En août 2026, une équipe de chercheurs en sécurité a révélé une faille inédite affectant les API de raisonnement des principaux fournisseurs d’intelligence artificielle : OpenAI, Anthropic et Google. En exploitant la manière dont ces API transportent le raisonnement caché entre les appels, ils ont pu récupérer des secrets internes, y compris des clés API, des mots de passe et des tokens d’accès, à partir de simples logs de sessions. Sur 6 708 traces d’agents publiques, 315 320 blocs de raisonnement ont été décodés, dont 704 artefacts de confidentialité issus de sessions utilisateur réelles : 62 clés API, 33 mots de passe, 24 jetons d’accès et sept clés privées. Cette vulnérabilité des API de raisonnement IA soulève des questions fondamentales sur la sécurité des mécanismes de raisonnement opaque promis par les四大四大 (les quatre grands) fournisseurs.

54 % des attaques réussies sont détectées par les équipes de sécurité, et seulement 14 % donnent lieu à une alerte. Ce chiffre, issu d’une étude récente du Picus Security, illustre le fossé grandissant entre le volume des menaces et la capacité des organisations à y répondre. Face à ce constat et à une pénurie mondiale de plus de 4 millions de professionnels de la cybersécurité (ISC2, 2025), OpenAI a décidé de passer à la vitesse supérieure. Selon le rapport annuel d’IBM, le coût moyen d’une fuite de données atteignait 4,88 millions de dollars en 2025, un chiffre qui souligne l’urgence d’automatiser la détection et la réponse aux incidents. L’entreprise a dévoilé GPT 5.6 Cyber, un modèle d’intelligence artificielle spécialement conçu pour la recherche de vulnérabilités, les tests d’intrusion et la réponse aux incidents. Mais attention : cet outil surpuissant n’est pas accessible au grand public. Réservé à une poignée de partenaires soigneusement sélectionnés - parmi lesquels Accenture, CrowdStrike ou encore Capgemini - il promet de révolutionner les opérations de cybersécurité. Décryptage de cette annonce qui secoue le secteur et interroge sur la place de l’IA générative dans la sécurité des systèmes d’information.

Et si un simple email, sans pièce jointe malveillante ni lien suspect, pouvait capturer votre mot de passe Outlook ? C’est la démonstration choc faite par le chercheur Gareth Heyes (PortSwigger) lors de la conférence Black Hat USA 2026. Ses travaux révèlent une nouvelle génération d’attaques CSS webmail capables de franchir les barrières de sécurité des messageries les plus utilisées au monde : Outlook, Gmail, Yahoo Mail, Proton Mail, Fastmail et AOL Mail.