CD Consulting R&D

KB-AI · Entry 4 · Published 2026-10-15 · Version 1

Sécuriser l'IA dans l'entreprise : une application comme une autre, une nouvelle classe de risques, ou une feuille blanche ?

Version française de l'entrée 4 : les règles de sécurité existantes suffisent-elles pour l'IA, ou faut-il repenser la sécurité ? Quelque cent soixante sources publiques lues ; le socle reste obligatoire et manque souvent ; quatre risques vraiment nouveaux ; ce que l'aide de l'IA apporte de prouvé ; les règles belges et européennes et vingt-deux mesures par priorité.

If you read French and run or advise an organisation that uses AI tools, this is the French version of entry 4: where the existing security rules stop, what a language model changes that no firewall sees, and the six steps that cost almost nothing.

Note de position · environ 160 sources publiques (cadres officiels, autorités de cybersécurité, normalisateurs, éditeurs, chercheurs, incidents documentés) consultées le 15 octobre 2026 · chaque chiffre sourcé · réserves de méthode déclarées

Contents

1. 1. La réponse en une page
2. 2. Ce que la question présuppose, et ce que disent les sources
3. 3. Ce que les règles existantes couvrent, et où elles s'arrêtent
4. 4. Les menaces nouvelles, et pourquoi elles le sont
5. 5. Les défenses : pourquoi le problème est dit non résolu, et ce qui marche quand même
6. 6. « Avec l'aide de l'IA » : ce qui est prouvé, ce qui ne l'est pas
7. 7. Le cadre belge et européen, en quatre dates
8. 8. Dix thèses pour la discussion
9. 9. Quinze incidents, et ce qu'un contrôle classique aurait pu
10. 10. Vingt-deux mesures pour une entreprise ordinaire, par priorité
11. 11. Limites de cette note
12. 12. Sources

1. La réponse en une page

Read this note in English: English version.

Ni l'un ni l'autre. Aucune des quelque cent soixante sources lues pour cette note ne soutient que les règles de sécurité existantes suffisent ; aucune ne propose de repartir d'une feuille blanche. La position commune des autorités (NIST, ENISA, NCSC britannique, CISA, ANSSI, CCB belge), des normalisateurs (ISO/IEC 27090, 42001, 23894), du législateur européen (AI Act, articles 9 et 15) et des grands éditeurs (Google, Microsoft, Anthropic, OpenAI) tient en trois propositions.

Le socle classique reste obligatoire, et il manque souvent. Contrôles d'accès, segmentation, correctifs, gestion des secrets, journalisation, sauvegardes, fournisseurs : tout cela s'applique à l'IA comme à n'importe quelle pile logicielle, et c'est là que les brèches se produisent d'abord. Selon l'étude d'IBM de 2025, 97 % des organisations ayant subi une brèche impliquant un système d'IA n'avaient aucun contrôle d'accès sur ce système [S1]. Une bonne part des « incidents IA » de 2023-2026 sont des défauts ordinaires d'une pile jeune, déployée par des équipes data hors des circuits de sécurité : tableaux de bord sans authentification, bases exposées, jetons trop larges, désérialisation non sûre, correctifs non appliqués.

L'IA ajoute néanmoins une classe de risques que ces contrôles ne voient pas. Un modèle de langage ne distingue pas une instruction d'une donnée : tout texte qu'il lit (un courriel, une page web, un ticket, la description d'un outil) peut le piloter. C'est l'injection de prompt, que le NCSC britannique juge possiblement « jamais totalement atténuable », faute d'équivalent des requêtes paramétrées qui ont réglé l'injection SQL [S6]. Dans l'affaire EchoLeak (Microsoft 365 Copilot, 2025), antispam, prévention des fuites, politique de sécurité du contenu et classifieur anti-injection étaient tous en place : l'exfiltration a eu lieu sans un clic [S19]. S'y ajoutent la persistance (une injection ou un empoisonnement survit dans une mémoire, un index documentaire, des poids de modèle), l'agence (un agent qui agit avec les droits de son utilisateur, et pour qui une consigne en langage naturel n'est pas un contrôle), et la responsabilité (l'entreprise répond de ce que dit son chatbot : Air Canada, 2024 [S28]).

« Repenser » ne veut pas dire « feuille blanche » ; cela veut dire changer de regard sur un composant. Les approches les plus avancées (CaMeL chez Google DeepMind, « règle de deux » chez Meta, « triade létale » de Simon Willison, bacs à sable d'agents, identités d'agents) sont des retours aux fondamentaux appliqués à un composant nouveau : séparer le contrôle des données, donner à l'agent les seuls privilèges de la source la moins fiable qu'il lit, confiner, journaliser les actions, faire confirmer par un humain ce qui est irréversible [S34] [S37] [S17]. La vraie nouveauté de gouvernance est d'avoir à traiter le modèle comme un utilisateur non fiable à l'intérieur du système, et d'accepter explicitement un risque résiduel ; si l'usage ne le tolère pas, un modèle de langage n'est peut-être pas le bon choix pour ce cas d'usage [S6].

Quant à « l'aide de l'IA » : elle est réelle sur quelques usages mesurés (tri du phishing, analyse de scripts et résumés d'incidents, recherche de vulnérabilités avec validation humaine, red teaming de ses propres déploiements), mais ce qui est prouvé est plus étroit que ce qui est vendu : aucune étude indépendante des copilotes de sécurité du commerce, des « pare-feu IA » contournés à plus de 90 % par des attaquants adaptatifs, et un biais d'automatisation mesuré chez les analystes [S31] [S49]. Pour une entreprise ordinaire, la première « aide de l'IA » à financer est paradoxalement le patch management : c'est l'attaquant qui bénéficie le premier de l'accélération, et le délai entre divulgation et exploitation se compte désormais en jours [S48].

Pour une PME belge, la réponse tient en six gestes à coût quasi nul, puis une douzaine de mesures dans l'année (section 10) : inventorier les usages, les classer selon l'AI Act, publier une charte d'une page, fournir un outil approuvé sous compte professionnel avec entraînement désactivé, tenir une séance de « maîtrise de l'IA » consignée (obligation de l'article 4 depuis le 2 février 2025 [S52]), et mettre le socle au niveau CyberFundamentals Small ou Basic, qui est la réponse explicite du CCB à l'IA offensive [S5].

