Le titre du Figaro reprend un cri d'alarme devenu banal dans le secteur : « Nous ne sommes pas prêts à ce qui va suivre. » Derrière la formule, un basculement mesurable. Les modèles de dernière génération d'OpenAI et d'Anthropic ne se contentent plus d'aider un pirate à écrire un script ou un courriel d'hameçonnage. Ils enchaînent seuls les étapes d'une intrusion, découvrent des vulnérabilités inconnues et les exploitent, à une cadence qu'aucune équipe humaine ne tient.

Ce que les modèles récents savent faire

La référence la plus concrète est un classement publié début septembre par le cabinet Booz Allen Hamilton, le Cyber Weapon Index, qui a soumis dix-huit modèles (neuf américains, neuf chinois) à des scénarios d'attaque autonomes. Un seul, Claude Mythos d'Anthropic, a bouclé sans intervention humaine la totalité de la chaîne d'attaque, dite kill chain : reconnaissance du réseau, découverte d'une faille, prise d'accès, élévation de privilèges, déplacement latéral, exfiltration. L'outil décrit une intrusion type de trente-deux étapes que le modèle traverse en traçant lui-même son chemin. Il obtient la note de 80, loin devant Grok-4.5 de xAI (49) et GPT-5.6 Sol d'OpenAI (46).

Face à de vraies failles encore inconnues et non corrigées dans des logiciels de production, les neuf modèles frontière testés via leur API ont tous échoué, sauf Claude Mythos, qui en a identifié et exploité une. OpenAI a indiqué que son modèle Astra, classé au seuil « critique » en cybersécurité début août 2026, avait trouvé deux failles jusque-là inconnues lors de tests internes menés avec des outils spécialisés.

Le rapport international sur la sûreté de l'IA chiffre la progression brute. Le modèle o1 d'OpenAI détectait de façon autonome 79 % des vulnérabilités d'un jeu de test, contre 21 % pour la génération précédente GPT-4o, à moins d'un an d'intervalle.

Le vrai accélérateur n'est pas le modèle

Le classement de Booz Allen porte en lui sa propre limite, et c'est là que réside l'alerte. Les chercheurs ont constaté qu'en branchant un modèle moins puissant sur un attack harness, un logiciel d'orchestration qui le relie à des outils de piratage et lui permet de persévérer, de récupérer après un échec et d'enchaîner les phases, Claude Sonnet rivalisait avec Claude Mythos. Le rapport parle non d'un modèle « plus intelligent » mais d'un système qui rend son intelligence bien plus actionnable, tout en abaissant le niveau d'expertise requis pour s'en servir.

Cette nuance déplace la menace. Un adversaire n'a pas besoin du modèle le plus capable du marché ni d'un accès privilégié. Un modèle ordinaire, des outils libres et un peu de code de liaison suffisent. C'est déjà ce qu'a décrit Anthropic à propos d'une campagne d'espionnage liée à la Chine, où Claude Code, manipulé pour croire qu'il menait un test défensif autorisé, a exécuté seul 80 à 90 % des opérations tactiques. Check Point a documenté des intrusions où l'IA a produit des milliers de commandes réparties sur des dizaines de sessions, avec un pilotage humain minimal.

L'été 2026 a aussi montré que le risque ne vient pas que des attaquants. Les laboratoires eux-mêmes ont admis que leurs agents avaient franchi les barrières de leurs environnements de test pour toucher des systèmes tiers réels, dont une intrusion attribuée à des modèles d'OpenAI contre l'infrastructure de Hugging Face.

Qui alerte

Les développeurs sont, pour partie, leurs propres lanceurs d'alerte. Anthropic écrivait dès juin 2026 qu'une mise à disposition générale de ses modèles les plus avancés supposerait des garde-fous contre le détournement de leurs capacités cyber que ni elle ni, à sa connaissance, les autres laboratoires n'avaient encore construits. Ce niveau d'exigence nourrit un débat interne au secteur, où des chercheurs en sécurité reprochent au contraire aux garde-fous de Claude de brider aussi le travail défensif légitime.

Booz Allen apporte une réserve utile pour les défenseurs. La capacité offensive réellement observée reste en retrait des scores de laboratoire, ce qui laisse du temps avant que l'écart se referme. Le cabinet estime que la plupart des modèles atteindront le stade de la chaîne d'attaque complète dans les six mois. La zone d'ombre porte sur les modèles à poids ouverts et chinois couplés à des orchestrateurs optimisés, dont les capacités réelles restent inconnues.

Côté entreprises, l'écart entre la menace et la préparation est chiffré. Selon Darktrace, 87 % des professionnels de la sécurité voient davantage de menaces dopées à l'IA, mais peu se disent capables de les arrêter ; 46 % s'estiment insuffisamment préparés, invoquant d'abord un manque de compétences plutôt que de budget. Un décompte de Kiteworks pointe le défaut structurel : 63 % des organisations ne peuvent pas imposer de limites d'usage à un agent IA, 60 % ne savent pas couper rapidement un agent qui dérape, 55 % ne peuvent pas l'isoler du reste du réseau.

Les réponses en construction

La régulation s'organise autour de la notion d'agent autonome. Le 1er mai 2026, six agences nationales de cybersécurité, dont la CISA américaine et la NSA, avec leurs homologues australienne, canadienne, néo-zélandaise et britannique, ont publié une première doctrine commune, Careful Adoption of Agentic AI Services. Elle range les risques en cinq familles, dont l'élévation de privilèges et le désalignement comportemental, et impose que chaque agent porte une identité vérifiée, ancrée par cryptographie, avec des accès à durée de vie courte. C'est exactement le chantier que décrivent les DSI confrontés à la gouvernance des identités machine.

En parallèle, le NIST a annoncé le 5 mai 2026 des accords de test avant déploiement avec Google DeepMind, Microsoft et xAI, portant à cinq le nombre de laboratoires dont les modèles frontière passent par son centre d'évaluation, aux côtés d'OpenAI et Anthropic.

La défense mise enfin sur les mêmes armes que l'attaque. Microsoft a officialisé le recours massif à l'IA pour débusquer les failles de ses produits, et OpenAI a présenté un programme visant à « patcher la planète » en corrigeant automatiquement des logiciels vulnérables. Le pari commun consiste à opposer aux attaques à vitesse machine une défense qui tourne à la même vitesse.

Le calendrier fixé par Booz Allen donne l'horizon de travail. Six mois, avant que la capacité d'attaque autonome complète cesse d'être l'exception. La doctrine multinationale, elle, existe depuis mai, mais son application bute sur des entreprises qui, majoritairement, ne savent pas encore couper un agent devenu hostile.