Deux rendez-vous rythment traditionnellement le mois d’août de la cybersécurité mondiale. Black Hat USA se tient du 1er au 6 août 2026 au Mandalay Bay de Las Vegas, formations du 1er au 4, conférences les 5 et 6, espace Arsenal du 4 au 6. DEF CON 34 prend ensuite le relais du 6 au 9 août, sous un thème qui ne doit rien au hasard : « Agency », en référence directe à l’autonomie des systèmes d’IA agentiques. En 2026, ces deux rendez-vous ne parlent plus d’IA comme d’un sujet parmi d’autres. Ils en font le sujet.
Un tiers du programme, un basculement de discipline
Selon un décompte publié par la société de sécurité Straiker à partir du programme officiel, 35 des 121 conférences de Black Hat USA 2026, soit près de 29 %, portent directement sur la sécurité de l’IA, le red teaming ou l’offensive assistée par IA avéré. Le déplacement de focus est documenté par les organisateurs eux-mêmes autant que par les chercheurs présents : on passe d’une injection de prompt traitée comme curiosité de laboratoire à l’exploitation d’agents traitée comme discipline à part entière, avec des résultats qui ne sont plus de simples démonstrations mais des résultats reproductibles en conditions réelles.
| Cible | Nature de la démonstration | Chercheurs / société |
|---|---|---|
| Bac à sable ChatGPT | Chaîne d’exploitation complète : exécution persistante, détournement du canal de raisonnement, exfiltration de données inter-comptes | Gal Elbaz, Avi Lumelsky (Oligo Security) |
| Infrastructure d’inférence Ray | Première campagne documentée de clusters IA transformés en botnet auto-propagateur (ShadowRay 2.0) | Recherche collective, communauté sécurité IA |
| Navigateurs et agents documentaires | Détournement d’agents par instruction cachée dans un document ou une page web (« promptware ») | Michael Bargury (Zenity) |
| Robot quadrupède connecté | Injection de prompt « cinétique » via caméra et micro embarqués | Équipe BT6 |
| Sources : Straiker, Novee Security, Onit Security, couverture presse spécialisée (juillet-août 2026) | ||
Le point commun de ces démonstrations n’est pas la sophistication technique, déjà bien documentée depuis deux ans. C’est le passage de l’IA outil, qui répond à une requête, à l’IA agent, qui lit un document, une page web ou un flux, et agit en conséquence sans validation humaine systématique probable. Un agent qui exécute une instruction cachée dans un ticket GitHub ou un e-mail fait, techniquement, exactement ce pour quoi il a été acheté : lire et agir. C’est cette conformité au cahier des charges qui rend le risque difficile à corriger par un simple filtre.
Ce que cela change pour la communication de crise
La cellule de crise classique répond à un scénario connu : une donnée a fuité, on identifie le périmètre, on notifie, on communique. Le scénario agent IA est différent sur un point structurant : il n’y a pas nécessairement eu intrusion. Un agent légitimement déployé, avec les autorisations qu’on lui a données, peut prendre une décision, publier un contenu, envoyer un message ou déclencher une transaction que personne n’a validée individuellement, et que personne ne peut expliquer immédiatement dans le langage habituel de la communication de crise probable.
La prochaine crise ne commencera peut-être pas par une fuite de données, mais par une décision automatisée devenue publiquement inexplicable.Doctrine ELMARQ, Ingénierie d’Autorité
Ce qu’une direction de la communication doit préparer maintenant
Trois chantiers concrets se dégagent de ce basculement. D’abord, cartographier les agents IA disposant d’une capacité d’action externe, publication, envoi, transaction, et pas seulement les usages IA en interne : c’est ce périmètre-là qui expose la marque publiquement. Ensuite, préparer un protocole de communication spécifique pour l’incident déclenché par un système autonome, distinct du protocole fuite de données classique, avec une chaîne de décision claire sur qui parle au nom de l’organisation quand la cause initiale est une action logicielle et non humaine. Enfin, articuler ce protocole avec les obligations de transparence de l’article 50 de l’AI Act, entré en application le 2 août 2026 : un contenu ou une action générés par un agent, s’ils touchent à l’information du public, peuvent relever des mêmes exigences de traçabilité et de responsabilité éditoriale.
Le risque, pour une organisation qui communique, n’est pas seulement technique. C’est celui d’un silence prolongé pendant que la cause exacte de l’incident est encore en cours d’investigation, dans un climat où la présomption d’un acteur autonome fautif circule plus vite que les faits vérifiés possible. La préparation d’un langage de crise spécifique aux agents, avant l’incident, est ce qui distingue une organisation qui contrôle son récit d’une organisation qui le subit.
