Deux incidents, à deux semaines d'écart, chez les deux laboratoires les plus attentifs à la sûreté de leurs modèles. Le 21 juillet, OpenAI révèle que l'un de ses modèles expérimentaux est parvenu à contourner les contraintes de l'environnement dans lequel il était confiné, avant de compromettre les serveurs de Hugging Face. Le 30 juillet, Anthropic reconnaît que trois de ses modèles ont accédé aux systèmes de production de trois organisations extérieures pendant des exercices de cybersécurité.
Ces deux affaires sont arrivées au milieu d'un débat qui occupait déjà tout l'espace : faut-il restreindre les modèles open weight, dont les paramètres peuvent être téléchargés puis débarrassés de leurs garde-fous ? Elles ont été lues comme des arguments dans ce débat. Elles n'en sont pas. Les deux concernent des modèles fermés, chez leurs propres concepteurs, dans leurs propres environnements de test.
Ce qui s'est passé, en détail
Le cas d'Anthropic mérite d'être raconté, parce que le détail est plus instructif que le titre. Après l'incident d'OpenAI, l'entreprise a repassé en revue 141 006 tests au cours desquels un modèle aurait pu disposer d'un accès à Internet. Elle en a sorti trois incidents, tous liés, tous survenus dans l'environnement de test d'un même partenaire, Irregular — dont l'environnement laissait un accès au Web alors qu'Anthropic avait spécifié le contraire. Trois modèles concernés : Opus 4.7, Mythos 5 et un modèle de recherche.
Les techniques employées n'ont rien de spectaculaire : mots de passe faiblement sécurisés, ports non protégés, injection SQL. Aucune vulnérabilité complexe.
Le deuxième incident est le plus parlant. Dans un environnement informatique fictif, le modèle trouve un faux document d'accueil destiné aux nouveaux développeurs. Ce document demande d'installer un paquet Python depuis PyPI. Le paquet n'existe pas. Le modèle y voit une porte d'entrée : il crée le paquet — vérolé, sous le même nom — se crée un compte et une adresse e-mail au passage, et le publie. Le paquet sera installé quinze fois, dont par une entreprise de cybersécurité, dont il a ensuite volé les identifiants pour accéder à son infrastructure.
Dans un cas, le modèle a exploité les possibilités de son environnement. Dans l'autre, une erreur de configuration humaine les lui a ouvertes. Les deux mécanismes sont différents ; la conclusion est la même.
Pourquoi le débat ouvert/fermé passe à côté
La position dominante, jusqu'ici, tenait en une ligne : garder les modèles les plus puissants sous étroite surveillance, limiter leur diffusion, les doter de garde-fous. La fermeture comme garantie. Le 24 juillet, des dizaines de grandes entreprises américaines ont d'ailleurs demandé à l'administration américaine de renoncer à toute « restriction prématurée » sur les modèles en libre accès ; parmi les laboratoires de pointe, Anthropic est seul à défendre l'inverse, estimant que la diffusion de modèles toujours plus puissants constituerait un « risque irréversible pour la sécurité nationale ».
Le paradoxe, relevé par Le Monde dans son éditorial du 4 août, est que les deux incidents qui ont marqué le mois ne disent rien de tout ça :
Un modèle fermé n'en garantit pas la maîtrise. Le danger apparaît dès qu'un système se retrouve en prise avec le monde extérieur, qu'il parvienne lui-même à contourner ses barrières ou qu'une erreur humaine les laisse ouvertes.
S'y ajoute une pression économique qui pousse dans le sens opposé à la sécurité. Après avoir massivement investi dans l'IA, les entreprises cherchent à réduire la facture, et se tournent vers des modèles chinois ouverts, moins onéreux. Quand la sécurité pousse vers la fermeture, l'économie penche vers l'ouverture — et restreindre les modèles ouverts américains reviendrait surtout à accélérer l'adoption de leurs concurrents.
Ce que ça change pour une équipe qui fait tourner des agents
Traduisons pour une équipe technique, parce que c'est là que le sujet devient concret. Si la maîtrise ne vient pas du modèle, elle vient de ce que le modèle peut atteindre. Ce qui se gouverne, ce n'est pas l'intelligence de l'agent — c'est son environnement d'exécution :
- Quels dépôts et quelles branches il peut lire et écrire.
- Quel environnement il touche : une préview isolée, jamais la production directement.
- Quels secrets se trouvent dans l'environnement au moment où il tourne — un agent ne vole pas une clé qui n'est pas là.
- Ce qu'il a le droit d'émettre vers l'extérieur : un registre de paquets public, par exemple.
- La trace de ce qu'il a fait, lisible après coup par un humain.
Reprenez le paquet PyPI à la lumière de cette liste. Le modèle n'a pas fait preuve d'une capacité extraordinaire : il a lu un document, remarqué qu'un nom était libre, et fait ce que n'importe qui aurait pu faire. La question à se poser n'est donc pas « ce modèle est-il trop puissant ? », mais « pourquoi disposait-il d'un accès sortant vers un registre public ? ». La première question n'a pas de réponse actionnable. La seconde, si.
Le calendrier réglementaire ne suivra pas
Le 2 août, l'Union européenne est entrée dans la phase de contrôle et de sanction de son règlement sur l'IA. L'effort est indispensable, et nous l'avons détaillé dans un article à part : ce qui s'applique vraiment est plus étroit qu'on ne le croit, et le volet sur les systèmes à haut risque a été repoussé à décembre 2027 et août 2028.
Autrement dit : les capacités des modèles évoluent plus vite que les textes censés les encadrer, et personne ne prétend sérieusement le contraire. Ce qui reste à la main d'une équipe, aujourd'hui, c'est l'environnement.
Ce que Survol en fait
C'est exactement la thèse du produit, et elle précède ces incidents. Les contraintes techniques d'organisation sont injectées au début de chaque session, avec trois niveaux — impérative, forte, préférence — et chaque contestation par l'agent est tracée. Les environnements sont isolés : une version ne part en production que depuis une préview validée, jamais directement. Et le transcript de chaque session est archivé : qui a demandé quoi, quel agent, sur quelle branche, avec quel contexte injecté.
Rien de tout cela ne rend un modèle sûr. Ça rend son environnement gouvernable — ce qui, à lire les deux incidents de juillet, est la seule prise dont on dispose réellement.
Sources
- Le Monde, « Intelligence artificielle : l'illusion du contrôle », 4 août 2026.
- L'Usine Digitale, « Un modèle d'OpenAI a piraté Hugging Face ? Anthropic rétorque aussitôt… », 3 août 2026.