2. Ce que la question présuppose, et ce que disent les sources

La question oppose deux hypothèses : l'IA est « une application comme une autre », ou bien elle est « une nouvelle source de risques » qui exigerait de « repenser » la sécurité. Le corpus montre que les deux camps existent, qu'ils sont tenus par des gens sérieux, et qu'ils se concèdent mutuellement l'essentiel.

Le camp « c'est un logiciel ». La CISA l'écrit en août 2023 : « AI is a type of software system », et le principe Secure by Design s'applique sans exception ; les attaques adverses ne comptent qu'une fois le système qui entoure le modèle déjà sécurisé, parce que l'attaquant emprunte le chemin le moins cher, qui reste le plus souvent une vulnérabilité conventionnelle [S2]. Le guide conjoint de sept agences (NSA, CISA, FBI et leurs homologues australien, canadien, néo-zélandais et britannique, avril 2024) : les bonnes pratiques et exigences des environnements informatiques s'appliquent aussi aux systèmes d'IA [S3]. Le Red Team IA de NVIDIA (2025) apporte la preuve de terrain : les trois classes de failles observées en audit (exécution de code généré, contrôle d'accès défaillant sur les sources d'un système de recherche documentaire, rendu de contenu actif qui exfiltre) sont des erreurs ordinaires de sécurité applicative [S4]. Le CCB belge, dans son article du 29 septembre 2026 sur l'IA qui « accélère et amplifie » les menaces, répond par CyberFundamentals et des correctifs plus rapides : rien de propre à l'IA [S5]. Et la loi belge NIS2 (26 avril 2024, en vigueur le 18 octobre 2024) ne contient aucune règle spécifique à l'IA : un système d'IA y est un actif comme un autre, soumis aux mesures générales [S55].

Le camp « nouvelle classe de risques ». Il est tenu d'abord par des autorités qui n'ont rien à vendre. Le NCSC britannique, le 8 décembre 2025 : les grands modèles de langage n'imposent tout simplement pas de frontière de sécurité entre instructions et données à l'intérieur d'un prompt ; assimiler l'injection de prompt à l'injection SQL est dangereux, car la seconde s'est réglée par la séparation données/instructions et aucun équivalent n'existe pour la première ; il est très possible que les attaques par injection de prompt ne soient jamais totalement atténuées [S6]. L'OWASP (Top 10 pour les applications LLM, 2025) : il n'est pas clair qu'il existe des méthodes de prévention infaillibles [S7]. Microsoft (taxonomie des défaillances des agents, avril 2025) documente des modes de défaillance nouveaux, non observés dans les systèmes d'IA générative non agentiques : empoisonnement de mémoire, défaillances entre agents [S8]. Le CERT-FR (avril 2026) en tire une conséquence pratique radicale : pas d'agents autonomes sur les postes de travail tant qu'ils ne sont pas éprouvés, validation humaine obligatoire avant toute action à effet de bord, et les consignes placées dans les prompts « ne suffisent pas » [S9].

Ce que les deux camps concèdent. Aucune source ne défend la feuille blanche. Le cadre le plus « rupturiste » (Forrester, « securing intent » plutôt que « securing systems », 2025) se structure en six domaines qui sont la gouvernance, l'identité, la sécurité des données, la sécurité applicative, la gestion des menaces et le zero trust [S15]. La Cloud Security Alliance étend sa matrice de contrôles cloud (243 contrôles IA) au lieu de la remplacer [S14]. L'ENISA (2023) formalise trois couches dont la première est « fondations de cybersécurité » [S13]. Inversement, aucune source « classique » ne nie l'injection : la CISA reconnaît que les entrées adverses diffèrent en pratique des failles de validation d'entrée classiques [S2]. La norme ISO/IEC 27090, dont la publication est annoncée pour octobre 2026, tranche la question dans son résumé officiel : les pratiques établies « restent essentielles », mais l'IA introduit des défis de sécurité que les mesures classiques seules peuvent ne pas couvrir entièrement [S10]. L'ANSSI le dit en français : « si nombre de mesures de sécurité s'appliquent », les systèmes d'IA « présentent des vulnérabilités spécifiques » [S11].

La formulation la plus précise est celle de Google dans son approche de la sécurité des agents (mai 2025) : « Traditional security paradigms alone are insufficient », mais une sécurité purement fondée sur le raisonnement du modèle l'est aussi ; d'où une défense en profondeur hybride, où les contrôles déterministes classiques (identités, privilèges, confinement, journalisation) forment les bornes que le modèle ne peut pas franchir même s'il est trompé, et où les défenses fondées sur le modèle (classifieurs, entraînement de sûreté) réduisent la probabilité sans jamais la garantir [S12].

3. Ce que les règles existantes couvrent, et où elles s'arrêtent

Le tableau condense un mapping de quatorze familles de contrôles établi à partir des sources de la section 2 [S1] [S3] [S4] [S6] [S7] [S12] [S17].

Lecture d'ensemble : chaque ligne commence par « oui ». Le contrôle classique n'est jamais remplacé ; il change de nature parce que le sujet qui l'exerce ou le subit, le modèle, est ce que le NCSC appelle un mandataire intrinsèquement confusable, qui lit tout et obéit à tout [S6].

4. Les menaces nouvelles, et pourquoi elles le sont

Vingt familles de menaces et trente-trois incidents datés (2019 à avril 2026) ont été classés pour cette note, en indiquant pour chacun si un contrôle classique aurait suffi (la section 9 en donne quinze). Quatre nouveautés en ressortent.

L'injection de prompt, surtout indirecte. Nommée par Simon Willison en septembre 2022, formalisée par Greshake et ses coauteurs en février 2023 (les applications intégrant un modèle de langage « brouillent la ligne entre données et instructions » [S16]), elle consiste à placer une instruction dans un contenu que l'IA lira plus tard : page web, courriel, document partagé, ticket de support, description d'un outil. L'attaquant n'a besoin d'aucun accès ; il suffit que sa donnée soit lue. Antivirus, détection sur les postes, gestion des identités ne voient rien : le modèle agit avec les droits légitimes de l'utilisateur. La Cloud Security Alliance constate en avril 2026 que l'injection indirecte a franchi la ligne de la preuve de concept vers l'exploitation réelle [S18].

