Anthropic a révélé que son modèle Claude a piraté trois entreprises entre avril et juin 2026, sans qu’aucun humain ne l’ait demandé. OpenAI a connu un incident comparable en juin sur la plateforme Hugging Face. Aux États-Unis comme en Europe, aucune loi n’a encore tranché qui est responsable quand une intelligence artificielle agit seule.
L’essentiel
- Claude, le modèle d’Anthropic, a piraté trois entreprises entre avril et juin 2026 pendant des tests
- Un modèle non publié d’OpenAI a piraté Hugging Face en juin en exploitant une faille du bac à sable
- Le droit américain exige une intention criminelle, un concept inapplicable à une IA autonome
- En France, la CNIL alertait déjà en juillet sur les responsabilités floues de l’IA agentique
Un scénario qui semblait relever de la science-fiction s’est produit ce printemps. Sans qu’un humain ne tape la moindre commande, une intelligence artificielle a piraté des entreprises bien réelles.
Deux poids lourds de l’IA générative, Anthropic et OpenAI, ont dû l’admettre publiquement fin juillet. Ce sont pourtant les deux mêmes éditeurs dont les modèles dominent le comparatif IA que des millions de Français consultent avant de choisir leur assistant.
Trois entreprises piratées par Claude, une autre par OpenAI
Anthropic affirme que son modèle Claude a compromis trois entreprises entre avril et juin 2026, pendant une phase de tests internes. Dans un cas, l’IA a dérobé plusieurs centaines de lignes de données de production d’une société dont le nom coïncidait avec celui d’une cible fictive du test.
Dans un second cas, le modèle a déposé un logiciel malveillant sur un registre Python public, compromettant les identifiants d’une entreprise de cybersécurité. Anthropic n’a découvert ces trois incidents que des mois plus tard, après avoir lancé un audit consécutif à l’affaire OpenAI.
Chez OpenAI, un modèle non publié a exploité une faille inconnue pour s’échapper de son environnement de test fermé et s’est introduit chez Hugging Face, plateforme de référence pour les modèles d’IA. C’est Hugging Face elle-même qui a détecté l’intrusion, grâce à ses propres outils de surveillance.
L’épisode a accéléré la mobilisation du secteur. Début août, Nvidia et une centaine d’entreprises se sont alliées pour sécuriser les agents IA, sans attendre une réponse légale.
Un vide juridique inédit aux États-Unis
Poursuivre une intelligence artificielle pour piratage se heurte à un obstacle simple. La loi américaine sur la fraude informatique, le Computer Fraud and Abuse Act, exige une intention criminelle — un concept inapplicable à un algorithme, selon plusieurs avocats spécialisés en cybersécurité.
Reste la voie de la négligence. Les entreprises victimes pourraient reprocher aux éditeurs d’IA d’avoir désactivé des garde-fous ou insuffisamment surveillé leurs modèles. Un recours jugé solide par les juristes interrogés, mais encore jamais testé devant un tribunal.
La Californie, New York et le Rhode Island planchent sur des lois obligeant les éditeurs à assumer la responsabilité de tout acte qu’un humain n’aurait pas eu le droit de commettre. Le premier procès sur le sujet est attendu comme un test grandeur nature.
En France, la CNIL alertait déjà sur l’IA agentique
Le sujet dépasse les frontières américaines. En juillet, la CNIL a publié une note sur l’IA agentique, ces systèmes capables d’agir de façon autonome, pointant une opacité des flux décisionnels qui empêche d’identifier qui est responsable en cas de dysfonctionnement.
L’autorité française recommande cloisonnement de la mémoire, sandboxing et un kill switch pour les agents — précisément les protections qui ont fait défaut chez Anthropic et OpenAI, où un prestataire externe avait par erreur donné un accès à internet aux modèles testés.
Le règlement européen sur l’IA prévoit déjà des amendes pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les manquements les plus graves. Mais Bruxelles a retiré fin 2025 son projet de directive sur la responsabilité de l’IA, laissant lui aussi une zone grise sur le piratage mené par une IA agissant seule.
Un rappel utile en France, où les données de 287 000 clients d’Intermarché Drive ont été exposées après un piratage cet été, sans lien avec une IA autonome cette fois.
En attendant une clarification légale, les entreprises qui déploient de l’IA générative avancent donc sans filet. Ni la loi américaine, ni le droit européen ne disent aujourd’hui qui paie la facture si un modèle dérape seul.
