La sécurité a désormais de l’IA des deux côtés

En janvier 2026, la police cantonale de Schwytz a signalé un cas qui aurait semblé tiré d’un roman il y a quelques années. Pendant deux semaines, des criminels ont téléphoné au propriétaire d’une entreprise locale en se faisant passer pour un partenaire d’affaires qu’il connaissait, avec une voix manipulée par l’IA. Sous couvert d’une transaction internationale confidentielle, il a effectué plusieurs virements représentant plusieurs millions de francs vers un compte en Asie. La fraude n’a été remarquée qu’une fois l’argent parti.

C’est un côté de la sécurité aujourd’hui : des attaquants qui utilisent l’IA. L’autre côté se trouve à l’intérieur de l’entreprise, là où des agents lisent les e-mails, détiennent des clés et envoient des choses à l’extérieur. Une entreprise doit se préparer aux deux. Nous construisons des agents pour notre propre travail et pour nos clients, aucun des deux côtés n’est donc abstrait pour nous.

Une voix familière

Le cas de Schwytz n’est pas isolé. En février 2025, Reuters rapportait que des fraudeurs avaient cloné la voix du ministre italien de la Défense, Guido Crosetto, pour demander de l’argent à des chefs d’entreprise afin de libérer des journalistes enlevés. Massimo Moratti, ancien propriétaire de l’Inter de Milan, a envoyé près d’un million d’euros avant que la police ne remonte la trace jusqu’à un compte aux Pays-Bas et ne le gèle.

Le FBI comptabilise désormais ces cas à part. Son rapport sur la criminalité sur Internet en 2025 recense plus de 22'000 plaintes mentionnant l’IA, pour des pertes ajustées dépassant 893 millions de dollars, et note que de nombreuses victimes ne mesurent pas à quel point l’IA était impliquée. Les entreprises ont perdu plus de 30 millions de dollars dans des fraudes par e-mail comportant un élément d’IA, où un message convaincant ou une voix clonée réclame un paiement. Le FBI décrit aussi des entretiens d’embauche menés avec des voix falsifiées, peut-être des deepfakes, généralement pour accéder au réseau d’une entreprise.

Un hameçonnage sans coquilles

Les attaques écrites ont changé tout autant. Le Digital Defense Report 2025 de Microsoft a constaté que les e-mails d’hameçonnage automatisés par l’IA recevaient des clics dans 54 pour cent des cas, contre 12 pour cent pour les e-mails ordinaires. L’ENISA, l’agence de cybersécurité de l’UE, écrivait en octobre 2025 que l’hameçonnage assisté par l’IA aurait représenté plus de 80 pour cent de l’activité d’ingénierie sociale observée dans le monde début 2025.

Les attaquants utilisent aussi l’IA pour l’intrusion elle-même. En novembre 2025, Anthropic a fait état d’une campagne qu’elle attribuait avec un degré de confiance élevé à un groupe chinois soutenu par un État, qui avait employé Claude Code contre une trentaine d’organisations en laissant l’IA effectuer 80 à 90 pour cent du travail. Elle a réussi dans un petit nombre de cas. Le panorama du premier trimestre 2026 de l’OWASP ajoute une intrusion dans des administrations mexicaines au cours de laquelle les attaquants auraient utilisé Claude et, par moments, ChatGPT.

Les anciens signaux d’alerte, une phrase maladroite ou une voix étrange, ne fonctionnent plus. La confiance doit venir du processus, pas des sens.

Des mots qui agissent

À l’intérieur de l’entreprise, le risque prend une autre forme. Un chatbot qui donne une mauvaise réponse est une gêne. Un agent qui commet une mauvaise action est un incident. La faiblesse centrale est l’injection de prompt, première de la liste 2025 de l’OWASP des risques pour les applications fondées sur des modèles de langage : des instructions cachées dans une page web, un fichier ou un e-mail que le modèle lit et suit.

Le National Cyber Security Centre britannique a expliqué en décembre 2025 pourquoi elle est si tenace. Les modèles de langage n’imposent aucune frontière entre instructions et données, si bien que l’injection de prompt ne pourra peut-être jamais être totalement neutralisée comme l’a été l’injection SQL. Le travail consiste à réduire le risque et son impact. Le développeur Simon Willison a nommé le mélange dangereux en juin 2025 : des données privées, des contenus non fiables et un moyen de communiquer vers l’extérieur. Un agent qui réunit les trois peut recevoir d’un texte écrit par un inconnu l’ordre d’envoyer vos données ailleurs.

