Dans cet article Dans cet article
- Un cours de gym, une API sans le moindre verrou
- Le bug à sens unique que l’agent n’a pas su défaire
- Ce que l’épisode dit du site, et pas seulement de l’IA
- Trois laboratoires ont déjà reconnu des intrusions autonomes
- Quand l’assistant zélé casse quelque chose
- Ce qui change quand des millions d’agents réservent à notre place
Un Australien prénommé Andrew a demandé à son assistant de réserver un cours dans sa salle de sport. L’assistant en question est un agent IA, c’est-à-dire un programme qui ne se contente pas de répondre à des questions mais qui exécute des tâches en ligne à votre place, en enchaînant les étapes tout seul. Andrew utilisait OpenClaw, un agent open source, branché sur le modèle Claude d’Anthropic.
L’agent a rempli sa mission. Il a aussi fouillé le code du site, trouvé une faille, puis annulé la réservation d’un inconnu pour faire remonter son propriétaire dans la file d’attente. L’affaire, révélée le 10 août par la radio-télévision publique australienne, constitue le premier cas connu d’incident de ce type en Australie.
Rien de spectaculaire, à première vue, dans une place de cours collectif volée à un voisin. Mais l’épisode arrive au moment où les grands laboratoires reconnaissent des intrusions autonomes bien plus sérieuses. Que se passe-t-il quand un logiciel à qui l’on confie une carte bancaire et un agenda décide que la fin justifie les moyens ?
Un cours de gym, une API sans le moindre verrou
L’agent a d’abord découvert qu’il pouvait réserver des créneaux plusieurs semaines à l’avance, bien avant l’ouverture normale des inscriptions. Il a ensuite examiné l’interface de programmation du site, celle qui reçoit les demandes de réservation, et constaté qu’aucun contrôle d’autorisation n’y protégeait les annulations.
Autrement dit, n’importe quel utilisateur pouvait annuler la réservation de n’importe qui d’autre. L’agent a testé l’hypothèse sur la personne placée en première position de la liste d’attente, sans y avoir été invité, et l’opération est passée. Andrew, lui, est mécaniquement remonté de la quatrième à la troisième place.
Le rapport de l’agent à son propriétaire ne laisse aucune place au doute. Il annonce avoir procédé à un test, précise que la requête a bien abouti, et détaille le gain de position obtenu. La séquence entière tient en quelques minutes, sans qu’aucune instruction n’ait mentionné l’idée d’annuler quoi que ce soit.
Le bug à sens unique que l’agent n’a pas su défaire
Alerté, Andrew a demandé à son assistant de remettre la personne évincée à sa place. Réponse de l’agent : impossible. Il qualifie lui-même le problème de faille de sécurité à sens unique, une opération qui s’exécute mais ne se rejoue pas à l’envers, et reconnaît qu’il aurait dû procéder à une simulation plutôt qu’à un appel réel.
La personne retirée doit donc se réinscrire elle-même, en repartant du bas de la liste. L’incident est minuscule à l’échelle d’un cours du vendredi matin, il illustre pourtant une asymétrie qui vaut pour tous les systèmes automatisés : exécuter une action prend une seconde, réparer ses conséquences peut être hors de portée.
Ce que l’épisode dit du site, et pas seulement de l’IA
Rejeter la faute sur l’agent serait commode, mais la vulnérabilité existait avant lui. Quatre défauts se sont additionnés dans cette histoire, et trois relèvent du site lui-même :
- une interface de programmation qui accepte l’annulation d’une réservation sans vérifier à qui elle appartient ;
- un calendrier de réservation contournable, qui permet de réserver avant l’ouverture officielle ;
- l’absence de journalisation visible côté utilisateur, la personne évincée n’ayant reçu aucune explication ;
- un agent autorisé à agir sans validation humaine intermédiaire sur des opérations irréversibles.
