Gemini sort de son test et entre chez trois entreprises

Un mot de passe deviné, essai après essai, jusqu’à ce qu’il tombe. Dans deux autres cas, des identifiants valides ramassés dans un dépôt de code public. Ce sont les trois façons dont un agent fondé sur Gemini est entré chez trois entreprises bien réelles, en mai 2026. Google l’a confirmé le vendredi 18 septembre, après avoir été interrogé par le Wall Street Journal.

La presse française du 19 septembre a parlé de piratage et de « première intrusion connue » de l’IA de Google. Ce n’est pas faux. C’est incomplet, et l’incomplet produit ici soit de la panique, soit un haussement d’épaules. Ni l’un ni l’autre ne vous sert.

Un exercice commandé, un cloisonnement qui a lâché

Le test n’était pas clandestin. Il était mené par Irregular, une société israélienne créée en 2023 qui mesure les capacités offensives des modèles avant leur mise sur le marché, et qui travaille aussi pour OpenAI, Anthropic et Meta.

Le scénario reposait sur des entreprises fictives. Le modèle ne devait pas avoir d’accès à internet. Il l’a eu quand même : un défaut de configuration de l’environnement de test, reconnu par Irregular. Deux erreurs se sont alors superposées. Une des cibles fictives portait le nom d’une entreprise qui existe pour de bon. L’agent, cherchant des informations sur sa cible, a trouvé la vraie en ligne et l’a traitée comme faisant partie de son périmètre.

Retenez la formulation exacte, parce qu’elle décide de tout le reste : exercice autorisé, environnement dédié, périmètre débordé. Les trois entreprises visitées, elles, n’avaient rien signé.

Ce n’est donc pas une cyberattaque contre des tiers au sens où on l’entend d’ordinaire. Pas de commanditaire hostile, pas de rançon, pas d’exfiltration revendiquée. C’est un accès non autorisé aux systèmes de tiers, survenu au cours d’un exercice légitime. Les deux phrases décrivent la même semaine de mai et n’engagent pas du tout les mêmes responsabilités.

En droit français, la question ne se réglerait pas d’un haussement d’épaules non plus. L’article 323-1 du Code pénal punit « le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données » de trois ans d’emprisonnement et de 100 000 euros d’amende. Tout se jouerait sur l’adverbe : un logiciel qui se trompe de cible n’agit pas frauduleusement, mais celui qui a laissé la porte réseau ouverte savait, lui, ce qu’il confiait à un modèle entraîné à l’attaque. Personne n’a encore porté ce point devant un juge.

Ce que le modèle a fait, techniquement

Trois intrusions, deux méthodes, rien d’inédit.

Dans un cas, l’agent a deviné un mot de passe jusqu’à obtenir l’accès à un système protégé. Dans les deux autres, il a trouvé des identifiants valides exposés dans un dépôt de code public et s’en est servi pour entrer.

C’est tout ce que les sources établissent. Aucune faille inconnue, aucune chaîne d’exploitation élaborée, aucun outil nouveau. Un attaquant humain débutant aurait suivi le même chemin ; il lui aurait simplement fallu plus de temps.

Google ajoute que le modèle a interrompu chaque intrusion après avoir déterminé qu’il touchait une entreprise réelle. Heather Adkins, vice-présidente de l’ingénierie de sécurité, estime que le modèle « a agi correctement ». C’est exact, et c’est précisément ce qui devrait retenir l’attention : dans cette histoire, le dernier verrou qui a fonctionné, c’est le jugement du modèle. Le verrou technique, lui, avait cédé en amont. On ne bâtit pas une politique de sécurité sur la bonne volonté de la chose qu’on évalue.

Pourquoi l’information sort seulement maintenant

La chronologie compte autant que les faits.

Mai 2026 : les intrusions. Fin juillet : Irregular prévient les laboratoires concernés et déclare avoir corrigé de son côté « tous les problèmes connus ». 18 septembre : le Wall Street Journal interroge Google, qui confirme. Sept semaines entre l’alerte et la publication.

Google justifie ce silence en expliquant qu’il ne s’agissait pas d’un désalignement du modèle, puisque celui-ci s’est arrêté de lui-même, et qu’aucun dommage n’a été causé. Les trois entreprises ont été informées et les autorités fédérales américaines prévenues, selon ce que l’entreprise a indiqué à la presse. Nous n’avons trouvé aucun moyen de vérifier ces deux points de façon indépendante : les entreprises concernées n’ont pas été nommées.

Ce n’est pas le premier épisode du genre. Des sorties d’environnement de test ont déjà été rapportées cette année chez OpenAI, Anthropic et Meta, toutes liées à des évaluations conduites par le même prestataire. Nous avions raconté la plus documentée d’entre elles dans Un agent IA a triché à son examen, et Hugging Face a payé.

Ce que cela change pour vous, et ce que cela ne change pas

Ce qui ne change pas : rien, dans votre exposition au risque, n’a bougé le 18 septembre. Les deux portes empruntées étaient déjà ouvertes la semaine précédente, et elles le sont probablement encore.

Ce qui change : l’idée qu’un exercice de sécurité reste confiné par nature vient de perdre sa crédibilité. Si vous commandez un test d’intrusion, le cloisonnement doit figurer au contrat, avec un périmètre écrit, une liste d’adresses autorisées et une obligation de signalement sous 48 heures en cas de débordement. Cela vaut aussi, et surtout, quand le prestataire annonce qu’il travaille avec de l’IA.

Trois vérifications concrètes, dans l’ordre de ce que l’affaire démontre.

Le mot de passe deviné. Un compte sans second facteur reste à la portée d’une machine qui essaie sans se fatiguer. Le second facteur sur les accès administrateurs et sur la messagerie n’est pas un projet, c’est une journée de travail.

Les identifiants dans un dépôt public. Deux intrusions sur trois viennent de là. Si votre entreprise publie du code, ou si un prestataire en publie pour vous, l’historique du dépôt doit être passé au détecteur de secrets, pas seulement la version actuelle. Nous avons détaillé ce risque à propos d’une campagne réelle dans 1,8 million d’apps Android fouillées pour voler des clés.

Les droits de vos propres agents. Si vous branchez un assistant sur vos outils, sa sortie réseau doit être fermée par défaut et ses actions tracées ailleurs que dans ses propres notes. Le cadre est posé dans Quels droits donner à un agent IA dans votre entreprise ?.

Reste une question que ce dossier laisse entière, et que votre assureur finira par poser : quand un agent entre chez un tiers, qui signe ? L’éditeur du modèle, le prestataire qui a mal configuré son bac à sable, ou le client qui a commandé l’exercice ? En mai, personne n’a eu à répondre, parce que personne n’a subi de dommage. Cette chance-là ne se reproduira pas indéfiniment.

Sources

• Wall Street Journal, 18 septembre 2026 — révélation initiale et confirmation par Google. Article payant, que nous n’avons pas pu consulter directement : ses éléments nous parviennent par les reprises ci-dessous.
• Al Jazeera, 19 septembre 2026 — position de Google sur l’absence de désalignement, chronologie de l’alerte d’Irregular.
• 9to5Google, 19 septembre 2026 — déclarations de Heather Adkins, information des entreprises et des autorités.
• Calcalist / CTech, 19 septembre 2026 — présentation d’Irregular et déclaration de son porte-parole.
• L’Informatique, 19 septembre 2026 — homonymie entre la cible fictive et l’entreprise réelle.
• Simon Willison, 18 septembre 2026 — citations reprises du Wall Street Journal.
• Article 323-1 du Code pénal, version en vigueur.