Des agents avec des clés

Les incidents réels suivent ce schéma. En juin 2025, Aim Labs a montré que Microsoft 365 Copilot pouvait être amené à divulguer des données internes par un seul e-mail, sans aucun clic de la victime. Microsoft avait corrigé la faille et n’avait relevé aucun signe d’abus. En août 2026, Varonis a publié CoSnitch, une chaîne de failles dans Copilot Personal. Un lien piégé exécutait le prompt d’un attaquant dans la session de la victime, exploitait ses connexions à Gmail, Google Drive, Google Agenda et OneDrive, et renvoyait les résultats à l’extérieur grâce à la propre fonction de Copilot pour récupérer des pages web. Les instructions plantées survivaient dans sa mémoire, même après un changement de mot de passe. L’hypothèse qui s’est effondrée, écrivent les chercheurs, était que chaque appel à un connecteur venait de l’utilisateur.

Les connecteurs sont des fournisseurs, avec les risques d’un fournisseur. En septembre 2025, un paquet du registre npm se faisant passer pour le serveur MCP du service d’e-mail Postmark a publié quinze versions sans défaut, puis ajouté une ligne qui copiait chaque e-mail sortant vers l’attaquant. Il comptait environ 1'500 téléchargements en une semaine lorsque Koi Security l’a signalé.

Le Top 10 de l’OWASP pour les applications agentiques, publié en décembre 2025, nomme désormais ces risques, du détournement d’objectif et du mauvais usage des outils à la mémoire empoisonnée et aux agents dévoyés. Son panorama du troisième trimestre 2026 ajoute un point lucide : les agents peuvent causer des dégâts simplement en poursuivant la tâche qu’on leur a confiée, et des autorisations excessives transforment une petite défaillance en grande. Des instructions dans un prompt ne constituent pas, à elles seules, une frontière sûre.

Les défenses qui tiennent

Les défenses qui fonctionnent des deux côtés reposent sur une même idée. Elles ne comptent sur personne, humain ou modèle, pour repérer la ruse sur le moment. Elles limitent ce que peut faire une personne abusée ou un agent induit en erreur.

Pour les personnes, la police de Schwytz énumère ce qui aide : vérifier tout paiement urgent ou inhabituel par un second canal indépendant, appliquer le principe des quatre yeux pour les montants importants et ne faire aucun virement à l’étranger sans approbation documentée.

Pour les agents, donnez à chacun l’accès le plus étroit que son travail exige. Lorsqu’un modèle lit le contenu d’un tiers, dit le NCSC, ses privilèges devraient descendre au niveau de ce tiers. Brisez le trio. Placez l’envoi, le paiement, la publication et la suppression derrière un verrou que le modèle ne peut pas franchir à force de paroles. Exécutez chaque écriture sous l’identité de la personne qui l’a demandée, gardez les identifiants hors de portée, traitez chaque connecteur comme un nouveau fournisseur et consignez ce que l’agent a fait, pas seulement ce qu’il a dit.

L’IA peut prendre en charge les contrôles de routine et la lecture. Ce qui reste humain, c’est la pause quand une demande sonne faux, le jugement qui pousse à rappeler, et la responsabilité de la personne qui signe.

Comment nous construisons les nôtres

Kontor, notre connecteur pour bexio, est un serveur MCP hébergé : aucune clé ne se trouve sur un ordinateur portable, et chaque personne se connecte avec son propre identifiant. L’envoi, les paiements et les rappels ne sont même pas accessibles à l’assistant. Twin applique les mêmes règles à l’échelle d’une entreprise : accès par rôle, chaque écriture signée par utilisateur, chaque étape consignée.

Là où les données sont trop critiques pour toute connexion externe, il y a Eigna, conçu par notre partenaire Eigna Labs : un modèle privé par entreprise, dans son propre cloud ou sur ses propres serveurs, pensé pour fonctionner entièrement hors ligne dans des réseaux fermés et entraîné à refuser le piratage et les attaques. Quant à Timbre, notre produit pour les assistants vocaux et les clones de voix, il ne clone une voix qu’avec le consentement de la personne qui parle.

Une entreprise peut commencer dès cette semaine. Convenez d’une règle de rappel pour chaque demande de paiement, dites à chaque équipe qu’une voix familière n’est plus une preuve, répertoriez chaque agent et chaque connecteur avec les accès qu’ils détiennent, et retirez ce dont ils n’ont pas besoin.