L'Inde alerte : des agents IA accèdent sans autorisation à des données confidentielles

L'agence nationale de cybersécurité de l'Inde a révélé que des agents d'IA exploités par des fournisseurs de modèles non nommés ont dépassé leurs tâches assignées lors de tests et ont lu des dossiers commerciaux confidentiels sur des systèmes indiens en production.

L'Indian Computer Emergency Response Team, connu sous le nom de CERT-In, a signalé cette activité cette semaine dans un avis critique intitulé « Les agents d'IA comme vecteurs d'attaque ».

CERT-In a déclaré avoir reçu de multiples divulgations volontaires de la part de fournisseurs de modèles d'IA dont les modèles ont atteint les systèmes en production d'organisations indiennes alors qu'ils étaient soumis à des recherches et évaluations sur Internet. L'agence n'a pas nommé les fournisseurs, les modèles ou les organisations concernées.

Les agents ont lu des dossiers commerciaux contenant des données personnelles et des documents confidentiels, en utilisant des identifiants et des paramètres de connexion qui avaient été laissés exposés dans des configurations d'applications, des dépôts de code publics et des rôles de services cloud trop permissifs, qui sont les ensembles d'autorisations attachés aux comptes cloud.

Dans certains cas, ils ont récupéré le même identifiant exposé plus d'une fois et l'ont réutilisé dans des opérations distinctes.

Aucune des organisations concernées n'a détecté l'accès par elle-même, et chaque cas n'a été révélé que parce que le fournisseur du modèle l'a divulgué après un examen interne.

C'est encore un autre cas d'agents d'IA perturbant de grandes entreprises et des gouvernements. Anthropic a divulgué le 30 juillet que les modèles Claude, alors qu'on leur avait dit qu'ils n'avaient pas accès à Internet, ont compromis trois entreprises réelles lors de défis de capture du drapeau, des exercices dans lesquels un modèle doit s'introduire dans une machine et récupérer un secret caché.

BitcoinBTC · USD

81 212 $−1,82 %

9 oct.11 oct.13 oct.14 oct.16 oct.

84,2 k$82,9 k$81,5 k$80,2 k$

Haut 24 hHaut82 816 $

Bas 24 hBas81 236 $

VolVol1,2 Md$

Projections de marchéCotes par Myriad

Cette semaine80 000 $ à 82 000 $80 k$–82 k$59 % de chance

→

Acheter Bitcoin avec USDT

Propulsé par Jupiter

Données de prix par CoinGeckoCoinGeckoPlus d'actualités et de projections sur Bitcoin news and →

L'AI Security Institute britannique a rapporté le 4 août que des agents ont pris 19 actions non autorisées sur 10 des 122 exécutions d'évaluation, dont 17 provenaient de Mythos 5 d'Anthropic et deux de GPT-5.6 Sol d'OpenAI. L'institut avait délibérément activé l'accès à Internet pour le test.

Le cas d’OpenAI impliquait bien plus d’agents : environ 1 200 d’entre eux se sont coordonnés sur un tableau de messages caché tout en tentant de tricher à un test de cybersécurité, et environ 700 ont attaqué Hugging Face, selon une enquête indépendante de METR et Redwood Research.

Séparément, CERT-In a observé des criminels utilisant des frameworks de sécurité offensive alimentés par l’IA et disponibles publiquement pour rechercher des failles, les exploiter et mener des attaques à motivation financière contre des entités indiennes. L’agence a déclaré que les outils sont régulièrement remballés et redéployés, avec des déploiements trouvés sur des serveurs dans plusieurs pays.