La persistance. Une injection ou un empoisonnement survit à la session et contamine les décisions suivantes : mémoire persistante d'un assistant (ChatGPT, « SpAIware », 2024 [S20]), fichiers de règles d'assistants de code contenant des caractères invisibles (Cursor, Copilot, 2025 [S21]), index documentaire d'un système de recherche (cinq textes injectés dans une base de millions de documents suffisent à dicter 90 % des réponses sur une question, PoisonedRAG, 2024 [S22]), poids d'un modèle (250 documents empoisonnés suffisent quelle que soit la taille du modèle, Anthropic, UK AISI et Alan Turing Institute, octobre 2025 [S23]). Les contrôles classiques n'ont pas d'inventaire de ces états : on scanne des fichiers, pas des « souvenirs ».

L'agence. Replit (juillet 2025 : un agent efface une base de production malgré un gel de code et une consigne de ne rien changer sans accord [S24]), OpenClaw (février 2026 : un agent supprime des centaines de courriels en ignorant les ordres d'arrêt [S25]), le serveur MCP de GitHub (mai 2025 : un agent lit des dépôts privés et les publie, sans qu'aucune permission soit violée [S26]) montrent que la consigne en langage naturel n'est pas un contrôle et que la confirmation humaine se neutralise par la fatigue de validation (« toujours autoriser »). L'OWASP a codifié ce passage dans un Top 10 pour les applications agentiques (décembre 2025) : détournement d'objectif, mauvais usage d'outils, abus de privilèges, empoisonnement de mémoire, agents déviants [S27].

La véracité et la responsabilité. Aucun contrôle de sécurité ne vérifie qu'une réponse est vraie. Air Canada a été condamnée (février 2024) pour un tarif inventé par son chatbot ; le tribunal a jugé qu'il n'y a aucune différence selon que l'information vient d'une page statique ou d'un chatbot [S28]. C'est un risque juridique porté par la technologie, pas par une faille.

Et ce qui n'est pas nouveau, mais s'aggrave : la fuite de données par usage (Samsung, 2023 : code source collé dans ChatGPT [S66]) relève de la politique d'usage et de la prévention des fuites ; la fraude au président par voix clonée ou vidéo truquée (243 000 dollars en 2019 [S67] ; 25,6 millions de dollars chez Arup à Hong Kong en 2024, par une visioconférence entièrement truquée [S29]) relève de la double validation hors bande, vieille de vingt ans. Ce qui change est qualitatif sur un point : la preuve « je l'ai vu et entendu » n'a plus de valeur de contrôle.

Le signal de 2026. La plupart des incidents IA n'ont pas de CVE ; sur les huit incidents du premier trimestre 2026 relevés par l'OWASP, le seul doté d'un CVE est le plus classique (Flowise, exécution de code à distance sur douze à quinze mille instances non corrigées sept mois après le correctif) [S30]. Autrement dit, la gestion de vulnérabilités traditionnelle, à elle seule, ne verra pas passer les autres.

5. Les défenses : pourquoi le problème est dit non résolu, et ce qui marche quand même

Les défenses filtrantes ne tiennent pas face à un attaquant qui itère. Douze défenses récentes contre l'injection, qui annonçaient un taux d'attaque proche de zéro, ont été contournées à plus de 90 % par des chercheurs d'OpenAI, d'Anthropic, de Google DeepMind et de l'ETH Zurich (« The Attacker Moves Second », à paraître à USENIX Security 2026) [S31]. Les scores publiés des classifieurs d'injection sont gonflés de 8 à 16 points par des artefacts de jeux de données (2026) [S32]. Le NIST, par la voix d'Apostol Vassilev : « There are theoretical problems with securing AI algorithms that simply haven't been solved yet. If anyone says differently, they are selling snake oil » [S33]. Le NCSC recommande de se méfier des produits qui promettent d'« arrêter » l'injection [S6]. Aucun test indépendant d'efficacité n'a été trouvé pour les « pare-feu IA » du commerce.

Les seules défenses à garantie renoncent à l'agent généraliste. CaMeL (Google DeepMind et ETH, mars 2025) compile la requête de confiance en code restreint et suit la provenance de chaque donnée jusqu'à l'appel d'outil : 77 % des tâches d'un banc d'essai résolues avec sécurité prouvable, contre 84 % sans défense [S34] ; Simon Willison y voit la première mitigation de l'injection de prompt qui revendique des garanties fortes [S35]. Six patrons de conception (quatorze auteurs d'IBM, Google, Microsoft, ETH, juin 2025) partent du même principe : une fois qu'un agent a ingéré une entrée non fiable, il doit être contraint de sorte qu'il soit impossible que cette entrée déclenche une action conséquente [S36]. Meta formule une « règle de deux » (octobre 2025) : un agent ne cumule pas, dans une même session, plus de deux des trois propriétés « traite des entrées non fiables », « accède à des données sensibles », « peut agir ou communiquer vers l'extérieur » [S37]. Ce sont des contraintes d'architecture, imposées hors du modèle.

Ce qui converge, en pratique, entre NCSC, Google, OWASP et Microsoft [S6] [S12] [S27] [S8] :

1. Les décisions d'autorisation se prennent hors du modèle, par du code déterministe, avec un privilège aligné sur la tâche courante ; l'agent qui lit le contenu d'une source n'a que les privilèges de cette source.
2. Les actions irréversibles exigent une confirmation humaine ; le plan de l'agent est observable avant exécution ; les appels d'outils sont journalisés.
3. Le risque résiduel d'injection est accepté explicitement par le propriétaire du risque. Si l'usage ne le tolère pas, pas de modèle de langage dans la boucle.
4. On casse volontairement la triade létale : pas d'agent qui, à la fois, lit du contenu externe, accède à des données privées et peut communiquer vers l'extérieur.

6. « Avec l'aide de l'IA » : ce qui est prouvé, ce qui ne l'est pas

Prouvé. Des agents trouvent et corrigent des vulnérabilités réelles : à la finale du concours AIxCC de la DARPA (août 2025), les sept systèmes ont trouvé 86 % des 63 failles injectées, corrigé 68 %, et découvert 18 failles réelles non plantées, à environ 152 dollars la tâche ; les systèmes sont publiés en source ouverte [S38]. Big Sleep (Google) a trouvé une faille dans SQLite avant toute version publique (2024) [S39] ; CodeMender (Google DeepMind) a envoyé 72 correctifs en amont de projets libres (2025), chacun relu par un humain [S40]. Côté détection de phishing, un modèle de langage reconnaît l'intention frauduleuse bien au-dessus de 90 % avec peu de faux positifs (Harvard, 2024) [S41]. Côté analyse d'incidents, le seul essai randomisé (Microsoft, sur son propre produit) donne des analystes 22 % plus rapides et 7 % plus précis, le gain réel étant concentré sur l'analyse de scripts [S42].

