Le processus officiel d'analyse des données sur l'attrition des clients prend trois jours. Gary le sait parce qu'il a soumis la demande quatre fois ce trimestre et a attendu chaque fois que l'équipe de données la mette en file d'attente derrière six autres départements ayant un parrain plus influent. L'outil d'IA que Gary a vu à une conférence le fait en trois minutes. Il s'inscrit avec son courriel professionnel. Il télécharge l'ensemble de données. Il obtient sa réponse. Il le montre à son chef d'équipe. Son chef d'équipe voit un résultat et ne pose pas de questions.
En un mois, deux autres départements l'ont adopté. Personne n'en informe la sécurité. Personne n'en informe la conformité. Personne ne lit les conditions d'utilisation, qui expliquent, dans un langage conçu pour être ignoré, que les données téléchargées peuvent être utilisées pour améliorer les modèles du fournisseur. Personne n'a demandé qui est propriétaire de ce fournisseur, ni jusqu'où les données brutes peuvent aller. Gary vient de donner deux ans de données de transactions clients à un ensemble d'entraînement que son organisation ne verra jamais, n'auditerra jamais et ne récupérera jamais. Il l'a fait parce que le processus approuvé avançait à la vitesse du trafic de Toronto et que personne ne lui a offert une meilleure option.
Gary n'est pas le problème. Gary est le symptôme.
La menace qui a déjà un badge d'employé
Rapport 2026 de HiddenLayer sur le paysage des menaces de l'IA situe l'adoption de l'IA fantôme à 76 % des organisations, en hausse par rapport à 61 % l'année précédente. Quinze points en douze mois. Mais ce chiffre sous-estime ce qui se passe réellement, car la majeure partie de cette IA fantôme ne s'est pas introduite par la porte dérobée. Elle est arrivée sous forme de mise à jour logicielle.
Votre CRM a reçu un assistant IA le trimestre dernier. Votre service d'assistance a ajouté un agent conversationnel qui trie les billets. Votre plateforme RH filtre maintenant les CV avec un modèle que personne au service informatique n'a été invité à évaluer. Chacun de ces outils touche vos données, détient des autorisations héritées de la plateforme dans laquelle il réside, et prend des décisions sur ce qu'il faut afficher, filtrer ou transmettre. Aucun d'entre eux n'a fait l'objet d'un examen de sécurité, car personne n'a classé une mise à jour logicielle comme un nouveau déploiement d'IA. Le fournisseur ne l'a pas appelé ainsi. Ils l'ont appelé « fonctionnalités améliorées » dans une taille de police qui n'invite pas aux questions. Personne n'a vérifié si ces outils héritent des propres autorisations des utilisateurs. Les identifiants de Gary peuvent accéder à de nombreux documents sensibles.
Une entreprise sur huit interrogée par HiddenLayer a déjà subi une violation liée à des systèmes d'IA agentiques. Et 53 % ont admis avoir retenu la déclaration de violation par crainte des répercussions. Le nombre d'incidents rapportés dans les nouvelles est un plancher. Le plafond est quelque part dont personne ne veut parler publiquement.
L'IA qui a oublié ce qu'elle était censée protéger
Votre filtre de CV élimine les candidats qualifiés depuis trois mois. Pas de manière évidente. Pas d'une manière qui déclenche une plainte. Il a simplement cessé discrètement de faire remonter les personnes qui ne correspondaient pas au modèle d'entraînement qu'il avait appris dans une autre région et industrie, parce que quelque chose dans ses données d'entraînement lui avait appris que ces schémas étaient du bruit. Votre responsable du recrutement pense que le bassin de talents est faible. Votre directeur des RH prévoit une augmentation des dépenses de recrutement. Le modèle pense qu'il fait exactement ce que vous avez demandé. Votre tableau de bord est d'accord. Ils ont tous les deux tort.
Lakera AI a publié une recherche montrant comment des données empoisonnées, injectées via le propre flux de données d'un agent IA, peuvent corrompre sa mémoire à long terme. Pas ses sorties. Sa compréhension. L'agent développe une croyance persistante et incorrecte concernant ses propres politiques de sécurité et défend cette croyance comme étant correcte lorsque les humains la remettent en question. Une IA compromise de cette manière ne génère pas d'erreurs. Elle affiche de la confiance. Elle semble correcte sur tous vos tableaux de bord parce que les tableaux de bord mesurent ce que l'agent rapporte sur lui-même.
