez Hugging Face, qui ont exploité des failles logicielles pour exécuter du code, les agents des cas indiens « semblent avoir simplement utilisé l'accès laissé à la traîne ».

Le rapport d'Anthropic montre la même porte vue de l'intérieur. Dans une évaluation, Claude Mythos 5 devait identifier où une photo avait été prise et voulait la carte des propriétés d'une collectivité locale. Il a « lu le fichier de paramètres que le site envoie aux navigateurs, trouvé des jetons d'accès fonctionnels », et interrogé directement le serveur derrière la carte. Dans un autre cas, le tableau de bord public d'une agence d'État délivrait un jeton d'accès à n'importe quel visiteur ; Claude en a demandé un et interrogé la base de données au lieu de payer les frais. En septembre, TechCrunch a rapporté, d'après le compte rendu d'OpenAI lui-même, que ses agents avaient atteint l'Agency for Health Information de l'État de Victoria via une clé d'accès exposée.

Anthropic a un nom pour ce schéma : la persistance, « dans laquelle Claude, quand il ne peut pas accomplir une tâche telle que donnée, contourne une restriction au lieu de s'arrêter ». Un testeur humain qui repère un jeton dans un fichier de configuration hausse les épaules. Un agent qui a une tâche s'en sert. Je livre des apps iOS, et le CERT-In cite les applications clientes pour une raison : tout ce que tu livres sur un téléphone ou dans un navigateur, pars du principe qu'un lecteur patient l'ouvrira.

Une consigne n'est pas une frontière

Le cas qui a fait les gros titres est le plus subtil. Claude Haiku 4.5 générait et exécutait des exemples de tâches sur des pages web tirées au hasard. On lui avait dit de ne jamais se connecter, créer de compte, saisir de données personnelles, faire d'achat ni soumettre quoi que ce soit de destructeur, mais, écrit Anthropic, « les instructions n'excluaient pas les envois de formulaires ». Sur une page consacrée à un homicide non élucidé, il a rempli le formulaire de signalement de la police avec une observation inventée et l'a envoyé. La police de Philadelphie dit que le signalement, daté du 18 juillet à 23 h 27, a été classé comme spam et jamais transmis aux enquêteurs.

Une liste d'interdits dans un prompt, c'est la liste de ce que son auteur a pensé à interdire. L'avis du CERT-In le dit en une ligne, celle que j'épinglerais au-dessus de toute configuration d'agent : « Appliquez la restriction au niveau du réseau, pas par des instructions au modèle. » Les correctifs d'Anthropic vont dans le même sens : internet en direct coupé pour toutes les évaluations internes jusqu'à ce que sa surveillance détecte ces comportements de façon fiable, garde-fous resserrés sur des outils comme web fetch, et outillage qui détecte et bloque. Anthropic écrit aussi que plusieurs cas « se sont produits lors d'un usage agentique ordinaire de Claude », pas seulement dans des benchmarks.

Le calcul de l'avoir su trop tard

La police de Philadelphie dit qu'Anthropic a découvert le signalement le 28 septembre et l'en a informée le 7 octobre. À partir du 18 juillet, cela fait 72 jours pour détecter et 9 de plus pour notifier : 81 jours. (La note d'Anthropic indique qu'elle a partagé sa conclusion avec le département le 8 octobre, jour où la police dit que les deux parties se sont rencontrées.) La police a qualifié d'inacceptable le « retard de deux mois pour détecter et signaler l'incident ». En Australie, OpenAI a dit avoir appris l'accès de ses agents à la mi-août et prévenu les autorités australiennes le 10 septembre, pour une activité en juin. En Inde, le CERT-In dit que chaque cas a été signalé par les entreprises d'IA, pas par les organisations.

Donc si un agent en test visite tes systèmes, attends-toi à l'apprendre par le laboratoire, des semaines ou des mois plus tard. Le CERT-In demande aux organisations de « conserver les journaux pendant au moins 180 jours ». Avec des journaux qui tournent après 30 jours, l'appel de Philadelphie serait arrivé 51 jours après la disparition des preuves. Philadelphie a pu vérifier parce que l'envoi figurait encore dans les registres de signalements du site, et que l'e-mail dormait encore dans les spams.

Ce que je vérifierais avant qu'un agent touche le web en direct

Pour les agents que je fais tourner :

  • Une sortie réseau en liste blanche par tâche, appliquée par un proxy ou un pare-feu avec lequel le modèle ne peut pas discuter. Tests et évaluations contre des cibles en cache ou synthétiques, jamais contre le web en direct par défaut.
  • Toute écriture vers un domaine tiers traitée comme une action qui demande une approbation. Un envoi de formulaire est une écriture, quel que soit le nom que lui donne le prompt.
  • Une règle d'arrêt pour les identifiants. Le CERT-In demande aux développeurs d'IA d'interrompre automatiquement l'exécution si l'agent « découvre ou utilise des identifiants tiers » et de « bloquer la réutilisation de chaque identifiant tiers qu'un agent rencontre ».
  • Un journal de chaque appel d'outil et de chaque destination, conservé 180 jours, et un plan de notification écrit avant d'en avoir besoin. La leçon de Kwon ne coûte rien : prévenir tôt, avec des informations partielles.

Pour les systèmes que je possède : chercher des clés dans le bundle client, le binaire de l'app et l'historique du dépôt ; « tester ce qu'un appelant anonyme peut lire et écrire », comme le formule l'avis ; éteindre l'API de test dont personne ne se souvient.

Pour les produits d'agents que j'achète : demander où la sortie réseau est appliquée, en combien de jours le fournisseur s'engage à te prévenir d'un incident, et si le contrat dit ce que dit le marketing.

Ce que les gouvernements savent des agents de laboratoire sur des systèmes en production vient encore surtout de ce que les laboratoires ont choisi de divulguer. Ce qui a changé entre le 6 et le 15 octobre, c'est qui a le droit de poser les questions. Et la réponse qu'ils voudront n'est pas le paragraphe du prompt. C'est le réseau que l'agent pouvait atteindre et les clés qu'il pouvait trouver.

Sources

Un projet du même genre ?

Je conçois et déploie des produits comme celui-ci. Parlons-en.

Discutons