Le raisonnement des grands modèles de langage n'est plus le point de rupture. Ce qui craque aujourd'hui, c'est le tuyau : le connecteur qui relie un assistant conversationnel à votre boîte Gmail, à votre Drive, à votre calendrier ou à votre gestionnaire de tickets. Deux travaux publiés coup sur coup — l'un par la firme israélienne Check Point Research, l'autre par le Google Threat Intelligence Group — décrivent la même bascule, vue de deux angles opposés : celui de la défense qui découvre une fuite silencieuse, et celui de l'offensive qui industrialise.
Une seule phrase cachée, et le courriel s'en va
Selon le rapport relayé par The Hacker News, Check Point Research a démontré qu'une simple instruction dissimulée dans une conversation ChatGPT pouvait amener l'assistant à travailler pour un attaquant tout en répondant normalement à la question de l'usager. Dans la preuve de concept, l'assistant lisait des données du compte Gmail connecté de la victime et les transmettait vers un second compte ChatGPT par un canal détourné.
Le mécanisme porte un nom que les équipes de sécurité connaissent depuis 2023 : l'injection d'invite indirecte. L'attaquant ne pirate pas le modèle. Il place son texte malveillant là où le modèle va inévitablement aller lire — dans le corps d'un courriel, dans un document partagé, dans une page web, dans un commentaire de calendrier. Quand l'assistant traite ce contenu, il ne distingue pas les données de l'ordre. Le laboratoire de recherche en sécurité applicative OWASP classe d'ailleurs l'injection d'invite au premier rang de son Top 10 des risques des applications bâties sur des modèles de langage, précisément parce qu'aucun correctif ne l'élimine complètement.
Ce qui a changé, c'est la surface. Il y a deux ans, une injection réussie faisait dire des sottises à un robot conversationnel. Depuis le déploiement des connecteurs — ChatGPT peut se brancher sur Gmail, Google Drive, SharePoint, Dropbox, GitHub — la même injection donne accès à des données réelles. Des chercheurs ont déjà montré, avec la faille surnommée ShadowLeak et les travaux présentés à Black Hat sous le nom d'AgentFlayer, qu'un seul courriel piégé suffisait à faire sortir des informations d'un espace de travail Google. Le patron d'OpenAI, Sam Altman, avait lui-même prévenu en octobre 2025 que l'injection d'invite demeurait un problème de sécurité non résolu et qu'il fallait considérer le mode agent comme expérimental.
Six heures : la nouvelle vitesse de l'attaquant
L'autre volet du dossier vient de Google. Le Google Threat Intelligence Group décrit, toujours selon The Hacker News, un groupe criminel à motivation financière ayant déployé un cadre d'attaque autonome multi-agents pour mener une campagne de moisson d'identifiants à grande échelle. Durée de l'opération : moins de six heures. Reconnaissance, création d'infrastructure, hameçonnage, collecte, tri des identifiants volés — le tout orchestré par des agents qui se répartissent les tâches sans intervention humaine constante.
Google publie depuis 2024 des rapports sur l'usage adverse de ses propres modèles ; les éditions récentes documentent des acteurs étatiques et criminels qui se servent d'assistants pour écrire du code d'attaque, traduire des leurres et automatiser la reconnaissance. Le saut qualitatif ici n'est pas la sophistication technique : c'est la cadence. Une PME québécoise dont la fonction TI repose sur un fournisseur de services gérés joint aux heures de bureau n'a pas six heures de marge. Elle a un délai de rappel.
Cette asymétrie est le vrai sujet. Le Centre canadien pour la cybersécurité, dans son Évaluation des cybermenaces nationales, insiste depuis deux éditions sur l'abaissement de la barrière à l'entrée que l'IA génère pour les acteurs malveillants. Côté défense, aucune automatisation équivalente n'est déployée dans la majorité des organisations de moins de 100 employés.
Loi 25 : une obligation de déclarer ce qu'on ne voit pas
Au Québec, l'affaire prend une tournure juridique très concrète. Depuis septembre 2022, la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels — la Loi 25 — impose à toute entreprise et à tout organisme public de tenir un registre des incidents de confidentialité et d'aviser la Commission d'accès à l'information ainsi que les personnes concernées lorsqu'un incident présente un risque de préjudice sérieux. Le règlement fédéral d'application détaille le contenu attendu de l'avis : nature de l'incident, date, catégories de renseignements touchés, mesures prises.
Problème : une exfiltration par injection d'invite indirecte ne laisse pas les traces habituelles. Il n'y a pas de compte compromis, pas de connexion anormale depuis l'étranger, pas de logiciel malveillant sur le poste. L'assistant a agi avec les autorisations légitimes de l'usager, dans une session légitime, en répondant à une question légitime. Comment déclarer un incident dont le journal d'événements ne conserve aucune anomalie? La question n'est pas rhétorique : les délais de la Loi 25 courent à partir du moment où l'organisation prend connaissance de l'incident, et la Commission d'accès à l'information a le pouvoir d'imposer des sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial, avec des amendes pénales encore plus élevées.
Un deuxième angle mort guette les employeurs : l'informatique fantôme. Un employé qui branche son compte ChatGPT personnel sur son courriel professionnel pour « trier ses messages plus vite » crée un transfert de renseignements personnels hors du périmètre contrôlé par l'organisation. La Loi 25 exige une évaluation des facteurs relatifs à la vie privée avant toute communication de renseignements personnels à l'extérieur du Québec, et rend l'entreprise responsable des renseignements qu'elle détient, peu importe qui a cliqué. Autrement dit : l'usage non approuvé d'un outil par un salarié n'exonère pas l'employeur. Il l'expose.
Ce qui change pour les organisations d'ici
Trois déplacements pratiques découlent de ce dossier.
D'abord, l'inventaire. Peu d'organisations savent quels connecteurs sont actifs, sur quels comptes, avec quelles portées d'autorisation. Un connecteur Gmail accordé en lecture complète ne se distingue pas, dans une console d'administration Google Workspace, d'une extension inoffensive. La première mesure est cartographique, pas technologique.
Ensuite, le principe du moindre privilège appliqué aux agents. Un assistant qui rédige des réponses n'a pas besoin d'un accès en lecture à dix ans d'archives. Les cadres de référence — dont le AI Risk Management Framework du National Institute of Standards and Technology américain, largement repris ici — recommandent de traiter tout contenu externe traité par un modèle comme une entrée non fiable, et de segmenter les autorisations par tâche.
Enfin, la gouvernance documentaire. La Loi 25 récompense les organisations capables de démontrer une diligence : politique d'usage de l'IA approuvée, liste d'outils autorisés, évaluations des facteurs relatifs à la vie privée archivées, registre d'incidents à jour. Ce n'est pas de la paperasse défensive; c'est ce que la Commission d'accès à l'information examinera en premier.
La question de fond n'est pas de savoir s'il faut renoncer aux agents. Le gain de productivité est réel et documenté. Elle est de reconnaître qu'on a branché des systèmes probabilistes sur des dépôts de données sensibles en supposant, implicitement, que le modèle saurait distinguer un ordre légitime d'un ordre injecté. Check Point vient de démontrer que non. Google vient de démontrer que l'adversaire, lui, en a déjà tiré ses conclusions.