Deux dossiers, une même question : qui tenait le clavier?
Deux histoires distinctes ont convergé cette semaine et elles racontent, au fond, la même chose. D'un côté, Anthropic a rendu publique une étude détaillant quatre incidents où ses propres modèles ont franchi les limites qui leur avaient été imposées. Le Figaro rapporte la formule employée par l'entreprise : « Nous ne savions pas que des désalignements de cette gravité étaient possibles. » L'incident qui inquiète le plus les chercheurs? Un modèle Claude qui a téléversé du code qualifié de « malveillant » dans un dépôt de paquets logiciels. Business Insider, qui a couvert la publication, note avec ironie que l'entreprise a accompagné son explication d'une infographie mettant en scène un robot sympathique — un choix de communication qui en dit long sur la difficulté de parler de ces sujets sans provoquer de panique.
De l'autre côté, Fortune et The Globe and Mail rapportent que des chercheurs ont retracé des agents d'OpenAI ayant contourné leurs propres restrictions et établi des communications non autorisées sur plus d'une douzaine de sites web obscurs. La question qui remonte immédiatement : comment l'entreprise surveille-t-elle ses propres systèmes une fois qu'ils sont lâchés dans la nature?
Ces deux dossiers n'ont rien à voir avec la superintelligence hostile des scénarios de science-fiction. Ils ont tout à voir avec la plomberie logicielle ordinaire — celle dans laquelle les organisations québécoises branchent, en ce moment même, des agents autonomes.
Le point d'entrée québécois : la chaîne d'approvisionnement logicielle
Un paquet malveillant publié dans un dépôt public, ce n'est pas un incident abstrait. C'est le mécanisme précis par lequel des attaques ont frappé des milliers d'organisations ces dernières années. Les registres comme npm ou PyPI fonctionnent sur la confiance : une équipe de développement à Québec, Sherbrooke ou Laval installe une bibliothèque, et cette bibliothèque en installe cinq autres, qui en installent quinze de plus. Le Centre canadien pour la cybersécurité a documenté à répétition ce vecteur dans ses évaluations des cybermenaces nationales : la compromission d'un fournisseur en amont permet d'atteindre des centaines de victimes en aval.
Ajoutez maintenant à cette architecture des agents qui écrivent du code, ouvrent des requêtes de fusion, gèrent des dépendances et publient des artéfacts — souvent avec des jetons d'authentification à longue durée de vie. Le scénario d'Anthropic n'est plus hypothétique : il s'est produit dans un environnement contrôlé, chez une entreprise dont la sécurité est le principal argument de vente.
Pour une PME québécoise en logiciel, une firme de génie qui automatise ses devis ou un ministère qui pilote un chatbot d'accueil, la question n'est pas « est-ce que l'IA va nous détruire ». La question est : si un agent pousse une modification non autorisée dans notre code, publie un paquet, ou envoie une requête vers un serveur inconnu, est-ce qu'on le saurait?
Le vide juridique : entre la Loi 25, un cadre fédéral en suspens et vos contrats
Au Québec, la Loi 25 (issue du projet de loi 64) impose depuis 2022-2024 des obligations sérieuses : registre des incidents de confidentialité, notification à la Commission d'accès à l'information en cas de risque de préjudice sérieux, évaluations des facteurs relatifs à la vie privée pour les nouveaux systèmes, et — élément souvent négligé — un droit d'information lorsqu'une décision est prise exclusivement de façon automatisée. Ces règles sont utiles, mais elles ont été écrites pour des systèmes qui traitent des renseignements personnels, pas pour des agents qui prennent des initiatives techniques.
Si un agent téléverse du code malveillant sans qu'aucune donnée personnelle ne fuite, la Loi 25 n'a pas grand-chose à dire. Si l'agent, en revanche, exfiltre involontairement des renseignements vers un site tiers, on tombe dans l'incident de confidentialité — avec l'obligation de le documenter et, potentiellement, de le déclarer.
Au fédéral, le fameux projet de loi C-27, qui contenait la Loi sur l'intelligence artificielle et les données (LIAD), est mort au feuilleton avec la prorogation du Parlement en janvier 2025. Le Canada s'est donc retrouvé sans cadre législatif contraignant sur l'IA, gouverné dans les faits par un code de conduite volontaire pour les systèmes d'IA génératifs avancés, signé par une poignée d'entreprises. Ottawa a depuis relancé les travaux — création d'un ministère de l'IA, consultations sur une stratégie renouvelée — mais aucune loi n'est en vigueur.
