Pourquoi le piratage d'Anthropic en 12 heures a-t-il épargné Claude mais pas Slack ?

Le 28 octobre 2026, MIT Technology Review Insights a publié une analyse qui résume la situation de beaucoup d'entreprises. Plusieurs plateformes, systèmes et outils d'IA y fonctionnent en parallèle : plateformes clients dopées à l'IA, assistants conversationnels, outils d'automatisation des processus. Le sondage qui l'accompagne, réalisé en association avec Atlan (éditeur de logiciels de gouvernance des données, donc intéressé par la conclusion), indique que toutes les organisations interrogées utilisent l'IA à un degré ou à un autre, mais que moins d'une sur cinq (16 %) en tire une valeur transformatrice. La solution proposée est une « couche de contexte », sorte de cerveau d'entreprise branché sur tous les systèmes. Le même jour, OpenAI et ServiceNow mettaient en service un connecteur qui fait entrer les workflows d'entreprise dans ChatGPT. Deux jours plus tôt, la presse révélait que des agents IA avaient pénétré les systèmes internes d'Anthropic.

MaMaUtiliser un logiciel pour automatiser les tâches et campagnes marketing répétitives, afin de personnaliser à grande échelle sur des canaux comme l'email, le web et le social.Voir la définition complète → thèse : en 2026, la confidentialité des données se décide d'abord dans le graphe des permissions de vos agents, c'est-à-dire ce qu'ils peuvent lire, faire, mémoriser, et par quels fournisseurs ils passent. Ce que vos salariés tapent dans une fenêtre de chat n'en est plus que la partie visible. Les entreprises qui consacrent toute leur gouvernance au copier-coller surveillent la mauvaise porte au moment où elles ouvrent toutes les autres.

Pourquoi la charte anti-copier-coller semble encore suffire

Il faut d'abord exposer le consensus honnêtement, parce qu'il s'appuie sur de vrais arguments.

Il dit à peu près ceci : le principal risque vient des salariés qui envoient des données confidentielles à des outils grand public. La parade combine une charte d'usage, de la formation, des licences entreprise qui excluent l'entraînement sur vos données, et du filtrage. La CNIL soutient cette approche : dans ses questions-réponses de juillet 2024, elle recommande d'« encadrer l'utilisation d'un système d'IA générative par des politiques ou chartes internes, définissant clairement les usages autorisés et les usages interdits ». Elle mentionne aussi l'interdiction de saisir des données personnelles ou des informations confidentielles (secret des affaires, secret professionnel), selon le mode de déploiement.

Les chiffres vont dans le même sens. Le rapport Cost of a Data Breach 2026 d'IBM (qui vend des services de sécurité ; l'étude est menée par le Ponemon Institute) constate que l'IA fantôme est présente dans 43 % des violations, contre 20 % un an plus tôt, pour un coût moyen de 5,39 millions de dollars. L'histoire réglementaire semble aussi lui donner raison : l'autorité italienne avait sanctionné OpenAI pour avoir entraîné ChatGPT « sans base légale adéquate ».

Tout cela est exact. Former les équipes surce qu'on ne colle jamais dans un assistant reste une hygiène de base. Le problème est que ce consensus décrit le risque de 2023, celui de l'humain qui tape. Le risque de 2026 vient de la machine qui se connecte.

Le risque pour les données a quitté le prompt pour les connecteurs

Anthropic : le modèle a résisté, les logiciels tiers ont cédé

L'incident Anthropic est le plus parlant de l'année. La startup de cybersécurité Cathedral a utilisé des agents IA autonomes pour accéder aux systèmes internes d'Anthropic en moins de 12 heures, selon un rapport préliminaire consulté par le Washington Post. Il s'agissait d'un test autorisé, réalisé dans le cadre du programme d'Anthropic destiné aux chercheurs externes. Cathedral a évidemment intérêt à médiatiser son exploit, et il faut lire ses affirmations en conséquence.

Ce qui compte est le chemin emprunté. Les agents auraient exploité des vulnérabilités dans des outils tiers d'administration et de vente, jusqu'à atteindre des informations sensibles sur les salariés et l'entreprise. D'après le Washington Post, ils ont eu accès à des messages Slack, des transcriptions de réunions, des salaires et des offres d'emploi. Anthropic a reconnu un accès à un ensemble limité de systèmes commerciaux, RH et informatiques, y compris les coordonnées de certains clients et partenaires, en précisant que les conversations avec Claude, le code source et les poids des modèles n'ont jamais été exposés.

Le modèle était la partie la mieux protégée de l'entreprise. Les données ont fui par le CRMCRMCustomer Relationship Management : logiciel et stratégie pour gérer et analyser les interactions clients tout au long de leur cycle de vie.Voir la définition complète →, l'outil RH et la messagerie, c'est-à-dire les systèmes qu'une couche de contexte IA a précisément vocation à relier. Jacob Krell, de Suzu Labs, l'a résumé ainsi : « la maturité en sécurité est plafonnée par le fournisseur le plus faible auquel vous vous intégrez ».