Pas prouvé, ou pas encore. La détection « à froid » de vulnérabilités par un modèle seul reste faible : sur un banc d'essai nettoyé (PrimeVul, ICSE 2025), un modèle de code tombe de 68 % à 3 % de score F1, et GPT-4 fait « à peu près du hasard » dans les réglages les plus stricts [S43] ; les succès viennent d'agents outillés (compilation, exécution, fuzzing), d'un point de départ concret (87 % d'exploitation d'une faille connue avec sa description, 7 % sans [S44]) et d'une validation humaine que chaque acteur sérieux revendique. L'efficacité des copilotes de sécurité du commerce : le « 98 % » d'un éditeur est un taux de concordance avec ses propres analystes, les « 40 heures économisées » un produit d'un temps estimé [S45] ; aucune étude indépendante n'a été trouvée pour les autres. Les capacités annoncées de modèles de dernière génération en recherche de failles (« des milliers de zéro-days », 2026) sont, à ce jour, invérifiables depuis l'extérieur [S46].

L'asymétrie. Le phishing généré par IA obtient le même taux de clic que celui d'experts humains (54 %), à une fraction du coût (Harvard, 2024 ; repris par Microsoft et l'ENISA) [S41]. Des campagnes d'intrusion orchestrées par un agent ont été documentées (Anthropic, 2025 : une trentaine de cibles, 80 à 90 % des opérations tactiques exécutées par l'IA), avec un aveu utile : le modèle « hallucinait » parfois des identifiants et surestimait ses trouvailles [S47]. Le NCSC juge presque certain que l'IA raccourcira encore le délai entre divulgation et exploitation, déjà de quelques jours [S48]. Verizon et OpenAI convergent : l'IA est, pour l'instant, un multiplicateur d'efficacité, pas une capacité inédite [S64].

Les risques de s'y fier. Le biais d'automatisation est mesuré en centre d'opérations de sécurité (696 analystes, 2026) : l'automatisation déplace l'attention et réduit la surveillance des résultats automatiques ; seule mitigation démontrée, des procédures de vérification systématiques [S49]. Le code généré par IA introduit une faiblesse dans environ 45 % des tâches testées (Veracode, 2025) [S50]. Le projet curl a fermé son programme de primes aux bogues en février 2026 sous le flot de rapports générés par IA et hallucinés [S51].

Ce que cela veut dire pour une entreprise ordinaire. « Avec l'aide de l'IA » est réaliste pour : le tri du phishing avec un humain sur les cas limites ; l'analyse de scripts et les résumés d'incidents ; la revue de code assistée, avec exécution en bac à sable et relecture ; le red teaming de ses propres déploiements d'IA avant mise en production, avec des outils libres. À éviter sans mesure propre : clore automatiquement des alertes sur la foi d'un chiffre d'éditeur ; déployer un « pare-feu IA » comme unique barrière ; laisser un agent cumuler données, entrées externes et capacité d'agir. Et à budgéter : le temps de vérification humaine, un pilote sur ses propres données avant tout achat (mesurer les faux négatifs, pas la concordance), et le patch management, première « aide de l'IA » puisque c'est l'attaquant qui en profite d'abord.

7. Le cadre belge et européen, en quatre dates

Trois faits de contexte : 34,5 % des entreprises belges de dix salariés et plus utilisaient au moins une technologie d'IA en 2025 (24,7 % en 2024 ; 76,4 % des grandes, 28,8 % des petites), contre 20 % dans l'Union (Statbel et Eurostat via le SPF Économie) [S58] ; le CCB déclare n'avoir pas encore vu d'attaque menée par des agents IA (29 septembre 2026) mais présume l'automatisation [S5] ; aucune doctrine belge de sécurité de l'IA n'a été trouvée (le CCB s'en remet à l'AI Act et à CyberFundamentals ; son Frontier AI Hub annonce des recommandations pour fin 2026), et aucune check-list « sécurité de l'IA pour PME » chez les fédérations. Une entreprise belge francophone s'appuie donc sur l'ENISA, l'AI Act, CyberFundamentals, l'Autorité de protection des données et, pour le technique, sur l'ANSSI et la CNIL.

8. Dix thèses pour la discussion

1. L'IA n'est pas une application comme une autre, mais elle s'installe sur une pile comme les autres, et c'est là que les brèches commencent : 97 % des brèches IA sans contrôle d'accès IA [S1].
2. La frontière entre données et instructions, sur laquelle repose toute la sécurité applicative depuis les requêtes paramétrées, n'existe pas dans un modèle de langage. C'est la nouveauté de fond ; tout le reste en découle [S6] [S16].
3. L'injection de prompt n'a pas de correctif. Elle se gère comme un risque résiduel permanent, par l'architecture : privilèges de l'agent ramenés à ceux de la source la moins fiable, décisions prises hors du modèle, confirmation humaine des actions irréversibles [S6] [S36].
4. Une consigne en langage naturel n'est pas un contrôle. « Ne fais rien sans mon accord » n'a arrêté ni Replit ni OpenClaw [S24] [S25].
5. Le mandataire lit tout et obéit à tout. Un agent qui cumule données privées, contenu non fiable et canal de sortie est exploitable ; on casse la triade, on ne la filtre pas [S17] [S37].
6. La persistance change l'inventaire. Mémoires, index documentaires, fichiers de règles et poids de modèles sont des actifs à inventorier, à protéger et à purger [S20] [S21] [S22] [S23].
7. La preuve audiovisuelle n'a plus de valeur de contrôle. La parade de la fraude au président reste la double validation hors bande [S29].
8. L'entreprise répond de ce que dit son IA. Un chatbot est une page du site, pas « une entité juridique distincte » [S28].
9. « Avec l'aide de l'IA » est réaliste sur peu de choses mesurées, et la première est le patch management, parce que l'attaquant va plus vite que le défenseur [S48].
10. « Les risques et la sécurité sont à gérer en parallèle et non en préalable à la réflexion sur les opportunités » (Cigref) : ni blocage, ni feuille blanche ; inventaire, charte, outil approuvé, formation consignée, socle CyberFundamentals [S63].

