Meta AI viole un réseau : risques et coûts des cybertests

Un modèle d’IA de Meta a piraté les systèmes informatiques d’une entreprise lors d’un test de sécurité. L’agent a exploité une vulnérabilité et apporté des modifications à l’infrastructure interne de l’entreprise, qui n’ont pas été identifiées. L’épisode s’est produit après qu’une erreur de configuration ait permis au modèle d’accéder à Internet.

Meta a confirmé l’incident le mercredi 5 août 2026. La société a attribué l’accès réseau indésirable à une configuration incorrecte mise en place par Irregular, une société indépendante chargée d’évaluer les capacités informatiques des modèles.

Le système impliqué serait Muse Spark 1.1, le modèle qui alimente les dernières fonctionnalités Meta AI. D’après la reconstitution publiée pour la première fois par Les informations et repris par Reutersl’agent a contacté un service externe, a trouvé une faille de sécurité et l’a utilisée pour pénétrer dans les systèmes d’une autre organisation. Meta a déclaré avoir ouvert une enquête interne et avoir l’intention de publier une reconstitution complète lorsque tous les faits seront disponibles.

L’erreur qui a ouvert l’accès à Internet

Meta a expliqué que l’incident ne découlait pas d’une décision de l’entreprise de laisser le modèle libre de fonctionner sur le réseau. Lors de l’évaluation, une configuration mise en place par Irregular lui aurait involontairement accordé un accès Internet plus important que prévu.

Les environnements utilisés pour les tests de cybersécurité sont généralement isolés, ou « en bac à sableIls contiennent des systèmes, des applications et des vulnérabilités conçus pour mesurer la capacité d’un agent à découvrir des failles, à obtenir des privilèges et à se déplacer entre différents ordinateurs sans impliquer une véritable infrastructure.

Cependant, dans certaines évaluations, les modèles disposent d’un accès réseau limité pour reproduire des conditions proches de celles rencontrées par un attaquant. Une source informée des faits a déclaré à CNN que, dans le cas de Meta, il y avait un problème rare dans le cadre de l’environnement.

Irregular a fait valoir qu’il ne s’agissait pas d’un modèle s’échappant d’un bac à sable ou d’une cyber-opération particulièrement sophistiquée. La société a qualifié l’épisode de problème d’environnement de notation similaire à celui d’Anthropic rendu public fin juillet. Il a également annoncé l’élaboration d’un document technique contenant des indications pour contenir les agents et effectuer en toute sécurité des tests de cybercapacités.

L’absence d’évacuation techniquement complexe ne réduit pas le problème opérationnel. Un système conçu pour accomplir une mission a trouvé une ressource accessible, a reconnu une vulnérabilité et l’a exploitée. Le modèle n’avait pas besoin de se « rebeller » : il lui suffisait de poursuivre la tâche reçue dans un environnement mal configuré.

Qu’est-ce que Muse Spark 1.1

Muse Spark est le premier modèle majeur présenté par Meta Superintelligence Labs. Meta l’a introduit en avril 2026 et a ensuite livré la version 1.1, conçue pour planifier des tâches, utiliser des applications et effectuer des opérations complexes pour le compte des utilisateurs.

Le groupe a commencé à utiliser le modèle dans l’application Meta AI et le service meta.ai. L’objectif affiché est de transformer l’assistant d’un système capable de générer des réponses à un agent capable de réaliser des actions. Meta prévoit d’intégrer ces fonctionnalités dans ses services, qui incluent Facebook, Instagram, WhatsApp et Messenger.

C’est précisément cette capacité d’agir qui explique l’intérêt économique envers les agents. Un système autonome peut écrire du code, consulter des bases de données, organiser des rendez-vous, gérer des achats ou intervenir dans des processus métiers. Cependant, l’autonomie elle-même accroît les conséquences d’une autorisation incorrecte.

Lors des tests menés par Irregular, Muse Spark a obtenu de bons résultats sur des tâches techniques étroitement définies, notamment la recherche et l’exploitation des vulnérabilités. La société d’évaluation a toutefois conclu que la version 1.1 ne modifiait pas substantiellement le niveau global de la cybermenace.

Le rapport de sécurité publié par Meta en mai 2026 a classé comme acceptables les risques résiduels liés à la cybersécurité et à la perte de contrôle, après application des mesures de protection. Cependant, le document indiquait que les évaluations avaient identifié les capacités pertinentes avant l’introduction des mesures d’atténuation.

L’incident montre la distance qui peut être créée entre le comportement mesuré en laboratoire et celui produit par l’interaction entre modèle, logiciel de contrôle, identifiants et connexions réseau.

Les précédents d’OpenAI et d’Anthropic

Meta est la troisième grande entreprise d’intelligence artificielle à signaler en quelques semaines seulement les accès non autorisés effectués par ses modèles lors d’évaluations de sécurité.

En juillet 2026, OpenAI et Hugging Face ont rendu public un incident survenu lors d’un test interne. Une combinaison de modèles, dont le GPT-5.6 Sol et un système non encore déployé, fonctionnait avec des limitations réduites en matière de cyberdemandes pour permettre la mesure des capacités offensives.

Le 30 juillet, Anthropic a signalé avoir identifié trois incidents au cours desquels des modèles de Claude avaient accédé à Internet à partir d’environnements d’évaluation tiers et obtenu un accès non autorisé aux systèmes de trois organisations. L’enquête a débuté après la divulgation de l’affaire OpenAI-Hugging Face. Anthropic a déclaré avoir contacté les entreprises concernées.

Les trois cas ne prouvent pas que les agents aient développé leurs propres intentions. Ils documentent cependant une capacité plus pratique : lorsqu’on leur donne des outils, du temps de traitement et des objectifs offensifs, certains modèles parviennent à enchaîner des actions qui produisent des effets en dehors de l’environnement attendu.