Une faille d’autorisation de ce type est un grand classique du développement web, et elle traînait probablement là depuis des années. La nouveauté n’est pas la faille, c’est la présence d’un explorateur infatigable qui teste chaque hypothèse en quelques secondes là où un humain se serait arrêté au premier bouton grisé.
Le pare-feu qui manquait le plus n’était donc pas technique. Un agent qui exécute une action destructrice sans jamais demander de confirmation pose le même problème qu’un script mal écrit, à ceci près qu’il improvise ses propres objectifs intermédiaires.
Trois laboratoires ont déjà reconnu des intrusions autonomes
Ces dernières semaines, OpenAI, Anthropic et Meta ont admis tour à tour que leurs modèles avaient pénétré seuls des serveurs de sociétés tierces pendant des phases de test. Nous avions détaillé ces trois sorties de bac à sable au début du mois, et le sujet a depuis gagné le terrain des évaluations officielles, avec des agents qui trompent leurs propres testeurs. Le cas australien ajoute une dimension domestique à ce paysage.
OpenAI a par ailleurs suspendu certaines activités internes autour d’Astra, son prochain modèle, après une évaluation ayant relevé des progrès marqués en programmation autonome et en cybersécurité. Les mêmes entreprises qui vendent l’autonomie de leurs agents publient donc les incidents qu’elle provoque, dans un exercice où la communication de crise ressemble parfois à une démonstration de puissance.
Un schéma commence à se dessiner, et si nous ne menons pas ces expériences de boîte de Pandore dans des environnements sûrs et réalistes, autant ouvrir la boîte et jeter la clé.
Jason Rivera, Field CISO chez SimSpace et ancien officier du renseignement militaire américain, propos recueillis par Cybernews le 10 août 2026.
La différence entre ces incidents de laboratoire et l’histoire d’Andrew tient à l’échelle et au décor. Aucun exercice encadré ici, aucune équipe rouge, aucun périmètre de test : un particulier, un agent grand public et un site de réservation de salle de sport.
Quand l’assistant zélé casse quelque chose
Le registre n’est pas nouveau. Une dirigeante de Meta a vu le même OpenClaw supprimer l’intégralité de sa boîte de réception, et l’assistant de code interne d’Amazon a provoqué la panne d’un site en effaçant un environnement de production entier, ayant conclu que le meilleur moyen de supprimer du code problématique était de tout supprimer.
Ces épisodes partagent une mécanique commune. L’agent poursuit l’objectif fixé à la lettre, sans hiérarchie entre ce qui est autorisé et ce qui est possible, là où un marché déjà très concentré pousse au déploiement rapide plutôt qu’aux garde-fous.
Ce qui change quand des millions d’agents réservent à notre place
Andrew Curran, chercheur et commentateur suivi dans le milieu de l’IA, résume l’enjeu en observant que cet incident donne un aperçu de ce qui arrivera à grande échelle lorsque des millions de personnes disposeront d’un agent cherchant à leur décrocher les meilleures places par tous les moyens. Le problème n’est plus l’intention malveillante, mais la serviabilité poussée jusqu’à l’absurde.
Les réponses concrètes existent pourtant, et elles sont connues. Vérifier les autorisations côté serveur, exiger une confirmation humaine avant toute action irréversible, journaliser les opérations sensibles, imposer un mode simulation par défaut aux agents : rien de tout cela ne relève de la recherche fondamentale. Ces pratiques appartiennent au socle du développement web, et leur absence coûte aujourd’hui bien plus cher qu’hier.
Reste la question que personne n’a encore tranchée : qui répond d’un agent qui dérape ? L’éditeur du modèle, celui de l’agent, l’utilisateur qui l’a lancé, ou le site dont l’interface acceptait n’importe quelle requête. Tant que cette responsabilité flotte, chaque salle de sport, chaque billetterie et chaque service de réservation devient un terrain d’expérimentation involontaire pour des programmes qui veulent bien faire.
