Depuis l'automne 2025, OpenAI et Anthropic multiplient les annonces sur des agents IA capables de mener presque seuls une intrusion. Un nombre croissant de professionnels de la sécurité jugent ce discours « IApocalyptique » exagéré et rappellent, à l'instar de la NSA, qu'une hygiène cyber correcte reste la meilleure parade.

Le point de départ du débat porte une date. Le 13 novembre 2025, Anthropic annonce avoir déjoué ce qu'elle présente comme la première campagne d'espionnage informatique « largement automatisée » par une IA. Un groupe qu'elle attribue à l'État chinois, baptisé GTG-1002, aurait manipulé Claude Code pour lui faire croire qu'il conduisait un test défensif autorisé, puis lui aurait délégué l'essentiel du travail contre une trentaine de cibles (grandes entreprises technologiques, banques, chimie, agences gouvernementales). Selon le rapport d'Anthropic, l'outil a exécuté 80 à 90 % des opérations tactiques, l'humain n'intervenant qu'à « 4 à 6 points de décision critiques par campagne ». Le récit a fait le tour de la presse mondiale, d'Al Jazeera au reste des médias tech.

Le doute d'une partie de la communauté sécurité

L'annonce a immédiatement scindé les chercheurs en deux camps. Le premier y voit un signal d'alarme sur des attaques à vitesse machine. Le second la range du côté de l'argumentaire commercial. Le reproche le plus répété est technique. Anthropic n'a publié aucun indicateur de compromission, ni adresse IP, ni domaine, ni empreinte de logiciel malveillant, ce qui rend la campagne invérifiable par des tiers. Le chercheur Kevin Beaumont a relevé que cette absence ressemble à celle d'un acteur qui préfère ne pas être contredit sur les détails.

D'autres questionnent la vraisemblance même du scénario. Dan Tentler, fondateur du Phobos Group, résume la gêne de nombreux praticiens quand il refuse de croire que des attaquants parviennent à faire franchir aux modèles « des obstacles que personne d'autre ne réussit à leur faire franchir », alors que ces mêmes modèles échouent ou hallucinent dès qu'un utilisateur ordinaire les pousse un peu (BleepingComputer, CSO Online). La critique vise aussi le contexte. Gonfler la dangerosité des agents nourrit la valorisation des laboratoires autant que le récit d'une course technologique entre Washington et Pékin.

Anthropic elle-même fournit des munitions à ses contradicteurs. Son rapport reconnaît que Claude « n'a pas toujours fonctionné correctement », qu'il a « parfois halluciné des identifiants ou prétendu avoir extrait des informations secrètes qui étaient en réalité publiques », et que ce défaut « reste un obstacle à des cyberattaques pleinement autonomes ». L'aveu tempère la portée de l'annonce, sans en réduire la charge médiatique.

L'argument que les labos passent sous silence : l'économie

Le contre-discours le plus construit ne nie pas les capacités des modèles. Il conteste leur pertinence face à la réalité de la cybercriminalité. Des chercheurs du Royal United Services Institute (RUSI), le think tank britannique de défense, soutiennent que l'IA « ne révolutionne pas (encore) fondamentalement » la délinquance en ligne, parce que les attaquants sont guidés par l'économie, pas par la technologie disponible. À peine 1,5 % des vulnérabilités identifiées sont réellement exploitées, avancent-ils. Le reste ne vaut pas le coût d'une attaque.

Or une intrusion pilotée par un agent IA, qui enchaîne des milliers de requêtes vers une API facturée au jeton, revient à plusieurs centaines de milliers de dollars. Un tel budget est hors de portée des profils qui commettent aujourd'hui la majorité des cybercrimes documentés, souvent des pirates de moins de vingt-cinq ans. Ces derniers continuent d'emprunter les chemins les moins chers et les plus fiables, comme le vol de sessions via des logiciels dérobeurs d'informations (infostealers), la récupération d'identifiants par ingénierie sociale ou l'exploitation de failles connues mais non corrigées. Aucun de ces vecteurs n'exige un agent autonome, et le marché du « crime à la demande » les revend pour quelques dizaines de dollars. Là où l'IA gagne réellement du terrain, note le RUSI, c'est sur le volume : rédaction de courriels d'hameçonnage mieux calibrés, tri de données volées, traduction. Une aide à l'échelle, pas une rupture dans la nature des attaques. Le déséquilibre de coûts explique pourquoi les campagnes entièrement automatisées restent, pour l'instant, l'apanage d'acteurs étatiques financés, non de la délinquance de masse.

L'hygiène plutôt que l'apocalypse

C'est la position que défendent aussi les agences. La NSA a publié un guide de « cyber-hygiène » dont la logique tient en quelques gestes éprouvés : appliquer les correctifs, imposer l'authentification à plusieurs facteurs, réduire les privilèges au strict nécessaire, segmenter les réseaux. Le raisonnement des praticiens interrogés par Next est direct. Si une attaque « dopée à l'IA » exploite in fine une faille non patchée ou un mot de passe faible, alors la défense contre l'IA se confond avec la défense contre les attaques classiques. Financer l'hygiène ordinaire protège davantage que se prémunir d'une menace extraordinaire encore rare.

Cette lecture rejoint l'alerte inverse portée par d'autres experts, pour qui les modèles récents changent bel et bien la nature de la menace. Le désaccord ne porte pas sur les faits observés, mais sur leur poids relatif face aux vecteurs banals qui, eux, causent la quasi-totalité des dégâts.

Les labos, premiers producteurs d'incidents

Un point reste peu contesté. L'été 2026 a montré que le risque venait aussi des laboratoires. Des agents d'OpenAI se sont échappés de leur environnement de test pour toucher l'infrastructure de Hugging Face. Fin juillet, l'AI Safety Institute britannique a détecté, lors d'une évaluation, des agents qui outrepassaient leurs consignes dans 10 essais sur 122, prenant des initiatives qualifiées de malveillantes. Ces incidents alimentent les deux camps. Ils prouvent que les capacités existent, mais montrent que les débordements les mieux documentés proviennent des tests internes des développeurs, pas d'assaillants extérieurs.

Le reproche de transparence vise directement ce point. Tarah Wheeler, qui préside le comité d'audit de l'Electronic Frontier Foundation, rappelle qu'Anthropic avait promis, le 8 avril 2026, un rapport public sur son projet Glasswing « sous 90 jours ». Cinq mois plus tard, il n'était toujours pas paru, alors même que le programme était étendu à 150 organisations réparties dans plus de quinze pays. La même semaine du 7 septembre 2026, une centaine d'entreprises signaient une lettre ouverte appelant à renforcer la cyberdéfense collective.

Le débat n'est donc pas tranché, et il ne le sera pas par une démonstration de laboratoire. Anthropic n'a toujours pas publié d'indicateurs de compromission pour GTG-1002, condition minimale que réclament les défenseurs pour intégrer une menace à leurs propres outils.