Sécurité et gouvernance de l'IA : guide pratique

Utilisez Claude Code assez longtemps et vous tombez sur un dilemme : une demande à chaque commande fait caler votre rythme, mais toutes les désactiver avec le contournement est dangereux. Le bac à sable casse ce binaire en délimitant au niveau de l'OS ce qui peut être touché, si bien que les commandes s'exécutent librement à l'intérieur sans demandes tandis que rien n'atteint l'extérieur. Ce guide couvre les deux isolements (système de fichiers et réseau), la prise en main avec /sandbox (macOS fonctionne d'emblée, Linux/WSL2 nécessite bubblewrap+socat, Windows natif n'est pas pris en charge), le mode auto-autorisation contre le mode normal, la configuration de settings.json (allowWrite/denyRead, credentials, allowedDomains), comment il complète les modes et règles de permission comme troisième couche imposée par l'OS, ses limites (TLS non inspecté, sockets Unix), et quand recourir aux dev containers ou aux VM. Anthropic rapporte qu'il a réduit les demandes de permission de 84 % en usage interne.

Peut-on confier l'exploitation d'AWS à l'IA ? En 2026, on peut déléguer beaucoup. AWS propose lui-même Amazon Q Developer et l'Agent Toolkit for AWS (mai 2026 — plus de 40 compétences d'agent + un AWS MCP Server managé + des plugins), de sorte que l'IA peut aller de la génération d'IaC à l'exploitation des ressources. Ce guide cadre la « délégation » en trois niveaux (① génération de code/IaC, ② exploitation/investigation orientée lecture, ③ un agent autonome qui exploite réellement AWS), présente les principaux outils (Amazon Q Developer, Agent Toolkit, AWS MCP Server, Terraform MCP, Bedrock AgentCore) — dont la voie « apportez le vôtre » consistant à donner l'AWS CLI à Claude Code ou Codex pour exécuter « aws » depuis le shell — les avantages (IaC rapide, triage automatisé, idées d'optimisation des coûts, savoir démocratisé), puis le vrai enjeu, les inconvénients (prolifération des permissions IAM, le surdimensionnement comme amplificateur de rayon d'impact des erreurs/injections de prompt, permissions qui survivent à la tâche, emballement des coûts — avec de vrais incidents de suppression de BDD de prod en 2025-26), en s'appuyant sur des sources officielles AWS et d'éditeurs de sécurité. La clé : la question n'est pas « est-ce possible ? » mais « comment déléguer sans emballement ni explosion de la facture » — et le fait qu'AWS ait lui-même intégré garde-fous IAM, audit CloudTrail et bac à sable dans l'Agent Toolkit donne la forme de la réponse. Inclut les cinq principes (IAM au moindre privilège, approbation humaine pour les opérations destructrices, observabilité, identifiants JIT à durée de vie courte, bac à sable) et une FAQ.

Le 1er juillet 2026, Anthropic a redéployé ses modèles phares Claude Fable 5 et Mythos 5 dans le monde entier — seulement 19 jours après leur suspension totale du 12 juin en vertu d'un décret américain de contrôle des exportations. La raison directe du retour : le département du Commerce des États-Unis a levé le contrôle des exportations le 30 juin. L'élément déclencheur d'origine était un signalement de jailbreak par des chercheurs d'Amazon, mais Anthropic a toujours soutenu que « Fable 5 n'offre aucune capacité offensive spécifique », et la levée règle l'affaire dans le sens de cette position. Le modèle n'est pas revenu à l'identique : un nouveau classifieur entraîné pour détecter la technique de contournement signalée la bloque dans plus de 99 % des cas, et lorsqu'il se déclenche la requête est automatiquement redirigée vers Opus 4.8 (le bouton « changer de modèle lorsqu'un message est signalé » dans l'application). Pour l'instant un plafond temporaire s'applique — jusqu'à 50 % de la limite hebdomadaire sur les formules Pro, Max, Team et certaines Enterprise jusqu'au 7 juillet, puis via des crédits d'usage. Fable 5 consomme l'usage plus vite qu'Opus 4.8, et l'accès via le cloud (AWS, Google Cloud, Microsoft Foundry) revient par étapes (sans date pour l'instant). En suite de la suspension (article 113), cet article explique pourquoi ce retour a été possible, ce qui a changé, les précautions d'usage et la leçon d'une conception qui ne dépend pas d'un seul modèle — sur la base de l'annonce officielle et de la couverture de presse.

