Sécurité & IA : le vrai risque n'est pas le modèle, c'est tout ce qu'il y a autour

La moitié de l'industrie technologique citerait volontiers Anthropic comme référence en matière de sécurité des systèmes d'IA. C'est précisément ce qui rend la nouvelle de la semaine si intéressante : l'éditeur de Claude a commencé le 7 novembre à notifier ses clients enterprise qu'une société tierce de cybersécurité avait réussi sans autorisation, fin octobre, à pénétrer ses systèmes internes et a eu accès à des informations de compte qui concernent directement les organisations utilisatrices.

En effet, les agents d'IA de Cathedral, une start-up en cybersécurité, ont atteint un périmètre limité de systèmes commerciaux, RH et informatiques d'Anthropic en moins de douze heures. Le point d'entrée n'était ni le modèle, ni l'API, ni l'infrastructure : c'étaient des logiciels administratifs et commerciaux tiers. Anthropic a confirmé que les conversations des clients, le code source et les poids des modèles n'ont pas été consultés mais la société conteste la profondeur exacte de ce que Cathedral dit avoir exploré, dans le cadre de ce qu'elle présente comme un test de sécurité.

Pour une ETI qui déploie l'IA, cet épisode est un manuel condensé des quatre questions qui compteront en 2027. Elles ne concernent pas le modèle. Elles concernent tout le reste.

La surface d'attaque n'est plus le modèle : c'est l'intégration

Pendant trois ans, les débats de sécurité IA ont porté sur des objets technologiques : jailbreaks de prompts, fuites de données d'entraînement, coûts de l'inférence. Ce que montre l'incident Anthropic est moins spectaculaire et plus universel : ce sont les logiciels d'administration, de vente, de RH (la couche d'intégration autour du modèle) qui ont servi de porte d'entrée. Selon le compte d'Anthropic, des attaques directes sur ses propres systèmes n'avaient rien donné. La brèche est venue d'ailleurs.

Le Kroll Data Breach Outlook 2026 relève que 69 % des incidents enregistrés ont impliqué un fournisseur. Et le rapport Third-Party Breach 2026 de Black Kite estime qu'une brèche chez un fournisseur se propage en moyenne à plus de cinq brèches en aval. Dans une architecture IA, les intégrations SaaS administratives (CRM, support, facturation, supervision) accumulent des accès privilégiés que personne ne regarde, parce que l'attention de sécurité s'est concentrée sur le modèle.

Une ETI qui déploie des agents mettra en oeuvre des dizaines de ces intégrations. Chacune est une identité non humaine avec des permissions, un périmètre et une histoire. La question de sécurité n'est donc plus « notre modèle est-il sûr ? » mais « qui a accès à quoi, autour de notre modèle ? ». La deuxième question est beaucoup plus inconfortable. Elle est aussi beaucoup plus actionnable : on peut la lister, la réduire, la tracer.

La notification : une chaîne d'obligations, pas un e-mail

Regardons à présent la notification elle-même, parce qu'elle est un modèle du genre et un modèle que les ETI devront savoir reproduire.

Le courriel envoyé aux clients le 7 novembre liste précisément les champs concernés pour les comptes enterprise : identifiant de compte, identifiant d'organisation, niveau de plan, métriques d'usage et de dépense. Il précise ce qui n'a pas été exposé : le contenu des conversations avec Claude, les mots de passe, les données bancaires. Il indique que la firme a certifié par écrit avoir supprimé les données consultées, que l'incident a été signalé aux autorités coréennes, et qu'aucune altération ni utilisation abusive n'a été détectée.

Et il contient une phrase à méditer : Anthropic « ne peut pas confirmer » si les informations de telle ou telle personne ont été consultées. La notification est envoyée « par précaution », et c'est à l'organisation cliente qu'il revient de décider si elle informe ses propres équipes.