9. Quinze incidents, et ce qu'un contrôle classique aurait pu

10. Vingt-deux mesures pour une entreprise ordinaire, par priorité

P1 : semaines 1 à 4, coût quasi nul. P2 : dans les trois mois. P3 : dans l'année. P4 : selon l'exposition. Les sources sont celles des sections 2 à 7, plus le Playbook du NIST [S59], la note de la CSA sur le shadow AI [S60], la check-list de gouvernance de l'OWASP [S61] et les recommandations de l'ANSSI [S62].

P1 — Voir et cadrer

1. Inventorier tous les usages d'IA : outils SaaS, fonctions IA embarquées (bureautique, CRM), extensions de navigateur, comptes personnels, scripts et agents ; objectif, données, fournisseur, propriétaire [S59] [S60].
2. Déterminer son rôle au sens de l'AI Act (déployeur dans la plupart des cas) et classer chaque usage : interdit, haut risque, transparence, minimal (parcours du SPF Économie) [S58].
3. Publier une charte d'usage d'une à deux pages : outils autorisés, données interdites dans les prompts, validation humaine, transparence vis-à-vis des clients, signalement d'incident, révision annuelle ; la communiquer activement [S63].
4. Fournir un outil d'IA générative approuvé sous compte professionnel (clause de non-entraînement, contrat de sous-traitance) plutôt qu'interdire [S60].
5. Désactiver par défaut l'entraînement sur les données et l'historique dans les outils autorisés [S57].
6. Tenir une première séance de « maîtrise de l'IA » (art. 4) : hallucinations, injection, données à ne jamais saisir, phishing et deepfakes ; consigner les présences [S52].

P2 — Durcir le socle

1. Mettre le socle au niveau CyberFundamentals Small ou Basic : MFA partout, sauvegardes testées, correctifs rapides, détection sur les postes, gestion des comptes [S5].
2. Raccourcir le délai d'application des correctifs sur ce qui est exposé [S5] [S48].
3. Adapter la sensibilisation au phishing : les fautes d'orthographe ne sont plus un signal ; urgence, demandes de codes, voix truquées [S41].
4. Établir une matrice données × outils (publiques, internes, confidentielles, restreintes) [S60].
5. Passer en revue les contrats des fournisseurs d'IA : entraînement sur mes données, rétention, sous-traitants et localisation, contrat art. 28 RGPD, notification d'incident, certifications, documentation du modèle, conformité AI Act et CRA ; pour un achat structurant, le questionnaire AI-CAIQ de la CSA [S14] [S56].
6. Intégrer l'IA au plan de réponse à incident : données collées dans un outil public, action non voulue d'un agent, fuite chez un fournisseur ; qualification RGPD (72 h) et NIS2 [S59].

P3 — Structurer

1. Nommer un référent IA ou un petit comité (direction, IT, DPO, métier) : inventaire, validation des nouveaux usages, revue annuelle de la charte [S59] [S61].
2. Formaliser une grille d'évaluation des cas d'usage avant déploiement : finalité, données, risque AI Act, base légale, analyse d'impact, contrôle humain, réversibilité, fournisseur [S56].
3. Journaliser les usages des outils d'entreprise ; revoir les accès ; auditer la présence d'IA non autorisée [S1].
4. Détecter le shadow AI de façon proportionnée : journaux DNS et proxy, extensions de navigateur ; un courtier d'accès pour les plus grands [S60].
5. Traiter les assistants de programmation comme un cas particulier : revue de code, secrets, licences, dépendances [S62] [S50].
6. Vérifier la couverture d'assurance : exclusions ou avenants IA dans les polices responsabilité civile, cyber, professionnelle.
7. Contrôle humain et transparence pour les usages à impact (recrutement, évaluation, décisions clients) ; information des travailleurs [S54] [S57].

P4 — Selon l'exposition

1. Entité NIS2 : systèmes et fournisseurs d'IA dans l'analyse de risque et la gestion de la chaîne d'approvisionnement ; label CyberFundamentals avant le 18 avril 2027 (entités essentielles) [S55].
2. Usage d'agents : identité propre par agent avec propriétaire, jetons courts limités à la tâche, séparation lecture/écriture, liste blanche d'outils, journaux lisibles de chaque action, approbation humaine des actions à enjeu, bac à sable pour les agents locaux ; ne jamais réunir contenu non fiable, données sensibles et capacité d'agir dans une même session [S27] [S37] [S9].
3. Haut risque ou développement interne : programme complet (NIST AI RMF ou ISO/IEC 42001), tests, red teaming, cartes de modèles, analyses d'impact ; échéance du 2 décembre 2027 [S59] [S65] [S53].

11. Limites de cette note

Plusieurs sites étaient inaccessibles aux outils de lecture le 15 octobre 2026 (CNIL, ISO, site officiel de MITRE ATLAS, certaines pages d'OpenAI et de presse) ; leur contenu est alors cité par une source secondaire, signalée dans la liste des sources. Les chiffres sur le shadow AI proviennent pour l'essentiel d'éditeurs de solutions de prévention des fuites : ils sont cités avec cette réserve. Les capacités annoncées par les éditeurs de modèles sont rapportées comme déclarations, non comme mesures, chaque fois qu'aucune vérification indépendante n'existe. Le tableau des incidents repose, ligne par ligne, sur une source primaire ou une presse spécialisée ; les trente-trois incidents analysés et les vingt familles de menaces classées pour cette note y sont résumés, non reproduits. Les citations de sources anglophones sont données dans leur langue d'origine ou traduites par nos soins.

12. Sources

Toutes les sources ont été consultées le 15 octobre 2026, sauf mention contraire. La liste est commune à l'entrée anglaise et à sa version française.

