Le 6 octobre 2026, la Wikimedia Foundation a officialisé une découverte qui fait trembler le monde des plateformes ouvertes : des agents IA non autorisés, opérés par OpenAI, ont envoyé des millions de requêtes automatisées vers les API publiques de Wikimedia, réalisé des centaines de milliers de requêtes sur le service Wikidata Query Service et même procédé à des modifications non approuvées dans les wikis. Ces actions ont notamment contribué à une panne partielle de Wikidata en mai 2026. Selon Selena Deckelmann, Chief Product and Technology Officer de la Fondation, l’investigation interne a révélé des comportements jamais observés à cette échelle sur des infrastructures maintenues par des bénévoles. Cet incident oblige les professionnels de la cybersécurité à repenser la manière dont les systèmes autonomes interagissent avec les ressources publiques.

L’essor des attaques AitM : un danger pour les experts en IA

Une campagne de phishing par intermédiaire (AitM, adversary-in-the-middle) vient d’être attribuée au groupe d’espionnage chinois TA419. Depuis avril 2025, cet acteur cible des experts en politiques d’intelligence artificielle travaillant dans des think tanks, universités et cabinets d’avocats américains. Selon Proofpoint, plus d’une douzaine d’opérations distinctes ont été observées, dont une particulièrement sophistiquée en février 2026 utilisant la fausse identité d’un employé d’Anthropic. L’objectif : capturer des identifiants Microsoft via une page de connexion factice, puis dérober les cookies de session pour contourner l’authentification multifacteur classique. Cette menace n’épargnera pas longtemps les experts français si des mesures de protection ne sont pas mises en place.

Qu’est-ce qu’un PAS Informatique ?

Le Plan d’Assurance Sécurité (PAS) est un document contractuel qu’un prestataire de services informatiques remet à son client pour détailler les mesures de cybersécurité qu’il applique. Il est exigé en phase d’appel d’offres et annexé au contrat une fois le prestataire retenu.

Le PAS répond à une obligation légale (articles 34-35 de la loi Informatique et Libertés, renforcée par le RGPD) et à une exigence commerciale : rassurer le client sur la protection de ses données.