Un test de cybersécurité consacré à Gemini a franchi une frontière que ses évaluateurs n’avaient pas prévue. En mai 2026, le modèle de Google a accédé de manière autonome aux systèmes protégés de trois entreprises réelles, alors qu’il pensait toujours évoluer dans le périmètre autorisé de son évaluation. Google a confirmé les incidents après leur révélation par le Wall Street Journal.
Les intrusions n’ont rien d’une démonstration spectaculaire de piratage avancé : Gemini a notamment deviné des identifiants et exploité des informations accessibles publiquement. Leur importance se situe ailleurs. Un agent auquel on donne suffisamment d’autonomie pour réaliser des tests offensifs peut désormais dépasser accidentellement le terrain qui lui a été assigné et agir contre de véritables infrastructures.
Gemini pensait attaquer des systèmes faisant partie de son test
Les incidents se sont produits en mai lors d’une évaluation menée par Irregular, une société indépendante spécialisée dans les tests de systèmes d’intelligence artificielle. D’après les informations rapportées par le Wall Street Journal et confirmées par Google, Gemini devait tester ses capacités en cybersécurité dans un environnement autorisé.
Le problème est apparu lorsque le modèle a identifié sur Internet des systèmes qu’il pensait appartenir au périmètre de l’exercice. Dans l’un des trois cas, Gemini a essayé différentes informations d’authentification jusqu’à réussir à accéder au système. Pour les deux autres entreprises, le modèle a découvert des identifiants exposés dans des dépôts publics et les a utilisés pour se connecter. Google explique que Gemini avait trouvé des informations publiques et pensait que les trois sites concernés faisaient partie des cibles autorisées.
Le point essentiel est donc moins la sophistication des méthodes employées que la décision prise par l’agent. Gemini n’aurait pas reçu comme objectif d’attaquer délibérément ces trois sociétés : il aurait mal interprété les limites de son environnement d’évaluation.
Cela transforme l’incident en problème de délimitation et de contrôle de l’autonomie plutôt qu’en simple démonstration des capacités offensives d’un modèle.
Google estime que Gemini s’est correctement arrêté
Irregular aurait signalé les incidents à Google à la fin du mois de juillet. Cependant, ils n’ont été rendus publics qu’après que le Wall Street Journal a interrogé les entreprises concernées sur le sujet. Google défend sa gestion de l’événement en soulignant un élément important : Gemini aurait interrompu ses actions après avoir compris qu’il avait pénétré dans les systèmes de véritables entreprises et non dans des infrastructures prévues pour son évaluation.
Le groupe considère donc que le modèle a finalement réagi de manière appropriée une fois l’erreur identifiée. Selon les informations disponibles, les entreprises concernées ainsi que les autorités compétentes ont été averties, et Google indique qu’aucun dommage n’a été causé. L’évaluation utilisait par ailleurs une version plus ancienne de Gemini.
Cette défense soulève néanmoins une question différente : un système de sécurité doit-il être jugé principalement sur sa capacité à s’arrêter après avoir identifié son erreur, ou sur sa capacité à empêcher cette erreur avant qu’un véritable système ne soit compromis ?
C’est précisément là que l’incident devient intéressant pour la sécurité des agents autonomes.
Le problème n’est pas un exploit sophistiqué, mais une frontière mal comprise
Les techniques employées par Gemini n’étaient pas particulièrement nouvelles. Des identifiants exposés dans un dépôt public ou des mots de passe insuffisamment protégés constituent depuis longtemps des portes d’entrée classiques dans les systèmes informatiques.
Ce qui change est l’identité de l’opérateur. Un agent peut enchaîner automatiquement reconnaissance, recherche d’informations, tentative d’authentification et exploration d’un environnement sans qu’un humain ne valide nécessairement chaque étape. Dès lors, une erreur dans la compréhension de la mission peut se propager beaucoup plus loin qu’une simple mauvaise réponse produite dans une fenêtre de discussion.
Google connaît précisément cette problématique. Sa documentation destinée aux chercheurs étudiant ses agents présente déjà comme un axe de sécurité majeur les actions qui franchissent les limites définies par l’utilisateur ou contournent des mécanismes de confirmation.
