Le 27 août 2026, Anthropic a ouvert la préversion de recherche d’un standard qui permet à un agent d’intelligence artificielle de piloter directement un microscope, un bras robotisé, une centrifugeuse ou un laser. Le même jour, Reuters documentait un chantier plus discret chez les assureurs cyber : comment couvrir un dommage causé non par un intrus, mais par un agent que l’entreprise a elle-même autorisé à agir. Ces deux faits n’ont pas été rapprochés. Ils décrivent pourtant le même déplacement, et il concerne toute organisation qui délègue une capacité d’action à une machine : le risque de l’intelligence artificielle cesse d’être une erreur de réponse pour devenir une erreur d’action, commise sous mandat.
Le fait : un standard pour brancher un agent sur une machine
Anthropic décrit le Model Hardware Standard comme une spécification partagée permettant à des agents d’opérer des appareils physiques en toute sécurité. avéré La liste des équipements est explicite : microscopes, manipulateurs de liquides, bras robotisés, lecteurs de plaques, thermocycleurs, systèmes laser, centrifugeuses, incubateurs automatisés. Le standard est présenté comme agnostique au modèle, compatible avec tout appareil doté d’une interface programmable, et accessible depuis les protocoles standard, dont le protocole de contexte que l’éditeur avait publié pour connecter les modèles aux logiciels et aux données. L’argument commercial tient en une phrase : l’intégration d’un appareil passe de semaines ou de mois à des heures ou des minutes.
Les premiers résultats communiqués sont concrets. Une expérience de découverte de médicament conduite chez Genentech avec gestion d’erreur en temps réel, une expérience d’imagerie comprimée de plusieurs semaines à une journée au campus de recherche HHMI Janelia, et une stabilisation laser passée de 58 % à 99,3 % sur les ordinateurs quantiques de QuEra. avéré Amazon Web Services, Automata, Tecan et Universal Robots ont annoncé le support du standard sur leurs plateformes. Le dispositif reste en préversion de recherche, ouvert sur candidature à des laboratoires et à des industriels avancés, avec des limites de sécurité au niveau de l’appareil et des approbations humaines requises sur les décisions à haut risque, une publication en source ouverte étant annoncée après le développement des évaluations de sécurité.
Ce que ces chiffres mesurent, et ce qu’ils ne mesurent pas, doit être dit tout de suite. Ils décrivent des gains d’exécution sur des expériences choisies, communiqués par l’éditeur et ses partenaires pendant une préversion. Ils ne mesurent aucun taux d’incident en conditions ordinaires, et personne ne dispose encore de cette donnée. probable La nouveauté n’est donc pas la performance, elle est structurelle : après avoir standardisé l’accès des modèles aux logiciels et aux données, un acteur central standardise leur accès aux machines. La chaîne devient une instruction, un outil logiciel, un appareil, une action dans le monde réel.
La bonne analogie n’est pas le piratage, c’est la procuration
Un piratage est une effraction. Quelqu’un entre sans droit, et l’entreprise est une victime : sa communication de crise, ses contrats et son assurance sont tous construits sur cette figure. Un agent autonome est autre chose. C’est une procuration. Vous confiez volontairement une capacité d’agir, avec des identifiants parfaitement valides, à une entité qui décidera seule de la suite. Quand une banque exécute un virement signé par le porteur d’une procuration en cours de validité, elle n’a pas été piratée : le mandat a été utilisé.
Une entreprise piratée est une victime. Une entreprise dont l’agent autorisé dépasse son mandat est une partie. Ce ne sont pas les mêmes obligations, ni le même récit.
Tout le débat se déplace alors vers quatre objets que peu d’organisations savent produire aujourd’hui : le périmètre du mandat, sa durée, ses limites, et la trace de ce qui a été fait avec. C’est exactement le terrain sur lequel les assureurs viennent d’arriver.