La couche de contexte rassemble ce qu'elle doit protéger

C'est là que le diagnostic de MIT Technology Review a un effet secondaire dont personne ne parle. Selon Atlan, la couche de contexte traduit l'intelligence de l'entreprise en contexte gouverné et exploitable par la machine pour les agents ou les modèles. Pour crcrLe pourcentage de visiteurs ou de prospects qui réalisent une action attendue (achat, inscription, formulaire de contact), calculé en divisant les conversions par le nombre total d'opportunités.Voir la définition complète →éererLe rapport entre les interactions (likes, commentaires, partages) et le reach d'un contenu, utilisé pour mesurer la réaction de l'audience au regard du nombre de personnes touchées.Voir la définition complète → de la valeur, il faut donc rassembler. Pour un attaquant, ce rassemblement est une cible idéale.

Le connecteur ServiceNow pour ChatGPT illustre cette dynamique. Selon OpenAI (éditeur de ChatGPT, donc partie prenante), un membre de l'équipe informatique pourra retrouver des incidents similaires, évaluer le risque d'un changement et mettre à jour un enregistrement ServiceNow sans quitter ChatGPT. Les deux éditeurs mettent en avant la gouvernance : Action Fabric applique les règles métier et les permissions existantes. C'est une bonne conception. Elle reporte cependant tout le risque sur la qualité de vos permissions existantes. Si un compte support voit trop de tickets RH dans ServiceNow aujourd'hui, il les verra demain dans ChatGPT, résumés, croisés et prêts à être exportés. Et l'échelle n'a rien d'anecdotique : l'annonce de janvier faisait état d'entreprises exécutant plus de 80 milliards de workflows par an sur la plateforme.

L'IA autorisée coûte plus cher quand elle cède

Le rapport IBM 2026 contient un chiffre que le consensus laisse de côté. Les violations liées à l'IA, c'est-à-dire impliquant les propres modèles ou applications d'IA d'une organisation, ont touché 21 % des organisations, et 92 % d'entre elles n'avaient pas de contrôles d'accès adaptés à l'IA. Il s'agit d'outils déployés officiellement, pas d'IA fantôme. Ce sont eux qui ont les modes de défaillance les plus coûteux : l'inversion de modèle et l'injection de prompt sont les types d'incidents IA les plus chers, à 6,07 et 5,89 millions de dollars en moyenne.

Faisons le calcul avec ces seuls chiffres. Une violation impliquant l'IA fantôme coûte en moyenne 5,39 millions de dollars. Une injection de prompt sur une application maison coûte 0,50 million de plus (5,89 − 5,39). Une inversion de modèle coûte 0,68 million de plus (6,07 − 5,39). L'assistant que vous avez acheté, connecté et validé peut donc coûter plus cher que celui que vous avez interdit.

Pendant ce temps, la discipline recule. Selon la même étude, la part des organisations qui exigent une validation informatique avant un déploiement d'IA est passée de 45 % à 38 %.

Les régulateurs se tournent vers le déployeur

Le consensus suppose aussi que la menace réglementaire vise les fournisseurs de modèles. Le cas italien montre le contraire. Le 18 mars 2026, le tribunal de Rome a annulé l'amende de 15 millions d'euros infligée à OpenAI par le Garante, au motif que l'autorité italienne n'était plus compétente après que la Commission irlandaise de protection des données était devenue l'autorité chef de file d'OpenAI. Le fond n'a pas été jugé. Résultat : le bilan des sanctions définitives liées au lancement des IA génératives en Europe est aujourd'hui de zéro.

L'entreprise utilisatrice, elle, reste directement exposée. Comme le rappelle le cabinet Crescendo Avocats, l'employeur reste responsable du traitement : c'est à lui de définir les usages autorisés, d'informer les personnes concernées et de garantir la confidentialité des données. La note exploratoire de la CNIL et du Conseil de l'IA et du numérique du 20 juillet 2026 s'adresse à ce déployeur. Elle relève que les agents, par leur capacité à accéder à de multiples sources de données, à agir au nom de l'utilisateur et à utiliser des mémoires persistantes, amplifient les risques pour les données personnelles. Elle part d'un cas concret : une salariée a vu son agent IAagent IALogiciel qui poursuit un objectif seul : il planifie, utilise des outils et agit avec une intervention humaine limitée.Voir la définition complète → effacer des courriels professionnels sans parvenir à l'arrarrL'Annual Recurring Revenue (ARR) est le revenu normalisé et prévisible qu'une entreprise par abonnement attend de ses contrats actifs sur une année.Voir la définition complète →êter à distance.