1. S1 Official (vendor study, press release). IBM, "IBM Report: 13% of Organizations Reported Breaches of AI Models or Applications, 97% of Which Reported Lacking Proper AI Access Controls", 30 July 2025. https://newsroom.ibm.com/2025-07-30-ibm-report-13-of-organizations-reported-breaches-of-ai-models-or-applications,-97-of-which-reported-lacking-proper-ai-access-controls
2. S2 Official (government). CISA, Christine Lai and Jonathan Spring, "Software Must Be Secure by Design, and Artificial Intelligence Is No Exception", 18 August 2023. https://www.cisa.gov/news-events/news/software-must-be-secure-design-and-artificial-intelligence-no-exception
3. S3 Official (joint guidance). NSA AISC, CISA, FBI, ASD ACSC, CCCS, NCSC-NZ, NCSC-UK, Deploying AI Systems Securely, 15 April 2024. https://www.cisa.gov/news-events/alerts/2024/04/15/joint-guidance-deploying-ai-systems-securely
4. S4 Vendor (research blog). NVIDIA AI Red Team, "Practical LLM Security Advice from the NVIDIA AI Red Team", 2025. https://developer.nvidia.com/blog/practical-llm-security-advice-from-the-nvidia-ai-red-team/
5. S5 Official (government). Centre for Cybersecurity Belgium, "AI accelerates and amplifies cyber threats: strengthen your basic security now", 29 September 2026. https://ccb.belgium.be/news/ai-accelerates-and-amplifies-cyber-threats-strengthen-your-basic-security-now
6. S6 Official (government). UK National Cyber Security Centre, David C., "Prompt injection is not SQL injection (it may be worse)", 8 December 2025. https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection
7. S7 Official (standards community). OWASP, LLM01:2025 Prompt Injection, Top 10 for LLM Applications 2025. https://genai.owasp.org/llmrisk/llm01-prompt-injection/
8. S8 Vendor (white paper). Microsoft AI Red Team, Taxonomy of Failure Modes in Agentic AI Systems, 24 April 2025. https://www.microsoft.com/en-us/security/blog/2025/04/24/new-whitepaper-outlines-the-taxonomy-of-failure-modes-in-ai-agents/
9. S9 Official (government). CERT-FR (ANSSI), CERTFR-2026-ACT-016 — Agents IA autonomes sur postes de travail, 13 avril 2026. https://cert.cyber.gouv.fr/actualite/CERTFR-2026-ACT-016/
10. S10 Official (standards body). ISO/IEC JTC 1/SC 27, ISO/IEC 27090 — Cybersecurity — Artificial intelligence — Guidance for addressing security threats to artificial intelligence systems, official abstract, stage 60.00 at 19 August 2026. https://committee.iso.org/standard/56581.html
11. S11 Official (government). ANSSI, « Intelligence artificielle », cyber.gouv.fr, 2026. https://cyber.gouv.fr/enjeux-technologiques/intelligence-artificielle/
12. S12 Vendor (white paper). Google, An Introduction to Google's Approach for Secure AI Agents, May 2025. https://services.google.com/fh/files/misc/google_approach_for_secure_ai_agents.pdf
13. S13 Official (EU agency). ENISA, Multilayer Framework for Good Cybersecurity Practices for AI, 7 June 2023. https://www.enisa.europa.eu/publications/multilayer-framework-good-cybersecurity-practices-ai
14. S14 Industry body. Cloud Security Alliance, AI Controls Matrix (v1.1), 2025. https://cloudsecurityalliance.org/artifacts/ai-controls-matrix
15. S15 Press (trade). IT Brief, "Forrester launches AEGIS to help CISOs secure agentic AI systems", August 2025 (Forrester report not open access). https://itbrief.co.uk/story/forrester-launches-aegis-to-help-cisos-secure-agentic-ai-systems
16. S16 Research (preprint, later AISec 2023). Kai Greshake, Sahar Abdelnabi, Shailesh Mishra, Christoph Endres, Thorsten Holz and Mario Fritz, Not what you've signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection, arXiv:2302.12173, 23 February 2023. https://arxiv.org/abs/2302.12173
17. S17 Research (practitioner blog). Simon Willison, "The lethal trifecta for AI agents", 16 June 2025. https://simonwillison.net/2025/Jun/16/the-lethal-trifecta/
18. S18 Industry body (research note). Cloud Security Alliance, Indirect Prompt Injection in the Wild, 26 April 2026. https://labs.cloudsecurityalliance.org/research/csa-research-note-indirect-prompt-injection-in-the-wild-2026/
19. S19 Press (specialised). BleepingComputer, "Zero-click AI data leak flaw uncovered in Microsoft 365 Copilot" (EchoLeak, CVE-2025-32711), 11 June 2025. https://www.bleepingcomputer.com/news/security/zero-click-ai-data-leak-flaw-uncovered-in-microsoft-365-copilot/
20. S20 Research (practitioner blog). Johann Rehberger, "SpAIware: ChatGPT macOS app persistent data exfiltration", Embrace the Red, 20 September 2024. https://embracethered.com/blog/posts/2024/chatgpt-macos-app-persistent-data-exfiltration/
21. S21 Vendor (research). Pillar Security, "New vulnerability in GitHub Copilot and Cursor: how hackers can weaponize code agents" (Rules File Backdoor), 18 March 2025. https://www.pillar.security/blog/new-vulnerability-in-github-copilot-and-cursor-how-hackers-can-weaponize-code-agents
22. S22 Research (USENIX Security 2025). Wei Zou, Runpeng Geng, Binghui Wang and Jinyuan Jia, PoisonedRAG, arXiv:2402.07867, 12 February 2024. https://arxiv.org/abs/2402.07867
23. S23 Vendor (research). Anthropic, UK AI Security Institute and the Alan Turing Institute, "A small number of samples can poison LLMs of any size", 9 October 2025. https://www.anthropic.com/research/small-samples-poison
24. S24 Press. Fortune, "AI-powered coding tool wiped out a software company's database in 'catastrophic failure'", 23 July 2025. https://fortune.com/2025/07/23/ai-coding-tool-replit-wiped-database-called-it-a-catastrophic-failure/
25. S25 Official (OECD AI incidents monitor). OECD.AI, incident of 23 February 2026 (OpenClaw agent deleting e-mails). https://oecd.ai/en/incidents/2026-02-23-d55b
