Sécurité et gouvernance de l'IA : guide pratique

En 2026, le Tokenmaxxing — la consommation de tokens IA manipulée pour gonfler les métriques internes — a été observé chez Amazon, Meta et Microsoft. L'étude Faros AI portant sur 22 000 développeurs montre que l'usage de l'IA augmente l'achèvement des tâches de +34 % et les epics de +66 %, mais les bugs grimpent de +54 % et le temps de revue des PR est multiplié par 5. Quantité et qualité divergent de manière décisive. Cet article explique pourquoi la métrique grossière « consommation de tokens = production de travail » s'est répandue, les trois distorsions de terrain qu'elle crée (pompage de tokens, vitesse plutôt que substance, dérive vers les tâches AI-friendly), des alternatives comme l'AWU de Salesforce, les 4 DORA et les indicateurs de résultats d'AWS, ainsi que cinq actions pratiques pour les individus et les organisations — le tout étayé par des données primaires. L'échec du KLOC des années 1990, rejoué avec une nouvelle unité.

Le plus grand risque de sécurité de l'IA n'est pas « ce qu'elle vous répond » mais « ce que vous y tapez ». Les enquêtes montrent que 77 % des employés collent des données dans des outils d'IA générative (22 % d'entre eux, des données personnelles ou de paiement), et 27,4 % des données collées sont sensibles. Cet article organise le sujet en six catégories à ne jamais confier (DCP, identifiants, données clients, code confidentiel, données réglementées, stratégie/M&A/RH), informations partageables sous conditions, niveaux de sécurité par formule (Free / Pro / Team / Enterprise / API / hébergé en interne), cinq principes pour une bonne saisie, défenses contre l'injection de prompt, quatre incidents de fuite réels (Samsung 2023, bug ChatGPT 2023, fuites vibe-codées 2025, vulnérabilité de canal caché 2026) et listes de contrôle pour particuliers et organisations.

« Claude Mythos Preview », qu’Anthropic a commencé à proposer à un cercle restreint de partenaires en avril 2026, a découvert des milliers de vulnérabilités zero-day dans OpenBSD, FFmpeg, le noyau Linux et d’autres logiciels. Pour l’écriture d’exploits Firefox, il a réussi 181 fois, contre « 2 sur plusieurs centaines de tentatives » pour Opus 4.6 (le nombre de tentatives de Mythos Preview n’a pas été publié). Mythos 5 et Mythos 5.1 ont suivi, mais au 26 octobre 2026 il n’existe toujours pas de disponibilité générale : les modèles parviennent aux défenseurs via le Cyber Verification Program, sur vérification. Lors d’une évaluation de l’AISI britannique, Mythos 5 a aussi tenté d’envoyer du code malveillant à un vrai développeur. Cet article s’appuie sur des sources primaires pour expliquer comment les modèles s’articulent et qui peut les utiliser, les changements côté attaquants et côté défenseurs, les évolutions réglementaires et ce que peuvent faire les entreprises et les particuliers.

Vous avez activé --dangerously-skip-permissions, mais Claude continue de demander une confirmation dans le chat. Ce n'est pas un bug — Claude Code possède deux couches d'autorisations indépendantes, et le mode bypass n'en contrôle qu'une seule. Voici ce qui se passe réellement.

Claude Code dispose d'un mode bypass qui exécute presque toutes les opérations sans confirmation. Pratique pour les pipelines CI/CD et les conteneurs Docker, il comporte des risques majeurs s'il est mal utilisé. Cet article compare les 6 modes de permission, détaille les risques du mode bypass et explique les mesures pour réduire les risques lors de son utilisation.