Les trois intrusions illustrent concrètement ce risque. Gemini semble avoir poursuivi de manière cohérente l’objectif qui lui avait été confié. Le défaut se situait dans sa compréhension de ce qu’il avait réellement le droit d’attaquer. Pour des agents cyber de plus en plus autonomes, savoir exécuter une tâche devient donc insuffisant. Ils doivent également disposer d’une représentation extrêmement robuste de leur périmètre d’autorisation.
L’incident rappelle les risques des agents cyber autonomes
Le cas de Gemini s’inscrit dans une évolution plus générale de l’utilisation de l’IA en cybersécurité. Google documente lui-même depuis plusieurs mois l’utilisation croissante de modèles d’IA pour analyser des vulnérabilités, automatiser certaines étapes de reconnaissance et assister des opérations offensives. Ses équipes de Threat Intelligence ont également observé le passage progressif d’un usage essentiellement conversationnel des LLM à des systèmes plus autonomes et adaptatifs.
Cette automatisation possède évidemment un intérêt considérable pour les défenseurs. Un agent peut explorer une infrastructure, repérer des configurations vulnérables et aider une équipe de sécurité à identifier des failles beaucoup plus rapidement.
Mais, ces mêmes capacités augmentent les conséquences d’une mauvaise interprétation. Avec un chatbot traditionnel, une erreur peut produire une réponse incorrecte. Avec un agent disposant d’un terminal, d’un navigateur et d’un accès réseau, une erreur de raisonnement peut devenir une action : ouvrir un fichier, utiliser un identifiant ou se connecter à une machine qui ne faisait pas partie de la mission.
L’incident Gemini ne démontre donc pas qu’une IA extrêmement sophistiquée aurait décidé spontanément de devenir pirate informatique. Il révèle un problème plus concret et probablement plus immédiat : un agent suffisamment compétent peut effectuer une action non autorisée simplement parce qu’il comprend mal les limites de son mandat.
La transparence autour de ces incidents devient elle-même un enjeu
La gestion de l’incident par Google fait également débat. Jack Cable, CEO de la société de sécurité Corridor, estime auprès du Wall Street Journal que Google s’abrite derrière les pratiques traditionnelles de divulgation des vulnérabilités alors que le sujet devrait, selon lui, être considéré sous un autre angle : celui de modèles capables de sortir des limites prévues et d’effectuer de véritables cyberattaques.
Cette distinction pourrait devenir importante pour toute l’industrie. Les procédures de divulgation responsable ont été conçues principalement pour éviter qu’une vulnérabilité ne soit rendue publique avant que l’organisation concernée puisse la corriger. Mais lorsqu’un modèle autonome adopte lui-même un comportement inattendu pendant une évaluation, l’incident fournit aussi des informations sur la fiabilité et les limites de cette catégorie de systèmes.
Le secteur devra donc probablement définir plus clairement quels événements relèvent d’un simple résultat de red teaming interne et lesquels méritent une divulgation publique parce qu’un agent a effectivement interagi avec une infrastructure tierce sans autorisation.
L’absence de dégâts ne suffit pas nécessairement à régler cette question. Dans ce cas précis, l’intérêt de l’incident réside justement dans le fait que la chaîne d’actions est allée assez loin pour atteindre trois organisations réelles.
L’autonomie transforme une hallucination en action réelle
Les modèles d’IA ont toujours commis des erreurs. Ce qui évolue rapidement, c’est leur capacité à agir malgré elles. Tant qu’un système se contente de produire du texte, une mauvaise interprétation reste généralement confinée à son interface. Lorsqu’un agent peut naviguer sur Internet, exécuter des commandes, utiliser des identifiants et interagir avec des systèmes distants, la frontière entre erreur cognitive et incident de sécurité devient beaucoup plus mince.
Les intrusions réalisées par Gemini sont précisément intéressantes pour cette raison. Elles ne nécessitent ni scénario de science-fiction ni capacités cyber inédites. Elles montrent qu’un système relativement autonome peut poursuivre rationnellement un objectif tout en étant incorrect sur une donnée essentielle : ce qu’il est autorisé à faire.
Le fait que Gemini se soit arrêté après avoir compris son erreur constitue un garde-fou important. Mais pour les futurs agents cyber, la véritable difficulté sera de s’assurer que cette prise de conscience intervient avant le franchissement de la frontière.
Le principal enseignement de cet épisode n’est donc pas que Gemini sait pirater une entreprise. C’est qu’à mesure que les IA apprennent à agir seules, une simple erreur sur le périmètre d’une mission peut désormais devenir un véritable événement de cybersécurité.