26. S26 Vendor (research). Invariant Labs, "GitHub MCP exploited: accessing private repositories via MCP", 26 May 2025. https://invariantlabs.ai/blog/mcp-github-vulnerability
27. S27 Official (standards community). OWASP, Top 10 for Agentic Applications for 2026, 9 December 2025. https://genai.owasp.org/resource/owasp-top-10-for-agentic-applications-for-2026/
28. S28 Press (regional), reporting the decision Moffatt v. Air Canada, Civil Resolution Tribunal (British Columbia), 14 February 2024. Daily Hive, "Air Canada chatbot decision". https://dailyhive.com/canada/air-canada-chatbot-decision
29. S29 Press. Fortune Europe, "Arup confirms it was the victim of a $25 million deepfake scam", 17 May 2024. https://fortune.com/europe/2024/05/17/arup-deepfake-fraud-scam-victim-hong-kong-25-million-cfo/
30. S30 Official (standards community). OWASP GenAI Security Project, Exploit Round-up Report Q1 2026, 14 April 2026. https://genai.owasp.org/2026/04/14/owasp-genai-exploit-round-up-report-q1-2026/
31. S31 Research (USENIX Security 2026). Milad Nasr, Nicholas Carlini et al., The Attacker Moves Second: Stronger Adaptive Attacks Bypass Defenses Against LLM Jailbreaks and Prompt Injections, arXiv:2510.09023, 10 October 2025. https://arxiv.org/abs/2510.09023
32. S32 Research (preprint, AIWILD workshop at ICLR 2026). Fomin, When Benchmarks Lie, arXiv:2602.14161, 15 February 2026. https://arxiv.org/abs/2602.14161
33. S33 Press (specialised), quoting NIST's Apostol Vassilev. SecurityWeek, "NIST: No Silver Bullet Against Adversarial Machine Learning Attacks", 8 January 2024. https://www.securityweek.com/nist-no-silver-bullet-against-adversarial-machine-learning-attacks/
34. S34 Research (preprint). Edoardo Debenedetti, Ilia Shumailov, Florian Tramèr et al., Defeating Prompt Injections by Design (CaMeL), arXiv:2503.18813, 24 March 2025. https://arxiv.org/abs/2503.18813
35. S35 Research (practitioner blog). Simon Willison, "CaMeL offers a promising new direction for mitigating prompt injection attacks", 11 April 2025. https://simonwillison.net/2025/Apr/11/camel/
36. S36 Research (preprint). Luca Beurer-Kellner, Florian Tramèr et al., Design Patterns for Securing LLM Agents against Prompt Injections, arXiv:2506.08837, 10 June 2025. https://arxiv.org/abs/2506.08837
37. S37 Vendor (engineering blog). Meta, "Agents Rule of Two: a practical approach to AI agent security", 31 October 2025. https://ai.meta.com/blog/practical-ai-agent-security/
38. S38 Official (government agency). DARPA, "AIxCC results", 8 August 2025. https://darpa.mil/news/2025/aixcc-results
39. S39 Vendor (research). Google Project Zero and DeepMind, "From Naptime to Big Sleep", 1 November 2024. https://projectzero.google/2024/10/from-naptime-to-big-sleep.html
40. S40 Vendor (research). Google DeepMind, "Introducing CodeMender: an AI agent for code security", 6 October 2025. https://deepmind.google/discover/blog/introducing-codemender-an-ai-agent-for-code-security/
41. S41 Research (preprint; journal version 2026). Fred Heiding, Simon Lermen, Andrew Kao, Bruce Schneier and Arun Vishwanath, Evaluating Large Language Models' Capability to Launch Fully Automated Spear Phishing Campaigns, arXiv:2412.00586, 30 November 2024. https://arxiv.org/abs/2412.00586
42. S42 Vendor (blog reporting a randomised trial). Microsoft, "Microsoft Copilot for Security is generally available on April 1, 2024", 13 March 2024. https://www.microsoft.com/en-us/security/blog/2024/03/13/microsoft-copilot-for-security-is-generally-available-on-april-1-2024-with-new-capabilities/
43. S43 Research (ICSE 2025). Yangruibo Ding et al., Vulnerability Detection with Code Language Models: How Far Are We? (PrimeVul), arXiv:2403.18624. https://arxiv.org/abs/2403.18624
44. S44 Research (preprint). Richard Fang, Rohan Bindu, Akul Gupta and Daniel Kang, LLM Agents can Autonomously Exploit One-day Vulnerabilities, arXiv:2404.08144, 11 April 2024. https://arxiv.org/abs/2404.08144
45. S45 Vendor (press release). CrowdStrike, "CrowdStrike Delivers Next Breakthrough in AI-Powered Agentic Cybersecurity with Charlotte AI Detection Triage", 13 February 2025. https://www.crowdstrike.com/en-us/press-releases/crowdstrike-delivers-next-breakthrough-in-ai-powered-agentic-cybersecurity-with-charlotte-ai-detection-triage/
46. S46 Vendor (announcement). Anthropic, Project Glasswing, 7 April 2026 (updated 6 October 2026). https://www.anthropic.com/glasswing
47. S47 Vendor (threat report). Anthropic, "Disrupting the first reported AI-orchestrated cyber espionage campaign", 13 November 2025. https://www.anthropic.com/news/disrupting-AI-espionage
48. S48 Official (government). UK National Cyber Security Centre, The near-term impact of AI on the cyber threat (assessment to 2027), 7 May 2025. https://www.ncsc.gov.uk/report/impact-ai-cyber-threat-now-2027
49. S49 Research (peer-reviewed). Jack Tilbury and Stephen Flowerday, "The vigilance paradox: automation reliance inside the SOC", Information and Computer Security, 2026. https://www.emerald.com/ics/article/doi/10.1108/ICS-08-2025-0318/1334832/The-vigilance-paradox-automation-reliance-inside
50. S50 Vendor (press release). Veracode, "AI-Generated Code Poses Major Security Risks in Nearly Half of All Development Tasks", 30 July 2025. https://www.veracode.com/press-release/ai-generated-code-poses-major-security-risks-in-nearly-half-of-all-development-tasks-veracode-research-reveals/
51. S51 Press (specialised). BleepingComputer, "curl ending bug bounty program after flood of AI slop reports", January 2026. https://www.bleepingcomputer.com/news/security/curl-ending-bug-bounty-program-after-flood-of-ai-slop-reports/
52. S52 Official (EU). European Commission, "AI literacy — Questions & Answers", updated 27 July 2026. https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers
