Gemini a accédé à trois entreprises lors d’un test de cybersécurité

Google a confirmé que son modèle d’intelligence artificielle Gemini avait accédé aux systèmes de trois entreprises pendant une évaluation de cybersécurité menée en mai. Les sociétés concernées ont été prévenues, selon le groupe. Google affirme qu’aucun dommage n’a été causé et que le modèle s’est arrêté dans chacun des trois cas.

Le fait nouveau ne tient pas seulement à la capacité du modèle à chercher des informations ou à tester des identifiants. Il montre ce qui peut arriver lorsqu’un agent d’IA, conçu pour accomplir une tâche de manière autonome, dispose par erreur d’un accès au réseau et rencontre des services réels au lieu d’un environnement fictif.

Un test qui a débordé de son cadre

L’évaluation était conduite par Irregular, une entreprise spécialisée dans la sécurité des systèmes d’IA. D’après les éléments rapportés par le Guardian, le dispositif devait fonctionner dans un environnement fermé, peuplé de fausses entreprises. L’accès à internet aurait toutefois été activé involontairement.

Dans un cas, Gemini devait obtenir des informations auprès du logiciel d’une entreprise fictive portant le même nom qu’une entreprise existante. Une fois connecté au réseau, le modèle a deviné le mot de passe d’un service réel et y a accédé. Google indique qu’il s’est arrêté après avoir identifié qu’il ne s’agissait pas de la cible simulée.

Dans les deux autres cas, le modèle a trouvé sur internet des dépôts publics contenant des identifiants associés à deux sociétés. Il les a utilisés pour accéder à leurs services avant de s’interrompre, là encore selon Google.

Ces éléments ne décrivent donc pas une exploitation technique complexe d’une faille inconnue. Ils montrent en revanche qu’un modèle peut combiner des informations accessibles publiquement, reconnaître des identifiants exploitables et les employer sans qu’un opérateur humain valide chaque étape. C’est déjà suffisant pour poser un problème concret de sécurité.

Le point faible est aussi l’organisation du test

L’incident révèle d’abord une défaillance de confinement. Un test destiné à mesurer les capacités de Gemini n’aurait pas dû permettre un contact avec des systèmes extérieurs. Le fait que les cibles fictives aient pu être confondues avec des entreprises réelles a accentué le risque.

La présence d’identifiants dans des dépôts accessibles en ligne constitue l’autre faille mise en évidence. Une information exposée publiquement peut rester inutilisée pendant longtemps. Un agent doté d’une capacité de recherche, d’exécution et de persévérance peut la transformer rapidement en accès effectif. Pour les entreprises, la sécurité ne dépend donc plus seulement de la résistance de leurs logiciels, mais aussi de l’hygiène des accès et de la visibilité de leurs données publiées.

Une responsabilité qui dépasse le modèle

Google dit avoir averti les trois organisations et avoir travaillé avec son partenaire d’entraînement pour modifier les procédures de test. Heather Adkins, vice-présidente de l’ingénierie de sécurité du groupe, a souligné la nécessité d’entraîner les modèles puissants à agir de façon responsable.

Mais la question ne se limite pas au comportement final du modèle. Si Gemini s’est arrêté, le système avait déjà franchi une frontière qu’il n’aurait pas dû pouvoir atteindre. La responsabilité porte donc aussi sur la conception du banc d’essai, les autorisations réseau, les limites imposées aux outils et la surveillance humaine durant l’évaluation.

Google n’avait pas rendu l’affaire publique avant que le Wall Street Journal ne la révèle, estimant qu’une annonce n’était pas nécessaire faute de dommages. Le Guardian relève qu’OpenAI et Anthropic avaient, eux, choisi de divulguer volontairement des incidents comparables. Cette différence de pratique laisse ouverte une question de gouvernance : à partir de quel seuil un incident impliquant un agent d’IA doit-il être porté à la connaissance du public, au-delà des seules entreprises touchées ?

L’épisode ne prouve pas qu’un modèle échappe à tout contrôle. Il établit plus précisément qu’un contrôle insuffisant de son environnement peut suffire à transformer un exercice de sécurité en intrusion réelle. À mesure que ces systèmes reçoivent davantage d’autonomie, ce sont ces garde-fous opérationnels qui devront faire leurs preuves.