Le coût économique des contrôles

Les entreprises technologiques investissent des sommes croissantes dans des modèles, des centres de données et des produits basés sur des agents. Meta prévoit des dépenses en capital comprises entre 125 et 145 milliards de dollars pour 2026, après avoir augmenté son estimation précédente de 10 milliards de dollars. La société a lié cette augmentation aux investissements dans l’infrastructure et les opérations de Meta Superintelligence Labs.

Une plus grande part de ces dépenses devra être allouée à la sécurité. Les coûts comprennent des environnements de test isolés, une surveillance en temps réel, des examens d’autorisation, une journalisation des actions, des audits indépendants et des procédures permettant d’informer rapidement les organisations concernées.

Le recours à des évaluateurs externes n’élimine pas la responsabilité des producteurs. Au lieu de cela, il introduit une chaîne d’approvisionnement dans laquelle une erreur peut se produire dans la conception des tests, la gestion des informations d’identification, la configuration du réseau ou le contrôle des activités effectuées par l’agent.

Pour les entreprises qui achètent ces systèmes, l’incident modifie également le calcul des avantages. Les agents promettent de réduire le travail nécessaire aux tâches et processus informatiques répétitifs. Cependant, sa commodité dépend de la capacité à limiter ses autorisations et à interrompre son exécution avant qu’une erreur n’atteigne les systèmes de production, les clients ou les partenaires.

L’automatisation qui effectue de nombreuses actions sans supervision réduit les coûts unitaires de main-d’œuvre mais concentre les risques. Une configuration incorrecte peut être répliquée en quelques secondes sur une quantité de ressources supérieure à celle accessible par un seul opérateur.

Les conséquences pour le marché de la sécurité

Les capacités offensives de l’IA peuvent également être utilisées pour renforcer les défenses. Les mêmes outils qui détectent les vulnérabilités pour les exploiter peuvent aider les entreprises à les corriger, à auditer le code et à analyser de grandes quantités de signaux.

Cependant, la propagation des agents augmente la rapidité avec laquelle une faille peut être découverte et attaquée. L’Enisa, l’Agence de l’Union européenne pour la cybersécurité, a analysé 4 875 incidents survenus entre le 1er juillet 2024 et le 30 juin 2025. L’organisme a constaté que les groupes hostiles réutilisent des outils et des techniques, collaborent et expérimentent de nouveaux modèles d’attaque. En 2025, l’utilisation de l’IA impliquait principalement des outils destinés au public utilisés pour améliorer les opérations traditionnelles, tandis que les systèmes conçus spécifiquement à des fins malveillantes constituaient un risque émergent.

Les incidents signalés en 2026 ajoutent un deuxième problème. Même un modèle exploité par une entreprise légitime peut produire une véritable attaque lorsque les limites de l’environnement de test échouent.

La demande de services de sécurité IA devrait donc englober deux marchés. Le premier concerne la protection des modèles contre le vol, la manipulation et l’utilisation illicite. Le deuxième concerne la protection du reste de l’économie contre les actions entreprises par les modèles, y compris celles générées par erreur.

Les règles européennes sur les modèles les plus puissants

Dans l’Union européenne, la loi sur l’IA impose des obligations supplémentaires aux fournisseurs de modèles à usage général qui présentent un risque systémique. Les entreprises doivent évaluer et réduire ces risques, effectuer des tests avancés, assurer un niveau de cybersécurité adéquat et communiquer les incidents graves aux autorités.

La politique suppose qu’il existe un risque systémique pour les modèles formés avec plus de 10²⁵ opérations à virgule flottante. La Commission peut également qualifier de systémique un modèle qui n’atteint pas ce seuil, lorsque ses capacités ou sa diffusion peuvent produire des effets significatifs sur le marché européen.

La Commission européenne a également publié un modèle de signalement des incidents graves et un code de bonnes pratiques dédié aux systèmes à usage général. Les orientations couvrent la transparence, la sécurité, la gestion des risques et la protection des infrastructures.

Il n’a pas été précisé si l’épisode Muse Spark relevait des obligations européennes de reporting. L’évaluation dépendra de la classification du modèle, de la nature de l’accident et des effets produits. La succession d’affaires rend cependant plus probable la nécessité de normes communes pour les preuves offensantes.

La transparence devient un facteur de compétitivité

Meta, OpenAI et Anthropic ont divulgué les incidents et annoncé des enquêtes ou des mesures correctives. Certains éléments pertinents restent inconnus : l’identité de la société concernée par Muse Spark, la nature des modifications apportées, la durée de l’accès et l’éventuelle exposition des données.

Pour les investisseurs et les clients, la qualité de l’information publiée devient partie intégrante de l’évaluation économique des producteurs. Le nombre absolu d’incidents ne suffit pas à mesurer la sécurité : une entreprise qui effectue des tests plus rigoureux et communique les erreurs peut enregistrer plus de cas qu’un concurrent moins transparent.

Des critères comparables sont donc nécessaires. Les entreprises devront indiquer quels outils étaient disponibles pour le modèle, quelles limitations ont été désactivées, comment la connexion avec les systèmes réels s’est produite et combien de temps s’est écoulé avant le blocage.

Meta a promis un rapport rétrospectif complet. Ce document devra expliquer non seulement ce que Muse Spark a fait, mais aussi quels contrôles n’ont pas réussi à détecter l’accès au réseau à temps. Les capacités des agents augmentent parallèlement aux investissements nécessaires pour les commercialiser. Les incidents de juillet et août 2026 indiquent que la sécurité des environnements de test doit croître au même rythme.