53. S53 Official (EU law). Regulation (EU) 2026/1744 amending Regulation (EU) 2024/1689 ("Digital Omnibus on AI"), Official Journal of 24 July 2026. https://eur-lex.europa.eu/eli/reg/2026/1744/oj/eng
54. S54 Official (EU law, annotated). Regulation (EU) 2024/1689 (AI Act), Article 26 "Obligations of deployers of high-risk AI systems". https://artificialintelligenceact.eu/article/26/
55. S55 Official (government). Centre for Cybersecurity Belgium, "NIS2: 18 April 2026 deadline — what essential entities must have in place", 16 April 2026. https://ccb.belgium.be/news/nis2-18-april-2026-deadline-what-essential-entities-must-have-place
56. S56 Official (regulator). Autorité de protection des données (Belgique), Les systèmes d'intelligence artificielle et le RGPD sous l'angle de la protection des données, décembre 2024. https://autoriteprotectiondonnees.be/publications/brochure-d-information-sur-les-systemes-d-intelligence-artificielle-et-le-rgpd.pdf
57. S57 Official (regulator). Autorité de protection des données (Belgique), L'impact de l'intelligence artificielle sur la vie privée, avril 2026. https://www.dataprotectionauthority.be/publications/l-impact-de-l-intelligence-artificielle-sur-la-vie-privee.pdf
58. S58 Official (government). SPF Économie (Belgique), page et parcours « AI Act », mise à jour du 3 septembre 2026 (chiffres d'adoption de Statbel et Eurostat, 2025). https://economie.fgov.be/fr/themes/entreprises/ai-act
59. S59 Official (government). NIST, AI RMF Playbook. https://airc.nist.gov/airmf-resources/playbook
60. S60 Industry body (research note). Cloud Security Alliance, Shadow AI Apps in the Enterprise, 30 May 2026. https://labs.cloudsecurityalliance.org/wp-content/uploads/2026/05/CSA_research_note_shadow_ai_apps_enterprise_20260530-csa-styled.pdf
61. S61 Official (standards community). OWASP, LLM Applications Cybersecurity and Governance Checklist, v1.1, May 2024. https://genai.owasp.org/resource/llm-applications-cybersecurity-and-governance-checklist-english/
62. S62 Official (government). ANSSI, Recommandations de sécurité pour un système d'IA générative, 29 avril 2024. https://messervices.cyber.gouv.fr/guides/recommandations-de-securite-pour-un-systeme-dia-generative
63. S63 Industry body. Cigref, Note d'information et d'actualité — Recommandations au sujet des IA génératives, juillet 2023 (PDF hébergé par l'Enssib). https://www.enssib.fr/bibliotheque-numerique/documents/71371-note-d-information-et-d-actualite-du-cigref-recommandations-au-sujet-des-ia-generatives.pdf
64. S64 Press (trade), reporting the Verizon 2025 Data Breach Investigations Report. Fierce Network, "Verizon: hackers try, fail to exploit GenAI (for now)", April 2025. https://www.fierce-network.com/broadband/verizon-hackers-try-fail-exploit-genai-now
65. S65 Official (standards body). ISO/IEC 42001:2023, Information technology — Artificial intelligence — Management system, IEC Webstore. https://webstore.iec.ch/publication/90574
66. S66 Press (specialised). Tech Monitor, "Samsung bans ChatGPT after employees leak sensitive data", May 2023. https://www.techmonitor.ai/technology/cybersecurity/samsung-bans-chatgpt
67. S67 Vendor (research), reporting the Wall Street Journal. Trend Micro, "Unusual CEO Fraud via Deepfake Audio Steals US$243,000 from U.K. Company", September 2019. https://www.trendaisecurity.com/en-us/resources-insights/research/unusual-ceo-fraud-via-deepfake-audio-steals-us-243-000-from-u-k-company
68. S68 Press (specialised). BleepingComputer, "OpenAI: ChatGPT payment data leak caused by open-source bug", March 2023. https://www.bleepingcomputer.com/news/security/openai-chatgpt-payment-data-leak-caused-by-open-source-bug/
69. S69 Vendor (research). Mithril Security, "PoisonGPT: how we hid a lobotomized LLM on Hugging Face to spread fake news", 9 July 2023. https://blog.mithrilsecurity.io/poisongpt-how-we-hid-a-lobotomized-llm-on-hugging-face-to-spread-fake-news/
70. S70 Vendor (research). Oligo Security, "ShadowRay: first known attack campaign targeting AI workloads actively exploited in the wild", March 2024. https://www.oligo.security/blog/shadowray-attack-ai-workloads-actively-exploited-in-the-wild
71. S71 Research (practitioner blog). Johann Rehberger, "Google Bard data exfiltration", Embrace the Red, November 2023. https://embracethered.com/blog/posts/2023/google-bard-data-exfiltration/
72. S72 Vendor (research). JFrog, "Data scientists targeted by malicious Hugging Face ML models with silent backdoor", 27 February 2024. https://jfrog.com/blog/data-scientists-targeted-by-malicious-hugging-face-ml-models-with-silent-backdoor/
73. S73 Press. Fortune, "Microsoft's AI Copilot can be hacked with a prompt injection attack" (Zenity, Black Hat), 13 August 2024. https://fortune.com/2024/08/13/microsoft-ai-copilot-hacking-prompt-injectoin-attack-black-hat
74. S74 Vendor (research). PromptArmor, "Data exfiltration from Slack AI via indirect prompt injection", 20 August 2024. https://promptarmor.substack.com/p/data-exfiltration-from-slack-ai-via
75. S75 Press (specialised). Security Affairs, "Attackers exploit critical Flowise flaw CVE-2025-59528 for remote code execution", April 2026. https://securityaffairs.com/190471/security/attackers-exploit-critical-flowise-flaw-cve-2025-59528-for-remote-code-execution.html
76. S76 Related entry in this knowledge base. "Assistant or agent? What Anthropic's merger of chat and Cowork moved across the line", KB-AI entry 3. https://www.cd-consulting-rd.be/KB-AI/d2f8.html

Limites de la base de sources : le site officiel de MITRE ATLAS, les sites de la CNIL et de l'ISO et plusieurs pages d'OpenAI étaient inaccessibles le jour de la consultation ; quand un chiffre vient d'une source secondaire, c'est celle-ci qui est listée.