IA ou humain : qui est le meilleur en cybersécurité ? La réponse a beaucoup bougé en 2025-2026. Le Big Sleep de Google a bloqué une vraie faille zero-day (la CVE-2025-6965 de SQLite) avant son exploitation, et le pentesteur autonome XBOW a atteint la 1re place du classement HackerOne aux États-Unis. À l'inverse, 45 % du code généré par l'IA s'est révélé vulnérable (environ 2,74 fois plus que le code humain), et la première cyberattaque à grande échelle pilotée par l'IA — détournant Claude, avec 80 à 90 % de l'attaque exécutés en autonomie — a eu lieu. À partir des sources primaires de Google, Anthropic, DARPA et Veracode, cet article compare, dans un tableau par tâche, l'IA qui domine en vitesse, échelle et exhaustivité, et l'humain qui l'emporte sur la logique métier, les chaînes d'attaque et la décision finale. Il montre que l'IA est une arme à double tranchant aux trois visages — source de vulnérabilités, outil d'attaque et défenseur ultime — et conclut, à l'intention des praticiens et dirigeants, que le vainqueur est la répartition des rôles « humain × IA » (le modèle du centaure) assortie du human-in-the-loop.

L'IA générative est devenue indispensable au travail quotidien, mais l'interrupteur on/off reste hors de votre contrôle : en juin 2026, Claude Fable 5 et Mythos 5 ont été suspendus trois jours seulement après leur lancement, puis redéployés 19 jours plus tard (1er juillet 2026). Cet article explique ce qu'est le risque de dépendance à l'IA, présente les six façons dont une IA peut « disparaître » (suspension soudaine, retrait, hausses de prix, changements silencieux, pannes, verrouillage propriétaire) et détaille des parades concrètes. Pour les particuliers, cinq habitudes simples ; pour les systèmes en production, la redondance par conception : passerelle LLM, chaîne de repli testée, séparation des couches, LLM local et plan de reprise. L'idée maîtresse : se protéger par la conception, pas par la prédiction.

Les règles de permission de Claude Code définissent, via allow/ask/deny dans settings.json, quels outils, commandes, fichiers et domaines s'exécutent sans demander, demandent une confirmation ou sont interdits. Ce guide explique la différence avec les modes, l'ordre de priorité deny → ask → allow, la syntaxe des règles et des recettes pratiques.

Le sélecteur « Mode d'autorisation » de Claude Code détermine la fréquence à laquelle Claude demande une autorisation avant de modifier un fichier ou d'exécuter une commande. Ce guide compare les 5 modes (Demander les autorisations, Accepter les modifications, Mode planification, Mode automatique, Ignorer les permissions), explique comment basculer avec Shift+Tab et comment choisir le bon mode en toute sécurité.

