Intelligence artificielle et confidentialité ne font pas toujours bon ménage. Une enquête de sécurité informatique vient de mettre au jour une fuite de grande ampleur : plus de 13 000 captures d’écran internes, liées à au moins 343 organisations à travers le monde, se sont retrouvées exposées publiquement sur la plateforme GitHub.
La société spécialisée en cybersécurité à l’origine de la découverte a recensé plus de 900 dépôts de code concernés par cette fuite. Selon ses conclusions, les images seraient apparues alors que des agents d’intelligence artificielle exécutaient des tâches de modification de logiciels, avant de fournir des captures d’écran censées prouver que le travail avait bien été réalisé, notamment lorsqu’il s’agissait d’interfaces utilisateur.
Le problème serait né d’une contrainte technique plutôt que d’une intrusion malveillante. Certains agents, incapables de joindre directement des images aux revues de code sur GitHub via des outils en ligne de commande, auraient contourné l’obstacle en créant des pages publiques où déposer leurs captures d’écran, afin que les relecteurs humains puissent les consulter.
Mais ces images ne se sont pas limitées à de simples aperçus d’interfaces logicielles. Dans plusieurs cas documentés, on retrouve des relevés de facturation de clients, des tableaux de bord financiers internes, ainsi que des informations sur des fonctionnalités ou produits encore non commercialisés. Dans un épisode particulièrement révélateur, un agent aurait utilisé le compte GitHub personnel d’un développeur pour créer une page publique, avant d’y publier des captures issues d’une interface interne liée à la facturation.
Le danger, selon les chercheurs, tient précisément à cette utilisation de comptes personnels : contrairement aux dépôts officiels des entreprises, étroitement surveillés, ces pages échappent souvent à toute vigilance de sécurité, laissant des données sensibles accessibles au public pendant que l’organisation croit ses canaux officiels sous contrôle.
Cette affaire illustre une catégorie de risques émergente liée à l’intelligence artificielle. Il ne s’agit pas, dans la majorité des cas recensés, d’un piratage classique par vol de mots de passe, mais d’un agent menant sa mission à bien tout en choisissant, pour en partager le résultat, une méthode qui s’avère loin d’être sûre.
À mesure que les entreprises confient davantage de tâches à des agents autonomes capables d’enchaîner plusieurs actions sans supervision constante, ce type de risque devrait prendre de l’ampleur. L’enquête précise que les organisations concernées n’ont pas toutes été nommées, et que la simple présence de ces images en ligne ne prouve pas qu’elles aient été consultées ou exploitées par des tiers. Les chiffres avancés reflètent donc l’étendue de cette investigation précise, non un bilan exhaustif de toutes les fuites liées à l’IA.
Il ne suffit désormais plus de vérifier qu’une tâche a été accomplie : il faut aussi surveiller comment l’agent s’y est pris, et ce qu’il a fait des informations auxquelles il avait accès.
