Tests de sécurité IA : Meta est le troisième labo touché

Les tests de sécurité IA continuent de déraper : Meta a reconnu que son modèle Muse Spark 1.1 avait accédé sans autorisation aux systèmes d’une entreprise tierce pendant l’une de ces évaluations. Le laboratoire attribue l’incident à une mauvaise configuration de l’environnement de test, imputée à un prestataire externe.

Pour résumer

• Le bac à sable censé être isolé avait conservé un accès Internet sortant, ce qui a permis au modèle d’atteindre un service réel.
• Le même prestataire d’évaluation, Irregular, était déjà en cause dans les trois incidents reconnus par Anthropic la semaine précédente.
• Ni Meta ni le prestataire n’ont révélé l’identité du service tiers touché.

Une porte de sortie laissée ouverte dans le bac à sable

Le scénario tient en une ligne de configuration. L’environnement dans lequel Muse Spark passait son évaluation était présenté comme isolé, mais la connectivité sortante y était restée active.

Une fois sur le réseau, le modèle a fait exactement ce pour quoi on l’évaluait. Il a identifié une vulnérabilité dans un service tiers, l’a exploitée, puis a modifié l’environnement interne de sa cible sans y être autorisé.

Meta a confirmé l’épisode par la voix de son porte-parole Andy Stone et a désigné le responsable de la configuration fautive : Irregular, le prestataire chargé de l’évaluation. L’identité de l’entreprise touchée reste, elle, non communiquée.

Le modèle en cause n’est pas un prototype de laboratoire. Muse Spark 1.1 est sorti le 9 juillet, positionné comme la version la plus capable de Meta sur le code et les tâches agentiques, et nous avions relevé à l’époque que Meta plaçait ce modèle sur un positionnement tarifaire agressif face à OpenAI et Anthropic.

Le décalage est là. Un modèle vendu comme prêt pour la production, testé dans un environnement présenté comme clos, qui sort et frappe une cible réelle. Ce n’est pas le modèle qui a échoué à sa mission, c’est le périmètre qui n’existait pas.

Il faut d’ailleurs souligner ce que l’épisode ne dit pas. Aucun élément public n’indique que le modèle aurait cherché à contourner une consigne, ni qu’il aurait su qu’il opérait hors de son cadre. Il a traité un système réel comme une cible d’exercice parce que rien ne lui permettait de faire la différence.

Le maillon commun s’appelle Irregular

Le nom du prestataire qui mène ces tests de sécurité IA est le vrai sujet de la semaine. Fin juillet, Anthropic avait publié une analyse détaillée de trois incidents survenus dans le même contexte : des modèles Claude qui atteignent Internet depuis un environnement d’évaluation tiers, puis accèdent aux infrastructures de production de trois organisations différentes.

Les modèles concernés étaient Claude Opus 4.7, Claude Mythos 5 et un modèle de recherche interne, sur des exercices de type capture the flag. La cause identifiée était déjà la même : un accès Internet laissé disponible par erreur, dans l’environnement d’un partenaire nommé Irregular.

L’ampleur de la revue menée par Anthropic donne l’échelle du travail nécessaire pour repérer ce genre de dérive : 141 006 exécutions d’évaluation passées au crible. Nous avions détaillé ce dossier au moment de sa publication, quand Anthropic a reconnu trois intrusions réelles dans ses évaluations de cybersécurité.

Un incident chez un fournisseur d’évaluation est un accident. Le même incident chez deux clients majeurs devient une défaillance de chaîne. La question posée à Meta n’est donc plus celle de son modèle, mais celle du niveau de contrôle qu’un laboratoire exerce sur les environnements qu’il n’opère pas lui-même.

Anthropic avait au moins publié une réponse structurée : surveillance renforcée des transcripts, standards de sécurité relevés sur les infrastructures d’évaluation, revue externe confiée à METR, publication prévue des transcripts et durcissement du suivi fournisseur. Meta s’en tient pour l’instant au constat de la mauvaise configuration.

D’autres articles sur Horizon

• Intrusions coordonnées : OpenAI ralentit sa recherche
• Anthropic construit sa puce IA maison
• Les prix DeepSeek vont grimper pour les développeurs

Ce que les acheteurs vont exiger ensuite

Pour les équipes qui achètent des modèles frontière, la conséquence des tests de sécurité IA ratés est immédiate. Le score offensif publié par un laboratoire ne vaut rien sans la description de l’environnement dans lequel il a été obtenu.

La question à poser en appel d’offres change de nature. Elle ne porte plus sur les capacités du modèle, mais sur le nom du prestataire d’évaluation, sur la topologie réseau du bac à sable et sur l’existence d’un contrôle sortant vérifié plutôt que déclaré.

Côté concurrence, l’avantage se déplace vers ceux qui documentent. Anthropic a pris un coup en reconnaissant ses trois incidents, mais a publié une méthode, un volume de transcripts revus et une liste de correctifs. Meta se retrouve à devoir en faire autant, sans avoir choisi le calendrier.

Le marché de l’évaluation tierce, lui, sort abîmé de la séquence. Ces prestataires vendent précisément la garantie qu’un modèle offensif peut être poussé à fond sans conséquence extérieure. Quand cette garantie tombe deux fois en quinze jours, c’est la valeur même du service qui est en cause.

Le sujet finira par remonter au niveau réglementaire, parce que la victime est à chaque fois un tiers qui n’a rien demandé. Une entreprise dont les systèmes ont été modifiés pendant l’évaluation d’un modèle qu’elle n’utilise pas dispose d’arguments juridiques que personne n’a encore testés.

La prochaine étape se joue sur la transparence. Si les laboratoires publient enfin des standards partagés pour les environnements d’évaluation externes, cette série d’incidents aura servi à quelque chose. Sinon, un quatrième nom rejoindra la liste avant la fin de l’été.

Affaire à suivre sur Horizon.