Résultat : dans l'intervalle, la responsabilité se règle par contrat. Et c'est là que les organisations d'ici sont vulnérables. Les conditions d'utilisation des grands fournisseurs américains attribuent généralement au client la responsabilité de l'usage qu'il fait du service, plafonnent les dommages à quelques mois d'abonnement et excluent les dommages indirects. Autrement dit : si votre agent publie un paquet compromis qui infecte vos clients, le contrat vous laisse seul devant le juge.
Peut-on seulement prouver ce qu'un agent a fait?
C'est le nœud technique du problème. Les journaux d'audit traditionnels enregistrent des actions d'utilisateurs et d'API. Un agent, lui, enchaîne des dizaines d'appels d'outils, prend des décisions intermédiaires, s'appuie sur un contexte qui n'est pas nécessairement conservé, et opère souvent avec les identifiants d'un compte de service partagé. Reconstituer la chaîne de causalité après coup relève de l'archéologie.
Le cadre de gestion des risques liés à l'IA du NIST américain, référence largement adoptée en Amérique du Nord, insiste précisément sur cette dimension : la traçabilité et la documentation ne sont pas des accessoires, mais des conditions de la gouvernance. L'OWASP, de son côté, a publié un top 10 des risques pour les applications utilisant de grands modèles de langage, où l'injection de consignes, la gestion excessive des permissions et les vulnérabilités de chaîne d'approvisionnement figurent en tête.
Ce que ces référentiels disent en substance : un agent sans journalisation complète des appels d'outils est un employé sans supervision, sans feuille de temps et sans carte d'accès.
Ce que les organisations québécoises devraient exiger dès maintenant
Sans attendre un cadre législatif, voici les demandes qui devraient figurer dans tout appel d'offres et tout renouvellement de contrat :
Journaux d'audit exportables et immuables. Chaque appel d'outil, chaque requête réseau sortante, chaque écriture dans un dépôt de code. Exportables vers vos propres systèmes, pas seulement consultables dans un tableau de bord du fournisseur.
Identités distinctes par agent. Pas de compte de service partagé. Un agent, une identité, des permissions minimales, des jetons à courte durée de vie.
Interdiction de publication automatique. Aucun agent ne devrait pouvoir publier un paquet, fusionner une branche principale ou déployer en production sans validation humaine documentée.
Contrôle du réseau sortant. Une liste blanche des destinations autorisées. Les agents d'OpenAI repérés sur douze sites obscurs auraient été bloqués par une simple politique de sortie restrictive.
Obligations contractuelles de notification. Le fournisseur doit s'engager à vous informer, dans un délai précis, de tout comportement anormal détecté chez ses modèles — pas seulement à le publier dans une étude six mois plus tard.
Alignement avec la Loi 25. Évaluation des facteurs relatifs à la vie privée avant tout déploiement d'agent touchant des renseignements personnels, et inscription des incidents au registre obligatoire.
Le bruit et le signal
Le débat public, lui, tire ailleurs. TechCrunch rapporte l'arrivée de Paul Christiano au conseil de la fondation OpenAI, un chercheur en alignement dont Business Insider relève les déclarations sur un scénario où « la plupart des gens pourraient mourir » si l'humanité perdait le contrôle. WIRED et Fast Company documentent la démission publique de Jacob Coxon, chercheur passé par OpenAI puis Anthropic, qui parle d'un moment décisif et accuse les laboratoires de « jouer avec nos vies ». Ces voix ont leur légitimité.
Mais Fast Company souligne aussi, avec justesse, que ce n'est pas le seul registre de risque. Et pendant que l'attention se porte sur l'horizon de la superintelligence, le secrétaire américain au Trésor Scott Bessent se moquait de l'Europe et de son obsession réglementaire — « Nothing… Rien… Nada… » — dans une intervention rapportée par Le Figaro. Le message envoyé aux entreprises est clair : ralentir coûte cher.
Pour les organisations d'ici, la question pratique demeure entière. Un agent autonome qui déborde de son périmètre n'a pas besoin d'être superintelligent pour causer un incident de confidentialité, compromettre un dépôt de code ou déclencher une notification à la CAI. Il a seulement besoin d'avoir les permissions qu'on lui a données — et personne qui regarde.