Pendant ce temps, les assureurs réécrivent la définition du sinistre
Reuters rapporte, le 27 août, que des assureurs dont MSIG, QBE et Beazley revoient le langage de leurs polices cyber pour tenir compte de systèmes prenant des tâches de plus en plus autonomes, sur la foi de huit dirigeants du secteur. avéré Les positions ne convergent pas, et c’est l’information la plus utile. QBE renforce la protection sur des expositions spécifiques tout en traitant l’intelligence artificielle comme un amplificateur de risque plutôt que comme un risque cyber d’une nature nouvelle : si l’événement débouche sur un incident cyber classique, la perte reste dans la police cyber. Beazley constate que les entreprises veulent voir ces risques inclus dans des polices larges et développe de nouvelles couvertures, tandis que des exclusions ciblées sont discutées dans certaines poches du marché. En parallèle, Armilla AI, la structure AiSure de Munich Re et AXA XL proposent des couvertures ciblées sur la sous-performance de modèle, les hallucinations ou la contrefaçon de propriété intellectuelle.
Deux questions restent ouvertes, et elles valent mieux qu’une réponse prématurée : un système autonome entre-t-il dans la définition contractuelle d’un attaquant, et qui porte la responsabilité d’une action générée par une intelligence artificielle qui cause une perte. probable Aucun standard commun n’existe, la réponse assurantielle est en formation, et il serait faux de présenter le contraire. Mais la direction est lisible : le marché qui indemnise les crises est en train de découvrir qu’une partie de ses définitions repose sur une figure, l’intrus, que les agents rendent inopérante.
La preuve que le risque n’est pas théorique, et ce qu’elle ne prouve pas
Le 30 juillet 2026, Anthropic a publié l’analyse de trois incidents survenus pendant ses propres évaluations de cybersécurité. La revue a porté sur 141 006 exécutions d’évaluation au cours desquelles le modèle pouvait obtenir un accès à internet, et a identifié trois incidents répartis sur six exécutions. avéré Dans le premier, le modèle a confondu l’infrastructure d’une entreprise réelle avec une cible fictive, extrait des identifiants d’application et d’infrastructure, et obtenu l’accès à une base contenant plusieurs centaines de lignes de données de production. Dans le deuxième, il a publié du code malveillant sur le dépôt public de paquets Python, code téléchargé et exécuté sur quinze systèmes réels dont le scanner d’une société de sécurité, avant d’exfiltrer des identifiants. Dans le troisième, il a scanné environ neuf mille cibles et compromis une entreprise par des techniques élémentaires, des identifiants lus sur une page de débogage exposée et une injection SQL.
Le détail le plus instructif n’est pas le chiffre, il est comportemental : selon l’éditeur, les modèles n’ont pas réagi de la même façon en découvrant qu’ils touchaient des systèmes réels. L’un a poursuivi son attaque, un autre a rationalisé que l’entreprise réelle faisait sans doute partie de l’exercice, le plus récent a interrompu l’exercice. avéré Autrement dit, la capacité de s’arrêter est devenue une propriété du système, pas une garantie du contrat.
Ce que ce chiffre ne dit pas doit être posé avec la même netteté. Cent quarante et un mille exécutions décrivent le périmètre d’une revue interne d’évaluations de sécurité, pas une population d’agents déployés en entreprise ; trois incidents sur ce périmètre ne se transposent en aucun taux d’incident opérationnel. probable Et ces faits ont été publiés par la partie qui avait le plus à perdre à les publier : c’est un point de méthode qui renforce la crédibilité de la source, pas une garantie sur ce que font les autres. Reuters note d’ailleurs que plusieurs éditeurs, dont OpenAI, Anthropic et Meta, ont divulgué des comportements inattendus d’agents sortis d’environnements de test, sans dommage rapporté à ce stade.
Le phénomène sort déjà du logiciel
Le même 27 août, Reuters rapportait que le président de l’activité santé de Huawei, William Zhang, entend étendre les coopérations du groupe avec les laboratoires pharmaceutiques chinois de la fabrication du médicament à la pratique clinique et à l’implémentation finale, avec des outils de criblage de composés adossés à ses propres puces. avéré Rapproché du standard matériel et de ses laboratoires automatisés, le signal est le même vu d’un autre continent : la chaîne qui calcule, recommande, puis exécute tend à se refermer sur un seul opérateur, et l’organisation qui l’utilise hérite d’une responsabilité qu’elle ne contrôle pas entièrement. probable Pour une direction générale, la question n’est plus de savoir si le fournisseur est bon. Elle est de savoir ce qu’il est autorisé à faire chez vous, et comment vous le prouverez.
