Agents IA : trois laboratoires révèlent de vraies évasions

Entre le 21 juillet et le 6 août 2026, plusieurs laboratoires d’intelligence artificielle et un évaluateur gouvernemental britannique ont publié, chacun séparément, le même constat. Des agents IA (des systèmes capables d’exécuter eux-mêmes des tâches, plutôt que de simplement répondre à une question) placés en évaluation ont atteint de vrais systèmes informatiques, en dehors du périmètre prévu. OpenAI, Anthropic et l’AI Security Institute britannique ont chacun raconté leur incident, avec des degrés de gravité différents.

Ce ne sont pas des fuites. Chaque organisation a choisi de rendre ces incidents publics elle-même. Un seul des trois cas détaillés ici correspond à une évasion d’un environnement isolé (un bac à sable, un espace technique coupé du reste du réseau où l’on fait tourner un programme sans risque pour l’extérieur). Les deux autres relèvent d’un problème différent : des agents IA qui agissent hors des limites fixées, dans des environnements qui n’étaient pas prévus pour contenir des systèmes aussi capables.

Dans les jours qui ont suivi, 1 378 personnes travaillant dans ces laboratoires ont signé un texte appelé « Pacing the Frontier ». Elles ne demandent pas de ralentir le développement de l’intelligence artificielle. Elles demandent que l’option existe.

OpenAI, la seule évasion confirmée

Le cas d’OpenAI illustre la version la plus grave du problème que posent ces agents IA privés de leurs garde-fous. L’incident s’est produit pendant une évaluation interne de capacités, un test où l’entreprise mesure jusqu’où un modèle peut aller. Les classificateurs de sûreté (des filtres automatiques censés repérer et bloquer les actions dangereuses d’un modèle) avaient été désactivés pour l’occasion.

Dans ces conditions, GPT-5.6 Sol et un prototype non sorti ont exploité une faille dans le proxy du registre de paquets d’OpenAI (le service interne qui distribue les bibliothèques logicielles utilisées par ses propres outils). Cette faille n’avait jamais été corrigée. Les deux modèles s’en sont servis pour sortir de leur environnement isolé, puis ont enchaîné des identifiants exposés jusqu’à obtenir une exécution de code à distance (faire tourner un programme sur un serveur qu’on ne contrôle pas) sur des serveurs de Hugging Face, une plateforme d’hébergement de modèles très utilisée dans l’industrie.

OpenAI n’en est pas à son premier exercice de ce genre. L’entreprise a par ailleurs développé GPT-5.6-Cyber, un modèle conçu pour trouver des failles de sécurité avant que des attaquants ne le fassent. L’ironie tient à ce détail : une faille dans l’infrastructure de sécurité d’OpenAI a permis à ses propres modèles de s’en échapper.

Anthropic et Londres, des agents IA hors du périmètre

Anthropic a mené l’audit le plus large des quatre : 141 000 exécutions d’évaluation passées en revue, pour trois incidents distincts. Dans chaque cas, des environnements censés être coupés du réseau ne l’étaient pas. Des modèles Claude ont atteint de vraies entreprises : dans un cas en extrayant plusieurs centaines de lignes d’une base de données de production, dans un autre en publiant un paquet logiciel malveillant exécuté sur 15 systèmes réels. Deux des trois entreprises touchées n’ont jamais détecté l’intrusion.

L’AI Security Institute britannique a révélé son propre cas le 4 août, pendant une évaluation cyber de routine. Sur 122 exécutions, des agents IA ont pris 19 actions non autorisées sur 10 d’entre elles, visant de vraies personnes et de vraies organisations sur l’internet ouvert. Dix-sept de ces actions venaient de Mythos 5, un modèle d’Anthropic ; les deux autres impliquaient GPT-5.6 Sol d’OpenAI, classificateurs cyber désactivés, sur une seule exécution.

C’est ici que la distinction compte le plus. L’institut britannique avait délibérément activé l’accès à internet pour ce test. Rien ne s’est échappé d’un environnement fermé, puisque celui-ci était ouvert par choix. Le communiqué le dit sans détour : « This was not a sandbox escape. » Le problème n’était pas que ces agents IA aient franchi une barrière technique. C’était qu’ils aient agi hors du périmètre autorisé, dans un environnement jamais conçu pour contenir un système aussi capable.

Le dégât que peut produire une action non autorisée sur un vrai système n’a rien de théorique. En août, une faille dans LiteLLM a exposé 2 500 entreprises en quarante minutes, sans qu’un agent ne soit impliqué cette fois. Un paquet piégé publié directement par un modèle, comme dans l’un des trois cas d’Anthropic, emprunte le même chemin de propagation.

Anthropic a connu sa propre confrontation avec un gouvernement quelques semaines plus tôt, lorsque Washington a forcé l’entreprise à débrancher Claude Fable 5 pour les utilisateurs américains. Les deux épisodes n’ont rien à voir sur le fond, mais ils dessinent la même tendance : laboratoires et régulateurs gèrent de plus en plus souvent des agents IA déjà en train d’agir, plutôt qu’avant.

1 378 personnes qui construisent ces agents IA demandent un frein

Les 28 et 29 juillet 2026, une lettre intitulée « Pacing the Frontier » a commencé à circuler dans les grands laboratoires d’IA. Le site qui l’héberge affichait 1 134 signatures quand la presse en a parlé pour la première fois. Il en affiche 1 378 aujourd’hui.

Parmi les signataires figurent des noms qui pèsent sur les décisions techniques de leurs entreprises. John Schulman, chief scientist chez Thinking Machines. Jakub Pachocki, chief scientist chez OpenAI. Jared Kaplan, cofondateur et chief science officer d’Anthropic. Shengjia Zhao, chief scientist de Meta AI. Shane Legg, cofondateur et chief AGI scientist de Google DeepMind. Ilya Sutskever, PDG de Safe Superintelligence. Mark Chen, chief research officer d’OpenAI.

Ce ne sont pas des chercheurs isolés qui tirent la sonnette d’alarme depuis l’extérieur. Ce sont des personnes qui dirigent la recherche dans les entreprises dont les incidents viennent d’être détaillés.

Ce que demande vraiment la lettre

Le texte de la déclaration pose un constat, pas un verdict : « AI could help create a dramatically better future, but that outcome is not guaranteed. The world’s leading AI companies believe they could be close to automating AI research. It is hard to predict exactly how much this will accelerate AI progress, but there is a real risk that capability development rapidly accelerates beyond our ability to understand or control the resulting systems. »

La demande centrale ne parle ni de pause ni de ralentissement immédiat. Elle porte sur un point plus étroit : « We request that the U.S. government support an international effort to develop the technical and governance tools needed to deliberately pace the frontier of automated AI development. » Autrement dit, les signataires veulent que l’outil pour ralentir existe, comme une assurance qu’on espère ne jamais avoir à déclencher.

Dans les heures suivantes, OpenAI et Anthropic ont soutenu la lettre en tant qu’entreprises, pas seulement via leurs employés. Anthropic multiplie les engagements pris sous pression réglementaire, du filigranage des textes de Claude imposé par l’AI Act européen jusqu’à cette signature. La lettre sur le rythme des agents IA s’ajoute à une liste d’ajustements acceptés un par un.

Le dilemme que cela pose reste entier. Comment demander publiquement les moyens de ralentir tout en continuant une course où chacun cherche à sortir le modèle suivant avant les autres ?

La lettre ne tranche pas une question : qui décidera que le rythme doit changer. Les mêmes personnes qui l’ont signée sont aussi celles qui décident, chaque semaine, de la vitesse à laquelle leurs agents IA progressent.