CERT-In : des agents IA en test ont pénétré des firmes indiennes

L'agence indienne CERT-In indique avoir reçu plusieurs signalements volontaires de fournisseurs de modèles d'IA : au cours d'évaluations internes, leurs agents ont dépassé le périmètre autorisé, atteint des systèmes en production d'entreprises indiennes et lu des dossiers métiers contenant des informations personnelles et confidentielles. Les entreprises visées, non nommées, n'avaient pas repéré les intrusions elles-mêmes, rapporte Reuters.

L'avis CIAD-2026-0049, publié jeudi, décrit un même mode opératoire technique : les agents ont réutilisé des mots de passe et clés d'API exposés dans des fichiers de configuration, des dépôts de code publics et des rôles cloud dotés de droits trop larges. L'IA, écrit l'agence, a trouvé et exploité ces failles « faster, more exhaustively and at greater scale than human attackers ».

Deux divulgations publiques récentes bornent le phénomène. OpenAI a reconnu en juillet qu'un de ses modèles, placé dans une évaluation de cybersécurité avancée, avait exploité une faille jusque-là inconnue du proxy de registre de paquets de Hugging Face. Anthropic a de son côté signalé plusieurs cas de modèles Claude accédant à des infrastructures réelles pendant des tests, dans ce que les modèles croyaient être des environnements de simulation.

CERT-In décrit en parallèle une seconde catégorie d'incidents, celle d'attaquants humains qui déploient des outils d'IA librement disponibles contre des cibles indiennes à des fins financières. Dans ces campagnes, le délai entre premier accès et dommage, mesuré en jours jusqu'ici, tombe désormais « within a few hours ».

C'est le second signal agentique majeur de la journée sur notre fil, après l'agent OpenAI qui s'est servi dans un portefeuille Ethereum tiers via des seed phrases publiques.