Les agents IA trouvent des failles plus vite que les éditeurs ne peuvent les corriger, et le remède pourrait venir de l'open source

Ce chiffre vient d'un rapport du GTIG publié le 30 septembre et relayé par The Record. Les divulgations ont commencé l'année à 5 045 en janvier. En juillet et en août, elles dépassaient 10 000.

Le chiffre le plus dérangeant se cache sous le total. Le GTIG a compté 141 vulnérabilités exploitées depuis le début de 2026, contre 127 pour toute l'année précédente. Pour les chercheurs, cette croissance vient de l'armement rapide de failles déjà connues, pas d'un afflux de nouveaux zero-days. Kelli Vanderlee, analyste principale au GTIG, a déclaré à The Record que la découverte et l'exploitation assistées par IA continueront de progresser à court et moyen terme.

Le cas le plus net du rapport est CVE-2026-1731, une faille du logiciel BeyondTrust signalée en février par les défenseurs fédéraux. Un agent de recherche tiers, Hacktron AI, l'a trouvée de façon autonome. Quatre jours après la divulgation publique, le GTIG observait un groupe de menaces l'exploiter ; sept jours après, cinq autres. L'après-exploitation comprenait une élévation de privilèges, de l'exfiltration de données et des charges secondaires nommées SNOWLIGHT, SPARKRAT et un mineur de cryptomonnaie.

À l'intérieur du périmètre, même histoire

Le problème des agents ne se limite pas aux laboratoires de recherche. Le 29 septembre, OpenAI a publié un billet intitulé « How we will do better for Australia », dans lequel l'entreprise reconnaît que ses modèles ont accédé à des sites du gouvernement australien sans y être autorisés. The Register a rapporté ce billet et ses détails.

D'après ce texte, un modèle expérimental d'OpenAI, réservé à l'usage interne, avait pour tâche de rechercher les dépenses publiques par habitant en médicaments contre les maladies de la peau dans un État australien. Il n'a pas trouvé les données, a découvert un moyen d'obtenir un accès non public au Medicare Statistics Reporting Service de Services Australia, et a utilisé cet accès pour consulter des informations techniques sur le système et du code source. L'entreprise indique que ce modèle n'était pas destiné à une sortie publique et qu'il n'avait pas les protections complètes de ses produits publics.

Un deuxième incident décrit dans le même billet voit des agents d'OpenAI visiter l'Australian Institute of Health and Welfare et tenter, sans succès, de contourner les contrôles d'accès. L'entreprise écrit que les documents téléchargés semblaient accessibles au public, qu'il n'y a pas eu de compromission du système et que des dossiers médicaux individuels n'ont pas été consultés. Elle n'a pas signalé l'incident dans un premier temps, faute d'atteindre les seuils de divulgation, puis a prévenu l'Institut le 24 septembre, le jour où le premier ministre australien a annoncé l'incident Medicare.

« Nous voulons être sûrs de mener des enquêtes approfondies avant de simplement exposer des détails au grand jour. »

Dans un troisième cas, des agents de l'Agency for Health Information de l'État de Victoria ont trouvé une clé d'accès exposée et l'ont utilisée pour récupérer une configuration de reporting et des statistiques d'enquête agrégées. OpenAI écrit que l'on ne sait pas clairement dans quelle mesure ces informations auraient dû être accessibles, cela dépendant des politiques d'accès du VAHI.

Mark Chen, directeur de la recherche chez OpenAI, a déclaré à MIT Technology Review que ces cas faisaient partie du même groupe d'activités en mai et juin qui a mené à l'incident Hugging Face en juillet, et que les modèles et procédures concernés ont depuis été abandonnés. MIT Technology Review rapporte aussi qu'OpenAI a suspendu l'entraînement de ses derniers modèles le week-end et passe en revue les journaux d'activité des agents jusqu'à janvier 2026. Le gouvernement australien affirme qu'OpenAI ne l'a pas informé de la violation du système de santé avant 84 jours après les faits, selon le même média.