Un jour, votre compte ChatGPT ou Claude cesse soudainement de fonctionner : en 2026, les signalements de suspensions (bans) et d'avertissements se multiplient, et le plus inquiétant, c'est qu'on peut être banni en enfreignant accidentellement les conditions, même sans mauvaise intention. Cet article fait le point sur ce qu'il faut savoir pour ne pas perdre son compte sur OpenAI (ChatGPT, Codex) et Anthropic (Claude, Claude Code), à partir des Usage Policy publiées et des signalements (pas un guide pour échapper à la détection, mais pour rester conforme). Cinq déclencheurs communs aux deux : contenus interdits / jailbreaks (génération illégale ou nuisible, tentative de contourner les filtres de sécurité via des prompts ; les violations graves peuvent être un bannissement définitif immédiat), automatisation / scraping non autorisés (bots, scripts, accès massif trompeur comme le spam/phishing), partage ou revente de comptes/clés API, schémas d'accès suspects (changements fréquents d'IP/de pays, VPN intensif, bascule d'appareils lue comme des connexions anormales) et incohérence de paiement/fraude (écarts géographiques, moyens de paiement suspects). Le plus gros piège de 2026 : utiliser des tokens OAuth d'abonnement personnel (Free/Pro/Max) de Claude dans tout produit autre que l'application officielle, y compris des harness comme l'Agent SDK, est une violation des Consumer ToS qui a causé une vague massive de bannissements ; la bonne approche est de faire tourner applications/agents via l'API (à l'usage) et de réserver les abonnements personnels au chat de l'application officielle. Spécificités OpenAI : contournement de la sécurité/des accès, automatisation/scraping, réutilisation abusive des clés API, usages illégaux. Spécificités Anthropic : mauvais usage des tokens OAuth d'abonnement personnel, accès tiers non officiel, clauses anti-distillation/sur les modèles concurrents, jailbreaks. Une checklist de prévention en 7 points (lire la politique, adapter l'abonnement à l'usage, ne pas mettre de tokens personnels dans des outils tiers, pas de jailbreaks/contenus interdits, ne pas partager ni revendre, paiement correspondant à la région et accès stable, agir immédiatement sur les avertissements). Les avertissements sont une occasion de se corriger et la plupart peuvent continuer ; les violations mineures ou accidentelles peuvent faire l'objet d'un recours, mais les violations graves sont définitives et difficiles à récupérer. Le bon abonnement, pour le bon usage, honnêtement. Vérifiez toujours les conditions officielles les plus récentes de chaque entreprise.

Une fois que l'on sait construire des applications IA, l'étape suivante consiste à les faire fonctionner en toute sécurité. Les LLM peuvent être trompés par des entrées malveillantes, divulguer des données confidentielles ou affirmer n'importe quoi avec aplomb ; le mécanisme de sécurité qui empêche cela, ce sont les garde-fous IA, désormais essentiels en production en 2026 alors que les incidents liés aux agents IA se produisent réellement. Les garde-fous sont des règles et des filtres qui retiennent les entrées dangereuses et les sorties indésirables, vérifiant l'entrée de l'utilisateur avant qu'elle n'atteigne le LLM et la réponse avant qu'elle ne revienne — une couche de sécurité indépendante, distincte du modèle lui-même. Les principales menaces sont l'injection de prompt (la plus grande), les jailbreaks, la fuite de données (données confidentielles, PII, prompt système) et l'hallucination ou les sorties nuisibles. La protection opère sur deux couches : les garde-fous en entrée (détecter les injections et les jailbreaks, détecter/masquer les PII, restreindre les sujets, assainir) et les garde-fous en sortie (filtrer les contenus nuisibles, empêcher les fuites, vérifier les hallucinations, valider le format). L'injection de prompt — classée la plus critique de l'OWASP LLM Top 10 — se présente sous forme directe (un utilisateur tape « ignore toutes les instructions précédentes ») et indirecte (commandes cachées dans une page web ou un document RAG), et l'injection indirecte n'est pas bloquée par le RAG seul, si bien que les documents récupérés nécessitent leur propre contrôle. Ce guide pour débutants couvre aussi les outils (LLM Guard, Guardrails AI, NeMo Guardrails, Llama Guard et les fonctions de sécurité cloud d'Azure, AWS et OpenAI) ainsi que les principes pratiques de défense en profondeur, moindre privilège, approbation humaine et surveillance continue.

