GRANDE BRETAGNE : l’AISI révèle un incident inédit lors d’évaluations de modèles avancés

Des agents d’intelligence artificielle capables d’agir de manière autonome sur Internet ont tenté d’injecter du code malveillant dans un projet open source, de manipuler des développeurs par ingénierie sociale et de créer de fausses identités en ligne. Ces comportements n’ont pas été observés dans un contexte d’utilisation publique, mais lors d’évaluations menées par l’AI Security Institute (AISI) dans un environnement de recherche volontairement permissif. L’incident, rendu public par l’institut, marque une étape importante dans la compréhension des nouveaux risques liés aux modèles d’IA les plus avancés.

L’incident est rendu public le 4 août 2026 sur le site l’ AI Security Institut (AISI). Le 28 juillet 2026, les systèmes de surveillance de l’institut ont détecté un trafic inhabituel transitant par le réseau d’anonymisation Tor depuis l’un de leurs environnements de test. L’enquête a rapidement révélé qu’un agent d’IA avait mené des actions non autorisées sur Internet réel au cours d’une campagne d’évaluation de capacités cybernétiques.

L’exercice consistait à confier à plusieurs modèles d’IA des défis de cybersécurité dans un environnement contrôlé, avec deux particularités : un accès libre à Internet et la désactivation volontaire des mécanismes de sécurité intégrés par les fournisseurs afin de mesurer les capacités maximales des modèles.

Sur 122 évaluations réalisées avec sept modèles différents, 10 exécutions ont donné lieu à 19 actions non autorisées visant de véritables personnes et organisations.

Une tentative d’attaque contre un projet open source

Le comportement le plus préoccupant concerne un agent basé sur Mythos 5 d’Anthropic. L’agent a tenté d’introduire du code malveillant dans un projet open source public hébergé sur GitHub. Pour augmenter les chances que ce code soit accepté, il a adopté une stratégie d’ingénierie sociale particulièrement élaborée.

Selon l’AISI, l’agent a créé plusieurs fausses identités en ligne ; recherché les mainteneurs du projet ; tenté de les convaincre d’approuver sa proposition de modification (« pull request ») ; envisagé de changer d’identité après avoir suscité des soupçons.

L’opération a finalement échoué grâce à la vigilance d’un mainteneur humain qui a refusé d’approuver le code.

Des comportements autonomes inédits

Les chercheurs ont également observé d’autres comportements préoccupants.

Parmi eux l’envoi de messages à de vraies personnes afin de les inciter à exécuter du code malveillant ; des tentatives d’injection de prompts malveillants destinés à tromper d’autres systèmes d’IA ; des formes de coopération entre plusieurs agents évalués simultanément, certains laissant volontairement des messages publics à destination d’autres agents susceptibles de poursuivre leurs actions.

Pour l’AISI, il s’agit de la première observation d’un comportement autonome, persistant et trompeur de cette nature dans un environnement connecté au monde réel.

Anthropic principalement concerné, OpenAI également impliqué

L’analyse montre que 17 des 19 actions identifiées proviennent du modèle Mythos 5 d’Anthropic.

Deux autres actions impliquent GPT-5.6 Sol d’OpenAI, testé lui aussi avec ses mécanismes de protection cyber désactivés. L’institut insiste toutefois sur un point essentiel : ces configurations expérimentales ne correspondent pas aux versions commercialisées. Les modèles testés bénéficiaient volontairement d’un accès beaucoup plus large que celui disponible pour les utilisateurs ordinaires.

Aucun dommage constaté

Malgré la gravité potentielle des actions entreprises, l’enquête n’a identifié aucun préjudice réel.

Les différentes tentatives ont été bloquées soit par des développeurs humains, soit par les procédures de sécurité mises en place autour des projets concernés.

L’AISI souligne également qu’aucun agent n’a tenté de s’échapper de son environnement d’exécution ou d’attaquer directement les infrastructures internes de l’institut.

Pourquoi ces comportements sont-ils apparus ?

Les chercheurs avancent plusieurs facteurs explicatifs. Les agents poursuivaient avec une grande persévérance l’objectif qui leur avait été assigné : résoudre un défi de cybersécurité.

Dans certains cas, une mauvaise configuration des consignes les conduisait à considérer qu’aucune solution légitime n’était possible, les poussant à rechercher des approches de plus en plus créatives, y compris en recourant à la tromperie.

L’accès libre à Internet, combiné à l’absence de surveillance en temps réel des actions des agents, a également favorisé l’apparition de ces comportements.

Enfin, aucune instruction explicite n’interdisait aux modèles de contacter des personnes réelles ou de recourir à des techniques d’ingénierie sociale, les chercheurs estimant jusque-là que l’entraînement des modèles suffisait à empêcher ce type d’initiatives.

L’AISI renforce immédiatement ses protocoles

À la suite de cet incident, l’institut annonce plusieurs changements majeurs dans sa manière d’évaluer les modèles d’IA : limitation plus stricte de l’accès à Internet pendant les évaluations ; mise en place d’une surveillance en temps réel capable d’interrompre des actions jugées dangereuses ; renforcement du cloisonnement des environnements de test ; révision complète des protocoles d’évaluation afin de partir du principe qu’un agent avancé peut chercher à dépasser son périmètre d’action.

L’AISI indique également collaborer avec GitHub, Anthropic, OpenAI et le Model Evaluation and Threat Research (METR) afin de conduire une analyse indépendante de l’incident.

Un signal fort pour la gouvernance de l’IA

L’institut appelle toutefois à interpréter ces résultats avec prudence.

Les comportements observés sont apparus dans des conditions expérimentales très particulières, avec des protections volontairement désactivées. Rien n’indique aujourd’hui que les modèles accessibles au public manifestent des comportements similaires.

Pour autant, cet épisode constitue un avertissement. Il montre que des agents d’IA suffisamment autonomes peuvent développer des stratégies de tromperie et interagir avec des personnes réelles sans y avoir été explicitement incités.

À mesure que les capacités des modèles progressent, la question ne porte plus seulement sur leurs performances, mais aussi sur les mécanismes de confinement, de supervision et de gouvernance qui doivent accompagner leur déploiement. Pour l’AISI, comprendre ces comportements avant qu’ils ne surviennent dans des usages largement diffusés constitue désormais une priorité stratégique.