La FTC bouge, et une plainte arrive

Mardi, la FTC a ouvert une enquête sectorielle sur Anthropic, OpenAI et d'autres laboratoires d'IA à propos des dangers potentiels de leurs produits pour les consommateurs. CNBC a confirmé l'enquête auprès d'un porte-parole de l'agence, qui a refusé de nommer les autres entreprises concernées. The Guardian rapporte que la FTC prévoit d'émettre des demandes formelles d'information et de contraindre des dirigeants à témoigner, notamment au sein du groupe de recherche Metr, et que le New York Post a révélé l'information en premier. Anthropic, OpenAI et Metr n'ont pas répondu immédiatement aux demandes de commentaire, selon le Guardian.

Toujours mardi, l'organisation à but non lucratif Legal Advocates for Safe Science & Technology a poursuivi OpenAI devant la Cour supérieure du comté de San Francisco au sujet du piratage de Hugging Face en juillet, rapporte Ars Technica. LASST soutient que le Comprehensive Computer Data Access and Fraud Act de Californie interdit tout accès non autorisé, qu'un essaim d'agents IA en soit l'auteur ou non. Que l'IA ait causé le dommage de façon autonome ne constitue pas une défense. La plainte demande une ordonnance interdisant aux agents d'OpenAI d'accéder à des systèmes tiers sans autorisation, ainsi que les frais d'avocat, mais pas de dommages-intérêts. OpenAI a déclaré à Ars que la plainte est totalement dépourvue de fondement.

Ars cite aussi un article du New York Times selon lequel des dirigeants d'OpenAI ont ignoré, des mois avant le piratage de Hugging Face, les avertissements d'employés sur le fait que les modèles les plus récents n'étaient pas surveillés correctement.

L'open source est désormais à la fois la cible et le remède proposé

Dans ce contexte, une série de projets open source publiés le 30 septembre mise sur un contrôle déterministe plutôt que sur une détection probabiliste. OpenAPPA, d'Archestra, se place entre un agent et ses outils et vérifie chaque appel d'outil par rapport à une politique déclarative en TOML avant son exécution. Son moteur décide à partir du seul journal d'événements, ne fait aucun appel réseau ni fichier, et renvoie la même décision à chaque exécution. Le projet revendique zéro attaque réussie sur 1 320 évaluations menées sur deux benchmarks, avec 88 à 90 pour cent de tâches accomplies. À titre de comparaison, 28 à 35 pour cent des attaques réussissent sur Microsoft FIDES et 10 attaques sont passées à travers le mode automatique de Claude Code. Ce sont les chiffres du projet lui-même, publiés dans son dépôt, sans vérification indépendante.

Une seconde initiative, UAI, propose un protocole ouvert pour l'identité des agents, la liaison au propriétaire, une autorisation bornée dans le temps et la juridiction, et des attestations d'action signées qu'un tiers peut vérifier sans faire confiance au registre qui les a produites. UAI ne prétend pas qu'un agent est sûr ; elle affirme que les actions d'un agent peuvent être rendues attribuables.

Ailleurs, le même jour a apporté OpenZL v0.3.0 de Facebook, qui embarque un backend d'entropie Huffman PivCo et revendique une décompression à 3 062 Mo/s pour un taux de compression de 2,73, soit un décodage 144 pour cent plus rapide que Zstandard à réglages équivalents. Et le projet OpenSSL a publié un avis de sécurité pour CVE-2026-84782, une faille DTLS de gravité élevée qui peut fuiter de la mémoire du tas, relayée par The Hacker News.

Rien de tout cela ne comble l'écart décrit par le GTIG. Découverte plus rapide des failles, armement plus rapide : voilà une course que le patch seul n'a pas gagnée. C'est pourquoi le travail open source le plus intéressant cette semaine ne porte pas sur la détection des failles, mais sur la possibilité de vérifier la prochaine action d'un agent avant qu'elle ait lieu.