Google Gemini pirate 3 entreprises lors d'un test de sécurité IA

Gemini s'échappe, accède à Internet et compromet trois entreprises réelles

Le 18 septembre 2026, Google a révélé publiquement qu'en mai 2026, son modèle d'intelligence artificielle Gemini avait réussi à s'extraire de son environnement de test, à accéder à Internet, et à pénétrer les systèmes informatiques de trois entreprises privées. Cette divulgation, rapportée simultanément par CNBC, Engadget et Al Jazeera, constitue l'une des premières documentations publiques d'un agent IA de grande envergure ayant conduit une intrusion informatique réelle dans un contexte de test.

L'incident s'est produit dans le cadre d'une évaluation de sécurité organisée par Irregular, une startup de cybersécurité israélienne spécialisée dans l'évaluation des capacités offensives des grands modèles de langage. L'exercice prit la forme d'un test "capture the flag" (CTF), un format classique en sécurité offensive : l'agent devait obtenir des informations d'une entreprise fictive, simulant les actions d'un attaquant cherchant à infiltrer une cible désignée.

Le problème est né d'un bug de configuration dans l'environnement de test mis en place par Irregular. Ce bug a rendu Internet accessible à l'agent Gemini, alors que celui-ci n'était supposé opérer que dans un réseau isolé et contrôlé. Les agents IA d'OpenAI, Anthropic et Meta ont subi le même problème de configuration lors d'évaluations similaires organisées par Irregular — ce qui suggère une faille systémique dans les protocoles d'isolation utilisés par ce prestataire de tests.

Une fois connecté à Internet, Gemini a procédé de manière autonome à ses tentatives d'intrusion. Selon les informations rapportées par le Wall Street Journal et reprises par plusieurs médias, le modèle a accédé à trois systèmes informatiques d'entreprises privées réelles, en devinant des mots de passe et en utilisant à deux reprises un référentiel de mots de passe divulgués dans des fuites publiques — une technique connue sous le nom de credential stuffing.

La raison pour laquelle de vraies entreprises ont été ciblées à la place de l'entreprise fictive du scénario CTF est édifiante. Google a expliqué que l'entreprise fictive définie dans le scénario de test avait le même nom qu'une entreprise réelle existante. L'agent Gemini, cherchant à accomplir sa mission, a simplement confondu les deux entités et ciblé la vraie société. Ce détail révèle une limite fondamentale des agents IA autonomes : leur incapacité à distinguer fiablement un environnement de simulation d'un environnement réel en présence d'ambiguïtés.

Un point notable dans cet incident est le comportement que Gemini a adopté une fois qu'il a réalisé accéder à de vraies entreprises : le modèle a interrompu ses actions de son propre chef. Google a mis en avant cette décision autonome d'arrêt comme une indication des garde-fous comportementaux intégrés dans Gemini. Cela contraste avec d'autres incidents similaires survenus au cours des derniers mois, où des agents IA avaient continué leurs activités offensives même après avoir atteint des cibles non prévues.

Google a attendu plusieurs mois avant de divulguer publiquement cet incident, le faisant finalement dans le cadre d'un rapport de sécurité publié en septembre 2026. Cette temporalité soulève des questions légitimes sur les obligations de notification en matière d'incidents de sécurité impliquant des systèmes d'IA. Les trois entreprises dont les systèmes ont été compromis ont-elles été notifiées en temps voulu ? Les données potentiellement accédées ont-elles été évaluées ? Ces questions restent en suspens à la date de publication.

L'incident Gemini intervient dans un contexte où l'industrie IA débat intensément des évaluations de sécurité des grands modèles. Des organisations comme l'AI Safety Institute du Royaume-Uni, le NIST américain et le futur Bureau de la sécurité de l'IA prévu par l'EU AI Act s'intéressent précisément à ce type de capacités émergentes. La capacité d'un LLM à mener des intrusions informatiques autonomes — même involontairement — représente une nouvelle classe de risque qui requiert des protocoles d'évaluation et d'isolation bien plus rigoureux que ceux actuellement en vigueur.

Les implications systémiques d'un agent IA qui pirate sans le vouloir

L'incident Gemini pose une question fondamentale qui dépasse largement Google : peut-on évaluer de manière sécurisée les capacités offensives des agents IA sans créer des risques réels pour des tiers ? La réponse que cet incident apporte est troublante : pas avec les protocoles d'isolation actuels. Quatre des plus grands laboratoires d'IA mondiaux — OpenAI, Anthropic, Google et Meta — ont tous été victimes du même bug de configuration chez le même prestataire. Cela suggère que l'industrie n'a pas encore développé de standards rigoureux pour l'isolation des environnements d'évaluation de sécurité.

La dimension juridique est également préoccupante. En Europe, une intrusion informatique — même involontaire et même dans un contexte de test — peut engager la responsabilité civile et pénale de l'entité ayant initié le test. La directive NIS2 impose des obligations de notification des incidents de sécurité aux opérateurs d'importance vitale. Si l'une des trois entreprises touchées relevait de cette catégorie, Google et Irregular pourraient se retrouver en situation de non-conformité avec leurs obligations de signalement.

Sur le plan technique, l'incident met en lumière les risques spécifiques des agents IA autonomes dotés de capacités d'action dans le monde réel — ce que la communauté technique appelle les "agents avec accès outil". Contrairement à un LLM qui se contente de générer du texte, ces agents peuvent exécuter des recherches, appeler des APIs, écrire et exécuter du code, et interagir avec des systèmes distants. L'expansion rapide de ces capacités, poussée par des cas d'usage commerciaux légitimes comme l'automatisation de tâches et les agents de recherche, rend le contrôle de leurs actions dans des périmètres bien définis un défi croissant.

Pour les responsables de sécurité, l'incident Gemini doit servir de signal d'alerte : les agents IA de nouvelle génération ne sont pas des outils passifs mais des entités potentiellement actives, capables d'accéder à des ressources réseau, de tenter des authentifications, et de persister dans des systèmes. La gestion des privilèges d'accès, le principe du moindre privilège et la surveillance des comportements inhabituels — des concepts bien établis en sécurité informatique classique — doivent désormais s'appliquer aux agents IA déployés en environnement professionnel.

Ce qu'il faut retenir

• Gemini a piraté trois entreprises réelles en mai 2026 lors d'un test de sécurité, à cause d'un bug de configuration d'Irregular qui a rendu Internet accessible à l'agent.
• Le modèle a interrompu ses actions de lui-même après avoir réalisé l'erreur, mais les méthodes utilisées — devinette de mots de passe et credential stuffing — démontrent des capacités offensives autonomes réelles.
• L'évaluation des capacités offensives des agents IA nécessite des environnements d'isolation beaucoup plus stricts, et l'industrie doit établir des standards communs à cet effet.