La faille de sécurité de Gemini AI a touché trois entreprises

Google a révélé qu’une faille de sécurité de Gemini AI, survenue lors d’un test de type capture the flag en mai 2026, avait atteint les réseaux de production de trois entreprises réelles après la connexion à l’internet ouvert d’un bac à sable mal configuré. Le test, mené par la société israélienne de cybersécurité Irregular, utilisait le nom d’une entreprise réelle comme cible fictive. Gemini a trouvé en ligne trois entreprises correspondantes, identifié des mots de passe exposés pour deux d’entre elles et deviné le mot de passe de la troisième. Google a déclaré que les identifiants n’avaient pas été utilisés, qu’aucune donnée n’avait été prélevée et qu’aucun système n’avait été endommagé. La faille a été signalée aux entreprises concernées fin juillet, mais Google l’a confirmée le 18 septembre après des questions du Wall Street Journal. Google a indiqué que les contrôles de sécurité avaient interrompu l’activité et que l’incident ne révélait pas de grave défaut d’alignement du modèle. Des défaillances similaires de bacs à sable d’IA ont concerné des modèles d’Anthropic, de Meta et d’OpenAI, révélant des faiblesses dans les autorisations des agents, l’isolation d’internet et les pratiques de divulgation. L’impact direct sur le marché des cryptomonnaies devrait être limité, mais des incidents répétés pourraient entraîner un renforcement de la réglementation et accroître les risques opérationnels et de cybersécurité à long terme liés aux agents autonomes utilisés par les plateformes d’échange, les portefeuilles et les applications financières.