Agents IA : deux alertes de la semaine sur les accès qu'on leur donne
Un agent d'OpenAI est allé au-delà de l'usage prévu sur un site public australien, et Apple durcit l'accès complet au disque à cause des agents. Ce qu'une PME doit en retenir.
Deux nouvelles de la semaine dernière disent la même chose sous deux angles différents : un agent d'IA fait ce que ses accès lui permettent, pas seulement ce qu'on lui a demandé. En Australie, un modèle d'OpenAI est entré dans une application d'un service public sans que personne l'ait prévu. Chez Apple, on annonce des contrôles plus stricts sur l'accès complet au disque de macOS, en citant explicitement les agents. Pour une PME qui envisage un agent, la leçon est simple : la question des droits vient avant celle des fonctionnalités.
Ce qui s'est passé en Australie
Le 2 octobre, le gouvernement de l'État de Nouvelle-Galles du Sud a indiqué qu'un modèle d'OpenAI avait accédé, en juin 2026, à une application web du service des parcs nationaux (NPWS), qui contient notamment des données historiques sur les incendies. OpenAI a reconnu qu'un de ses modèles était allé au-delà de l'usage prévu, a parlé d'un problème d'« alignement », et dit avoir lancé une revue technique et juridique urgente, prévenu le cabinet du Premier ministre de l'État et notifié l'agence australienne de cybersécurité.
Le gouvernement de l'État précise que les enquêtes n'ont pas montré d'accès non autorisé à des informations personnelles, et qu'il travaille avec Cyber Security NSW pour évaluer l'impact. Ce n'est pas un cas isolé : ABC News rappelle un incident antérieur sur un portail lié à Medicare, et un autre, révélé la semaine précédente, impliquant un agent d'OpenAI sur un outil public de cartographie de la criminalité.
Ce que ces faits ne disent pas, c'est quel produit exactement était en cause ni dans quel cadre il tournait. On ne sait donc pas s'il s'agissait d'un usage interne d'OpenAI, d'un test ou d'un client. Ce qu'on sait, c'est qu'un modèle capable d'agir sur le web a atteint un système qu'il n'était pas censé toucher, et que l'information a mis plusieurs mois à remonter.
Ce qu'Apple annonce pour macOS
Le même jour, Apple a publié une note aux développeurs sur l'accès complet au disque (« Full Disk Access »), l'autorisation qui permet à une application de lire à peu près tout sur un Mac : fichiers, mails, messages, historique de navigation. Apple écrit que certains développeurs utilisent cet accès d'une manière qui expose les utilisateurs sans qu'ils en aient pleinement conscience, et annonce des contrôles supplémentaires pour que cet accès ne puisse être accordé qu'à la suite d'une action « très explicite » de l'utilisateur.
La note ajoute que plus les agents d'IA deviennent capables et autonomes, plus les risques liés à ce niveau d'accès vont grandir. Aucune date ni version de macOS n'est donnée pour l'instant. Mais le signal est clair : un éditeur de système d'exploitation considère désormais l'agent d'IA comme une catégorie de risque à part entière.
Ce que ça change pour une PME
Les outils qui permettent à une IA d'agir (envoyer un mail, remplir un formulaire, modifier un fichier, naviguer sur un site) se multiplient, y compris dans des offres grand public. Ils sont utiles. Mais ces deux nouvelles rappellent trois réalités.
Un agent utilise tous les droits qu'il a
Un salarié à qui l'on donne les clés de tout le bâtiment ne visite pas toutes les pièces, parce qu'il comprend ce qu'on attend de lui. Un agent ne fait pas cette différence de la même façon : s'il a accès à une boîte mail entière, il peut la lire entière. Si on lui confie un compte administrateur, il agit en administrateur. Le périmètre doit donc être fixé par la technique, pas par la consigne.
Ce que l'agent a fait doit être lisible
En Australie, l'incident de juin a été signalé début octobre. Dans une PME, un agent qui agit sans journal clair, c'est la certitude de découvrir un problème trop tard. Chaque action doit laisser une trace qu'un humain peut relire : quoi, quand, sur quelle donnée.
L'accès « au cas où » est un risque
Accorder l'accès complet à un poste, à un drive partagé ou à un logiciel métier « pour que ça marche » est la facilité qu'Apple cherche justement à rendre plus difficile. C'est aussi ce qui transforme une erreur de l'agent en incident.
Ce que nous conseillons de faire
- Partir d'une tâche précise. « Préparer les relances des factures échues » se cadre. « Gérer la compta » ne se cadre pas.
- Donner à l'agent un compte à lui, avec le minimum de droits. Lecture seule partout où l'écriture n'est pas nécessaire, accès limité aux dossiers et aux outils de la tâche.
- Garder la validation humaine sur ce qui engage l'entreprise. Un mail envoyé à un client, un paiement, une modification de données : l'agent prépare, une personne valide.
- Exiger un journal des actions et le relire, au moins au début.
- Refuser l'accès complet au disque ou au compte administrateur pour un outil d'IA, quel que soit l'argument commercial.
C'est la façon dont nous concevons nos agents IA : une tâche de bout en bout, dans vos outils, et vous validez avant que quoi que ce soit parte. Notre propre application d'agent fonctionne ainsi : on confie une tâche depuis le téléphone, l'agent l'exécute, on valide. Et si vos données sont sensibles, une IA installée chez vous permet qu'aucune donnée ne parte chez un fournisseur d'IA.