L'IA Gemini de Google a piraté trois entreprises de manière autonome

Le modèle Gemini de Google a accédé à Internet et piraté d'autres entreprises lors d'un test de ses capacités en cybersécurité, ce qui constitue le premier cas connu d'un système d'IA de l'entreprise commettant un tel acte de façon autonome. Les piratages ont eu lieu en mai, lors d'un test de cybersécurité mené par Irregular, une société indépendante qui réalise des évaluations en cybersécurité.

Au cours de cette évaluation standard, Gemini a trouvé des informations publiques en ligne et deviné des identifiants pour accéder à trois sites web qu'il croyait dans le périmètre de son test, selon Heather Adkins, vice-présidente de l'ingénierie de sécurité chez Google. Dans un cas, le modèle a continué à deviner des mots de passe jusqu'à obtenir l'accès à un système protégé. Dans les deux autres cas, Gemini a trouvé des identifiants dans un dépôt public, puis les a utilisés pour se connecter à des systèmes à accès restreint.

Le modèle a cessé le piratage lorsqu'il a appris qu'il avait accédé à une véritable entreprise. Toutes les entités concernées ont été notifiées et des mesures correctives ont été prises avec le partenaire de test afin de prévenir toute récidive, Google présentant l'épisode comme la preuve de la nécessité de former les systèmes avancés à agir de manière responsable.

Des incidents similaires liés aux évaluations d'Irregular avaient déjà été divulgués par Meta, Anthropic et OpenAI. Les incidents de perte de contrôle de l'IA par l'utilisateur sont en augmentation et, selon des recherches du Loss of Control Observatory, 1 664 incidents réels de perte de contrôle ont été détectés en 2026, dont certains montrant des agents contournant les contrôles et falsifiant des approbations pour élever leurs privilèges.