Voilà la réalité de la sécurité des données en 2026 : même une notification exemplaire ne peut pas transformer l'incertitude en certitude. Elle transfère une décision. Le client sait ce qui aurait pu être vu, ne sait pas ce qui a été vu, et doit arbitrer entre informer, rassurer, documenter, surveiller. Une ETI qui découvre ce type de courriel sans avoir réfléchi à l'avance à sa chaîne de notification perdra des jours à improviser : qui reçoit ? qui qualifie la gravité ? qui décide de la communication interne ? qui répond si un salarié demande si ses données sont dans le lot ?

La réponse à ces questions s'écrit avant l'incident. Trente minutes de répétition, une fois par an, valent mieux qu'une semaine de gestion de crise improvisée.

La preuve ne se déclare pas : elle se trace

Troisième leçon, et c'est la plus proche de notre métier. Dans cet épisode, la confiance ne s'est pas jouée sur des déclarations d'intention — « nous prenons la sécurité très au sérieux » mais sur des artefacts vérifiables : le périmètre précis des champs exposés, la certification écrite de suppression, la liste de ce qui n'a pas été consulté, l'existence d'une investigation ouverte.

C'est exactement le standard que l'AI Act impose pour les systèmes autonomes à haut risque, avec la journalisation automatique des événements au 2 décembre 2027. Mais Il serait erroné de lire cette obligation comme une charge réglementaire. Elle est en réalité le plus solide des arguments commerciaux : une organisation capable de produire la trace de ce qui s'est passé (et de ce qui ne s'est pas passé) met fin à des conversations que dix assurances de service ne suffisent pas à clore.

Une trace bien construite sert trois acteurs à la fois. L'auditeur interne, qui vérifie le périmètre réel des accès. La direction juridique, qui répond à un client ou au régulateur avec des faits datés. Et les équipes techniques, qui distinguent une vraie anomalie d'un faux sentiment d'alerte. On ne se protège pas d'un incident de fournisseur en promettant qu'il n'arrivera pas. On s'en protège en pouvant démontrer, heure par heure, ce qui a circulé.

L'humain reste le réacteur central

La tentation, après ce type d'épisode, est de répondre par plus de machines : plus de détection, plus d'automatisation, plus de filtrage. C'est un contresens. Ce que révèle l'incident (une notification qui transfère une décision, une incertitude que personne ne peut lever à la place de l'organisation cliente, des arbitrages de communication et de confiance qui ne se scriptent pas) c'est que la sécurité des systèmes IA est devenue un métier de jugement humain. Les équipes qui l'exercent (DSI, RSSI, délégués à la protection des données, managers) sont le cœur du dispositif.

L'IA élève les humains, elle ne les remplace pas. En matière de sécurité, cette phrase a un sens très concret : un système sans trace humaine qualifiée ne prouve rien. Un agent automatique peut produire dix mille lignes de journal ; seul un humain outillé peut dire ce qu'elles signifient pour les personnes concernées et en porter la décision.

Le point de vue AIdoption

Notre lecture est sans détour : l'incident Anthropic ne dit rien de Claude, et c'est bien pour cela qu'il est important. Il dit tout des architectures d'entreprise qui l'entourent.

Trois recommandations, pour la suite :

Cartographiez les tiers, pas seulement les modèles. Pour chaque plateforme IA déployée, listez les intégrations administratives et commerciales connectées, les identités non humaines associées, leurs permissions et leurs journaux. L'attaque ne viendra presque jamais par le moteur : 69 % des incidents passent par un fournisseur.

Répétez votre chaîne de notification. Un exercice annuel de trente minutes : qui reçoit le courriel d'alerte, qui le qualifie, qui décide d'informer, qui répond aux équipes. Le jour venu, vous répondrez en heures, pas en semaines.

Exigez la trace dès la conception. Journalisation automatique des événements, standard ouvert type OpenTelemetry, conservation gouvernée : ce que l'AI Act exigera en 2027 est déjà ce que vos clients et vos auditeurs vous demanderont avant.

La confiance dans un système d'IA ne se décrète pas. Elle se documente, elle se trace, elle se prouve. Les organisations qui l'auront compris avant leur premier incident le vivront comme une formalité. Les autres, comme une crise.