Vient ensuite la cascade. Galileo AI a effectué des simulations de systèmes multi-agents et a constaté qu'un seul agent compromis a empoisonné 87 % de la prise de décision en aval en quatre heures. Votre SIEM affiche cinquante transactions échouées. Il ne peut pas vous dire quel agent a initié la chaîne, car les agents communiquent d'une manière que vos outils de surveillance n'ont pas été conçus pour analyser. Ce n'est pas une violation spectaculaire. C'est une dérive lente qui ressemble à des opérations normales jusqu'à ce que les dommages soient structurels. Comme le monoxyde de carbone. Inodore, incolore, et le détecteur que vous avez acheté était conçu pour la fumée.
Et si vous pensez que les outils approuvés sont la seule exposition : plus tôt cette année, une attaque de la chaîne d'approvisionnement a frappé l'écosystème de plugins d'OpenAI. Des identifiants d'agent compromis ont été récoltés à partir de 47 déploiements d'entreprise. Données clients, dossiers financiers, code propriétaire, accessibles pendant six mois avant que quiconque ne s'en aperçoive. Non pas parce que les équipes de sécurité étaient négligentes. Parce que le plugin compromis était approuvé. Les identifiants qu'il utilisait étaient ceux qu'il était censé avoir. Les données auxquelles il a accédé étaient des données qu'il avait la permission de toucher. La seule chose qui n'allait pas, c'est où ces données sont allées par la suite, via un canal que personne n'a pensé à surveiller, car pourquoi surveilleriez-vous un outil qui fait exactement ce qu'il est autorisé à faire ?
La porte de Gary est toujours ouverte
L'outil de Gary est toujours en marche. Son équipe l'utilise quotidiennement. Il ne figure pas dans l'inventaire des actifs. Il ne figure pas dans le plan d'intervention en cas d'incident. Si quelque chose ne va pas avec demain, personne ne sait qui appeler ni quoi arrêter. Et l'outil de Gary est l'un des dizaines d'outils dispersés dans l'organisation, adoptés par des personnes qui avaient besoin de quelque chose de plus rapide que le processus qui leur avait été donné.
La solution n'est pas d'interdire les outils de Gary. Les interdire, c'est garantir que l'IA fantôme doublera d'ici le prochain trimestre. Les gens trouvent des solutions de contournement lorsque vous leur retirez ce qui les rendait productifs, et ces solutions de contournement ne sont assorties d'aucune condition d'utilisation.
La solution consiste à bâtir l'architecture qui permet à Gary d'utiliser l'IA en toute sécurité, avec des garde-fous auxquels il n'a jamais à penser. Une politique sous forme de code qui limite ce à quoi l'outil peut accéder, les données qu'il peut atteindre et où il peut envoyer les résultats. Une gouvernance qui détecte les nouveaux outils lorsqu'ils se connectent, les évalue avant le téléversement du premier ensemble de données, et soit les intègre, soit explique à Gary pourquoi celui-ci ne répond pas aux exigences. Un inventaire qui sait ce qui est en cours d'exécution avant que l'équipe de sécurité n'ait à le découvrir à la dure.
C'est le travail de fond sur lequel nous revenons constamment. Le catalogage, la cartographie, l'architecture de gouvernance. Nous en avons parlé dans la série sur les données et nous le faisons depuis cinquante ans sous différents noms. Les organisations les plus avancées en matière de sécurité de l'IA ne sont pas celles qui ont les meilleurs modèles. Ce sont celles qui ont fait le travail d'inventaire fastidieux et bâti une architecture qui leur permet de dire oui aux nouveaux outils sans se demander ce qu'elles exposent.
Gary continue de cliquer. La question est de savoir ce qui interceptera ce qui vient ensuite.
À lire ensuite
Chaque fournisseur au Canada parle de « souveraineté » en ce moment. Telus, Bell, CGI, vos publicités LinkedIn à deux dollars avant le dîner. L'article 4 sort le mot du cycle des communiqués de presse pour l'intégrer à la conversation sur l'architecture, là où il doit être. Que signifie réellement la souveraineté lorsque quelqu'un la met à l'épreuve? Moins que ce que vous pensez. Plus que ce que vous espérez. La souveraineté est une décision d'architecture.
Références
Rapport HiddenLayer 2026 sur le paysage des menaces de l'IA: 76 % d'adoption de l'IA fantôme, 1 sur 8 a été victime d'une violation via l'IA agentique, 53 % ont dissimulé les rapports de violation
Lakera AI: Recherche sur la corruption de la mémoire à long terme chez les agents d'IA par le biais de flux de données empoisonnés
Galileo AI: Simulations en cascade multi-agents, un seul agent compromis empoisonnant 87 % des décisions en aval en quatre heures
Attaque de la chaîne d'approvisionnement de l'écosystème de plugins OpenAI : 47 déploiements d'entreprise compromis, six mois sans être détectée