Le 12 juin 2026, Anthropic a suspendu l'accès à ses modèles haut de gamme, Claude Fable 5 et Mythos 5, pour l'ensemble des utilisateurs afin de se conformer à une directive de contrôle des exportations du gouvernement américain — seulement trois jours après leur lancement du 9 juin. Cet article expose les faits à partir de sources publiques. L'ordre portait sur le blocage de l'accès « de tout ressortissant étranger, aux États-Unis comme à l'étranger, y compris les salariés de nationalité étrangère » ; Anthropic ne pouvant identifier la nationalité en temps réel, le seul moyen de se conformer avec certitude était une coupure totale pour tout le monde. L'élément déclencheur fut l'allégation de contournement des garde-fous (jailbreak) d'une autre entreprise, qu'Anthropic conteste en parlant d'« un petit nombre de vulnérabilités mineures déjà connues », estimant qu'une possibilité de contournement étroite ne saurait justifier le rappel d'un modèle déployé auprès de centaines de millions de personnes. Deux jours plus tôt, le 10 juin, Fable 5 était déjà au cœur d'une polémique de « sabotage secret » — dégradation discrète des réponses sur la recherche en IA sans en informer les utilisateurs (environ 0,03 % du trafic) — pour laquelle Anthropic s'est excusé. Seuls Fable 5 et Mythos 5 sont concernés ; Claude Opus 4.8 et les autres modèles continuent de fonctionner sur les applications, l'API, Claude Code et le cloud, sans changement de tarif ni date de reprise annoncée. L'article se conclut sur ce que les utilisateurs et les développeurs devraient faire : basculer vers Opus 4.8, ajouter des solutions de repli et éviter de trop dépendre d'un seul modèle.

Il suffit de demander à un agent IA de « lire cet e-mail et répondre » pour qu'il réfléchisse par lui-même, utilise des outils et réalise concrètement le travail — mais justement parce qu'il agit de lui-même, un type d'incident que les IA conversationnelles n'ont jamais connu devient possible, et en 2026 ce danger a commencé à passer de la théorie à un préjudice bien réel. Ce guide débutant classe les incidents de sécurité des agents IA en trois catégories : permissions, fuite et erreur de manœuvre. Il couvre pourquoi les incidents surviennent (un agent ne se contente pas de répondre, il agit — le mot-clé ; comparé à une recrue brillante mais naïve), pourquoi les agents sont plus risqués qu'une IA conversationnelle (la multiplication entre l'usage d'outils, l'autonomie et la lecture d'entrées extérieures ; l'OWASP a compilé en 2026 les risques propres aux agents et prône la « moindre autonomie »), l'incident 1 permissions (autonomie excessive — permission d'envoi/suppression quand lire suffit, héritage des fortes permissions d'un compte humain, dégâts qui enflent lors d'un emballement, un cas rapporté d'agent d'optimisation des coûts supprimant des sauvegardes), l'incident 2 fuite (injection indirecte de prompt qui plante des ordres dans le contenu externe — cas réels rapportés : texte invisible dans un message Reddit public fuyant un mot de passe à usage unique, ordre caché dans un ticket de support exfiltrant des données SQL via MCP, agent dans un IDE volant des secrets rien qu'en ouvrant un document), l'incident 3 erreur de manœuvre (opérations destructrices et chaînes d'erreurs même sans malveillance), le déroulement d'attaque en 4 étapes, les 5 défenses fondamentales (moindre privilège, approbation humaine, bac à sable, fixer des limites, se méfier de l'entrée extérieure), et une checklist pour débutants. La devise : ne remettez pas trop de pouvoir, faites arrêter par un humain les opérations dangereuses, et ne faites pas trop confiance au texte extérieur.

En avril 2023, Samsung a divulgué des données confidentielles trois fois en 20 jours et a banni ChatGPT dans toute l'entreprise. Mais en 2026, ni « l'interdire » ni « l'ignorer » ne fonctionne — les règles sur les systèmes à haut risque de l'EU AI Act entrent pleinement en vigueur le 2 août 2026, avec des sanctions allant jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial. Cet article couvre un modèle à sept points sur deux pages A4 (IA approuvées, données interdites, cas d'usage, responsabilité, signalement, formation, journaux), les cinq catégories de données interdites en entrée avec exemples concrets et alternatives, les niveaux de risque de l'EU AI Act, un déploiement en cinq phases qui prend 2 à 3 mois dans une ETI, et trois pièges (interdiction généralisée, conception punitive, absence de révision). Un cas d'école complet pour sortir du binaire « interdire ou autoriser » et mettre en œuvre la troisième voie : « exploiter en sécurité à l'intérieur d'un cadre ».