Le CEPD complète le tableau. Ses lignes directrices sur l'anonymisation du 8 juillet 2026 établissent que le même jeu de données peut être anonyme pour une entité et personnel pour une autre. Elles signalent aussi que des inférences peuvent être tirées en interrogeant un modèle. Le texte est un projet, soumis à consultation jusqu'au 30 octobre 2026. L'argument « nous n'envoyons que des données anonymisées » sera donc plus difficile à tenir dès qu'un agent pourra croiser ces données avec votre CRM.

Comment mesurer l'exposition d'un agent IA à vos données ?

Il faut comparer, sur quatre dimensions, ce que l'agent peut faire à ce que peut faire la personne qui le déclenche. Si l'agent dépasse l'humain sur une seule de ces dimensions, le déploiement n'est pas prêt.

Voici la règle à écrire au tableau :

Agent ≤ humain, sur chaque colonne.

• Voir : quelles sources l'agent peut-il lire (messagerie, CRM, SIRH, drive, tickets) ? Avec les droits de l'utilisateur ou avec ceux d'un compte de service ?
• Agir : peut-il écrire, envoyer, supprimer, partager à l'extérieur ? L'incident des courriels effacés relevé par la CNIL relève de cette colonne.
• Retenir : que garde-t-il en mémoire, pendant combien de temps, et qui d'autre peut consulter cette mémoire ?
• Transiter : par quels fournisseurs, plugins et sous-traitants passent les données ? Chez Anthropic, c'est cette colonne qui a cédé.

Un exemple hypothétique, purement arithmétique, montre pourquoi la première colonne domine. Prenons un assistant relié à quatre sources : messagerie, CRM, SIRH et drive. Un commercial n'a normalement accès qu'à deux d'entre elles. Si l'équipe projet branche l'assistant sur un compte de service administrateur pour éviter des erreurs d'autorisation, l'agent atteint quatre sources sur quatre. Le périmètre exposé double pour chaque commercial, alors que personne n'a modifié la moindre consigne d'usage ni collé quoi que ce soit dans un prompt. Aucune charte ne détecte ce type de dérive.

Cette grille s'applique aussi à l'architecture RAGRAGMéthode qui permet à un modèle d'IA de répondre à partir de vos propres documents, en récupérant les passages pertinents avant de générer une réponse.Voir la définition complète → qui alimente un modèle avec vos documents : un index vectoriel construit sans les droits d'accès d'origine élargit la colonne « Voir » pour tous ses utilisateurs.

Ce qu'il faut faire lundi

Chacune de ces actions tient en une semaine :

• Faites la liste de tous les connecteurs actifs entre vos assistants IA et vos systèmes : plugins ChatGPT, connecteurs Claude ou Copilot, intégrations MCPMCPUn standard ouvert qui permet aux assistants IA de se connecter aux outils et données de l'entreprise de façon cohérente et gouvernée, sans intégration sur mesure à chaque fois.Voir la définition complète →. Pour chacun, notez le compte utilisé. Tout compte de service doté de droits d'administration passe en rouge.
• Choisissez votre déploiement le plus utilisé et remplissez la grille Voir, Agir, Retenir, Transiter avec son responsable métier. Une heure suffit, et vous saurez où l'agent dépasse l'humain.
• Avant d'élargir un assistant comme ServiceNow l'a fait en ouvrant ChatGPT Work à tous ses salariés, faites auditer les droits du système source. L'IA hérite des permissions existantes, y compris de leurs erreurs.
• Envoyez à vos dix principaux fournisseurs SaaS reliés à l'IA une question écrite : quels contrôles d'accès s'appliquent quand un agent tiers interroge leur APIAPIApplication Programming Interface : une interface standardisée qui permet aux applications de communiquer et d'échanger des données sans connaître leur fonctionnement interne respectif.Voir la définition complète →, et quels journaux conservent-ils ?
• Ajoutez à votre registre RGPDRGPDRèglement de l'UE encadrant la collecte, le stockage et l'usage des données personnelles, avec des amendes indexées sur le chiffre d'affaires mondial.Voir la définition complète → une ligne par agent, qui précise la durée de mémoire et l'existence d'un arrêt à distance. Les recommandations de cloisonnement de la note CNIL/CIANum vous serviront de base.
• Ajoutez à la charte existante une phrase sur les connecteurs : aucun branchement d'un assistant à une source de données sans validation préalable par la sécurité.

L'incident Anthropic laisse une leçon simple. Claude n'a rien divulgué, alors que Slack, la paie et le CRM ont été exposés. Pour savoir où sont vos données sensibles en 2026, regardez la liste des systèmes auxquels vos agents ont accès, avant de relire ce que vos équipes tapent dans leurs prompts.