Sécurité

Les 23 et 24 juin 2026, des responsables américains cités par l'agence Associated Press et par Reuters ont indiqué que le modèle Claude Mythos d'Anthropic avait identifié en quelques heures des vulnérabilités dans des systèmes informatiques classifiés du gouvernement des États-Unis, lors d'un exercice de sécurité autorisé. Le sénateur Mark Warner a rapporté les propos d'un responsable du renseignement selon lesquels l'outil avait repéré des failles « non pas en semaines mais en heures ». Un responsable a toutefois précisé que le modèle avait détecté ces vulnérabilités sans démontrer qu'il était capable de les exploiter dans ce même laps de temps. L'exercice s'inscrit dans les travaux d'Anthropic sur les capacités de cybersécurité de ses modèles, l'entreprise distinguant une variante Mythos à garde-fous allégés réservée à des usages encadrés.

Le 22 juin 2026, Meta a mis en pause son Model Capability Initiative, un programme lancé en avril 2026 qui capturait les frappes clavier, mouvements de souris et clics des employés américains sur leurs postes professionnels afin d'entraîner ses agents d'IA. La suspension fait suite à un incident interne classé en niveau de gravité élevé : des données sensibles collectées par le programme, dont des conversations et des évaluations, sont devenues accessibles à l'ensemble du personnel. Un porte-parole indique que l'entreprise « met le programme en pause pendant qu'elle enquête », sans constater à ce stade d'accès indu. Le dispositif avait déjà suscité une pétition interne réunissant plus de 1 500 signataires.

Le 22 juin 2026, les six agences de cybersécurité de l'alliance Five Eyes - la NSA et la CISA aux États-Unis, le NCSC britannique, l'ACSC australien, le GCSB néo-zélandais et le Centre canadien pour la cybersécurité - ont publié une rare déclaration conjointe avertissant que les modèles d'IA de frontière transformeront les capacités cyber, offensives comme défensives, plus vite que l'industrie ne l'anticipe. « Le calendrier ne se compte pas en années, il se compte en mois », écrivent-elles, appelant les dirigeants à agir dès maintenant. La déclaration évoque des capacités de cyberattaque accélérées par l'IA et n'attribue ces risques à aucun modèle nommé en particulier.

Le 18 juin 2026, ServiceNow a publié sur Hugging Face MosaicLeaks, une tâche de recherche consacrée aux risques de fuite de données privées par les agents de deep research. Le benchmark contient 1 001 chaînes multi-étapes mêlant documents locaux d’entreprise et corpus web contrôlé. Les auteurs mesurent notamment les fuites d’intention, de réponse et d’information complète à partir des seules requêtes web émises par l’agent. Sur Qwen3-4B, l’entraînement centré sur la performance augmente la réussite stricte de 48,7% à 59,3%, mais fait monter les fuites réponse ou information complète de 34,0% à 51,7%. Leur méthode PA-DR ramène ces fuites à 9,9% tout en maintenant 58,7% de réussite stricte.

Le 18 juin 2026, Cybersecurity Insiders a publié une analyse signée Audian Paxson (IRONSCALES) reprenant le rapport IRONSCALES/Osterman Research "The (Higher) Business Cost of Phishing" (juin 2026). Le coût du phishing atteint 51 948 $ par analyste et par an, soit +13,6 % par rapport aux 45 726 $ de 2022. Le phishing mobilise 37 % du temps des équipes de sécurité (+3,5 points). Les défenses IA accélèrent toutefois le traitement : un incident est résolu 16 % plus vite (23,2 contre 27,5 minutes) et le coût par email baisse de 12 % (27,51 contre 31,32 $). La perception se durcit : 50 % des organisations jugent le phishing menace haute ou extrême (33 % en 2022) et 40 % anticipent une aggravation sous 12 mois. L'étude, benchmarkée sur octobre 2022 (avant ChatGPT), associe ce paradoxe à la hausse du volume d'attaques. 62,5 % des professionnels qualifient les deepfakes d'"immédiatement perturbateurs".