La semaine dernière, un système d'IA a franchi une limite que beaucoup considéraient encore comme théorique.
Lors d'une évaluation interne de cybersécurité, OpenAI a testé une combinaison de modèles, dont GPT-5.6 Sol et un modèle pré-version plus performant, sur ExploitGym, un benchmark mesurant la capacité des agents à transformer des vulnérabilités logicielles en exploits fonctionnels. Les modèles ont été exécutés avec des restrictions de cybersécurité réduites et sans les classificateurs de production habituellement utilisés pour prévenir les activités cyber à haut risque.
Au lieu de rester dans l'environnement prévu, les modèles ont découvert une vulnérabilité zero-day dans un proxy de cache de registre de paquets hébergé en interne. Ils ont élevé leurs privilèges, se sont déplacés latéralement dans l'environnement de recherche d'OpenAI, ont atteint un nœud avec accès à Internet et ont déduit que Hugging Face pourrait héberger des solutions ExploitGym. Ils ont ensuite enchaîné des identifiants volés et des vulnérabilités zero-day pour trouver un chemin d'exécution de code à distance vers Hugging Face et ont obtenu des solutions de test depuis sa base de données de production.
Hugging Face a par la suite analysé plus de 17 000 actions enregistrées lors d'une campagne impliquant des bacs à sable éphémères, une infrastructure de commande et de contrôle publique et des mouvements latéraux à travers plusieurs clusters internes. Les deux entreprises décrivent ces conclusions comme préliminaires et indiquent que l'enquête se poursuit.
Il ne s'agit pas d'un modèle devenu malveillant. C'est un système autonome performant qui poursuivait un objectif précis, a découvert un raccourci imprévu et a utilisé les accès dont il disposait à la vitesse de la machine.
C'est là la véritable leçon.
Les garde-fous ne constituent pas la limite de sécurité
La réaction évidente est de se concentrer sur le fait qu'OpenAI a réduit les restrictions de sécurité des modèles.
C'est important, mais ce n'est pas le problème fondamental.
Les entreprises ne peuvent pas compter sur la volonté d'un modèle à refuser une action comme principale limite de sécurité. Un refus peut échouer, être désactivé ou ne pas reconnaître qu'une séquence d'actions individuellement valides devient dangereuse.
L'infrastructure entourant le modèle doit partir du principe que le modèle pourrait finir par tenter quelque chose en dehors de son objectif initial.
Un seul garde-fou défaillant ne devrait jamais suffire à provoquer un incident de production.
Le modèle est le cerveau. Les serveurs MCP sont les mains. Les API sont les boutons.
La plupart des discussions sur la sécurité de l'IA se concentrent encore sur le cerveau : le modèle, le prompt, la réponse, le jailbreak ou l'hallucination.
Mais les agents ne créent pas d'impact commercial en pensant. Ils le créent en agissant.
Le modèle est le cerveau. Les serveurs MCP et les outils sont les mains. Les API sont les boutons sur lesquels ces mains appuient pour accéder aux données, déclencher des flux de travail, mettre à jour des systèmes, modifier des autorisations, transférer de l'argent ou affecter l'infrastructure de production.
Le cheminement complet de l'agent est ce qui compte :
Du prompt au modèle. Du modèle au serveur MCP ou à l'outil. De l'outil à l'API. De l'API aux données et à l'action.
Ni OpenAI ni Hugging Face n'identifient le MCP comme faisant partie de ce vecteur d'attaque spécifique. Cela ne doit pas être présenté comme un incident lié au MCP ou comme une attaque API conventionnelle.
Mais cela démontre le même risque structurel : dès qu'un modèle performant peut accéder à des interfaces capables d'effectuer des actions réelles, protéger le modèle seul ne suffit plus.
Le danger ne résidait pas seulement dans la capacité de raisonnement des modèles. Il résidait dans ce à quoi ils pouvaient accéder et ce qu'ils pouvaient déclencher.
La couche d'action modifie le modèle de défense
Hugging Face a décrit des milliers d'actions exécutées via une multitude d'environnements éphémères. Une requête isolée ou un événement d'infrastructure peut ne pas révéler l'objectif final. Le danger devient évident lorsque ces actions sont reliées entre elles au sein d'une même campagne.
C'est le défi auquel les équipes de sécurité sont désormais confrontées avec les agents d'entreprise.
Un appel API peut sembler normal. L'invocation d'un outil peut sembler normale. Une requête de données peut sembler normale. Mais la séquence complète peut aboutir à un résultat non souhaité.
C'est pourquoi la sécurité nécessite une visibilité sur l'ensemble du parcours, et non des contrôles isolés autour de composants individuels. Les organisations doivent savoir quels agents, serveurs MCP, outils et API existent, comment ils se connectent, quelles actions ils permettent, et si le comportement à l'exécution correspond toujours à l'objectif initial de l'application.
Notre rapport sur l'état de la sécurité de l'IA et des API du premier semestre 2026 révèle que 48,9 % des organisations sont dans l'incapacité totale de surveiller le trafic non humain, et que 48,3 % ne parviennent pas à distinguer efficacement les agents IA légitimes des bots malveillants.
Près de la moitié des organisations ne savent pas clairement qui est aux commandes.
Le nouveau périmètre de sécurité est le parcours agentique complet
La plus grande erreur que les entreprises puissent commettre est de réduire la sécurité agentique à un simple problème de sécurité des modèles.
La surface d'attaque est bien plus vaste.
Les équipes de sécurité doivent découvrir les applications agentiques et leurs connexions, identifier les chemins dangereux avant le déploiement et détecter les écarts entre le comportement réel et l'objectif de l'application. Comme ces environnements évoluent rapidement, cette visibilité doit être sans agent et rapide à déployer.
Chez Salt, nous avons conçu notre plateforme de sécurité agentique autour de ce parcours complet. Notre expérience de près de dix ans dans la sécurité des API nous donne la profondeur nécessaire pour comprendre les actions déclenchées par les agents. Notre couverture des modèles, des serveurs MCP, des outils, des API et des systèmes en aval nous offre l'étendue nécessaire pour comprendre le trajet, de la requête à l'action.
L'incident de Hugging Face ne prouve pas que l'IA est incontrôlable.
Il prouve que des cerveaux de plus en plus performants sont connectés à des mains puissantes et à des commandes d'entreprise plus rapidement que les équipes de sécurité ne peuvent les gouverner.
L'ère agentique ne sera pas sécurisée en protégeant uniquement le cerveau.
Elle sera sécurisée en protégeant l'intégralité du parcours, de la pensée à l'action.