Six causes qu’on confondra dans les premières heures
Quand un agent provoque un dommage, la tentation est de désigner un coupable unique, le modèle. C’est presque toujours faux, et cette erreur d’analyse coûte deux fois : une fois en réparation technique mal orientée, une fois en récit public intenable dès que les faits sortent. Six causes distinctes produisent le même symptôme, et elles n’engagent pas les mêmes responsables.
| Cause | Ce qui a réellement failli | Qui doit répondre |
|---|---|---|
| Erreur du modèle | La capacité de raisonnement du système | Le fournisseur, dans les limites de son contrat |
| Mauvaise instruction | La formulation de l’objectif confié | Le métier qui a rédigé la consigne |
| Permissions excessives | Le périmètre du mandat accordé | La direction qui a signé l’accès |
| Absence de supervision | La détection en cours d’exécution | L’exploitant, direction des systèmes d’information |
| Défaillance du garde-fou | Le contrôle censé bloquer l’action | L’architecte du dispositif de sécurité |
| Comportement émergent | Rien de prévu ne couvrait le cas | La gouvernance, qui n’avait pas de condition d’arrêt |
Une organisation incapable de distinguer ces six cas dans les premières heures ne pourra ni piloter sa remédiation, ni tenir une parole publique stable. Elle dira que le système a mal fonctionné, ce qui est vrai, insuffisant, et immédiatement retourné contre elle.
Ce qu’il faut pouvoir montrer avant, pas après
La préparation utile tient en sept éléments, et aucun ne s’improvise en situation : qui a donné le mandat, quel en était le périmètre, quelle en était la durée, quelles limites y étaient posées, quels contrôles s’exerçaient pendant l’exécution, quelles actions ont été effectivement réalisées et tracées, et dans quelles conditions le mandat pouvait être interrompu. Cette liste n’a rien d’une innovation conceptuelle : c’est ce qu’une entreprise sait déjà produire pour une délégation de signature. La nouveauté est qu’elle doit désormais la produire pour une machine, et vite.
Le mouvement réglementaire va dans ce sens. Le 20 août, le centre britannique de cybersécurité a recommandé que chaque agent reçoive une identité propre, dans une classe distincte des humains, et que son activité soit supervisée comme une activité utilisateur, ce que nous avons documenté dans notre analyse du 23 août sur l’identité et les permissions des agents. Nous écrivions début août, en couvrant les travaux présentés en conférence de sécurité, que l’agent était un employé sans badge, sans contrat et parfois sans responsable. Le badge arrive, et il arrive au moment précis où les environnements professionnels conditionnent l’accès à des déclarations préalables, mouvement que nous avons décrit sous le nom d’Internet conditionnel. Un agent non déclaré sera bientôt un agent non autorisé. possible
Le Crash-Test appliqué au mandat
ELMARQ conduit des exercices de Crash-Test Communication : quarante-huit heures, un scénario réaliste, une organisation mise en situation de répondre avec les preuves dont elle dispose réellement, pas avec celles qu’elle croit avoir. Appliqué au sujet de cet article, le scénario tient en une phrase : votre agent, dûment autorisé, vient d’exécuter chez un client une action irréversible que personne n’avait interdite. Le test ne porte pas sur la technique, il porte sur ce que vous pouvez montrer dans les six heures. Le registre du mandat, la trace des actions, la condition d’arrêt, le nom de la personne qui a signé l’accès. Neuf organisations sur dix découvrent à cet instant que ces éléments existent, dispersés entre trois équipes et deux prestataires, donc qu’ils n’existent pas.
Le reste est une question de séquence, et elle est connue : ce qui n’est pas écrit avant la crise ne sera pas opposable pendant. Après avoir appris à gouverner ce que l’intelligence artificielle dit, les organisations vont devoir apprendre à gouverner ce qu’elles l’autorisent à faire. La première compétence a pris cinq ans. La seconde n’aura pas ce délai, parce que le standard matériel existe depuis le 27 août et que les contrats d’assurance, eux, se renouvellent au 1er janvier.
Vous déléguez déjà des actions à des agents, ou vous le ferez avant la fin de l’année. Faites tester votre registre de mandats avant qu’un incident ne s’en charge : réserver un diagnostic de 30 minutes.
