IA — du 12 au 19 juillet 2026 : l’agent autonome devient un vecteur d’attaque, le Digital Omnibus reste non publié, Inkling ramène les poids ouverts au contact de la frontière

La semaine du 12 au 19 juillet 2026 déplace la question de sécurité. Pendant deux quinzaines, l’attention portait sur le déploiement de l’IA en entreprise et sur le coût des agents. En huit jours, six faits distincts établissent autre chose : l’agent autonome est devenu un vecteur d’intrusion à part entière. Hugging Face divulgue une intrusion en production menée de bout en bout par un agent, un outil de codage exfiltre des dépôts Git complets vers le stockage de son éditeur, deux failles d’extension de navigateur permettent la lecture d’une messagerie professionnelle, et Microsoft corrige 570 vulnérabilités en un seul cycle, hausse qu’il attribue à sa propre découverte assistée par IA.

En arrière-plan, un fait réglementaire de portée directe se confirme par l’absence : le Digital Omnibus n’est toujours pas publié au Journal officiel de l’Union européenne au 20 juillet, ce qui laisse le 2 août 2026 comme date applicable en droit alors que beaucoup d’organisations ont déjà replanifié leur conformité sur les reports annoncés. Le paysage des modèles connaît par ailleurs une inflexion mesurable : pour la première fois, un modèle de poids ouverts issu d’un laboratoire américain est évalué au contact de la frontière par une mesure tierce indépendante.

Sécurité : l’agent autonome passe du côté de l’attaquant

Une intrusion en production menée par un agent, de bout en bout

Le 16 juillet 2026, Hugging Face a divulgué une intrusion dans ses systèmes de production. Un jeu de données malveillant a exploité deux chemins d’exécution de code dans le pipeline de traitement, un chargeur de données à code distant et une injection de gabarit dans une configuration de dataset, pour s’exécuter sur un worker. L’agent a ensuite obtenu un accès au niveau du nœud, récolté des identifiants cloud et cluster, puis s’est déplacé latéralement dans plusieurs clusters internes au cours d’un week-end, en produisant selon l’entreprise des milliers d’actions individuelles réparties sur un essaim de bacs à sable éphémères. Le compromis porte sur un ensemble limité de datasets internes et sur plusieurs identifiants de service. Hugging Face indique qu’aucun modèle, dataset ou Space public n’a été altéré et que la chaîne d’approvisionnement logicielle a été vérifiée saine. (Source : Hugging Face)

Deux précisions sont nécessaires pour lire correctement cet épisode. L’entreprise reconnaît explicitement ne pas savoir quel modèle animait les agents attaquants ni si des données client ont été touchées, l’évaluation étant encore en cours à la publication ; la qualification de premier cas mondial provient de commentateurs et non de Hugging Face. Le point favorable mérite d’être noté au même titre : c’est un pipeline de détection d’anomalies à triage par modèle de langage qui a levé l’alerte, et la reconstitution de l’attaque a mobilisé des agents d’analyse sur plus de 17 000 événements enregistrés.

Ce qu’un outil installé sur un poste peut emporter

Un chercheur publiant sous le pseudonyme cereblab a documenté le comportement de la version 0.2.93 du CLI de codage Grok Build de xAI. L’outil téléversait l’intégralité des dépôts Git, historique de commits compris, vers un stockage cloud opéré par son éditeur, et non les seuls fichiers nécessaires à la tâche. Sur un dépôt de 12 gigaoctets dont le modèle n’a lu aucun fichier, le canal de stockage a transféré 5,10 gibioctets quand le trafic vers le modèle représentait environ 192 kilooctets. Un fichier de variables d’environnement suivi en versionnage est parti sans expurgation. Le même jour, le binaire a cessé d’émettre ces requêtes, le serveur renvoyant un indicateur de téléversement désactivé. Le correctif est silencieux : xAI n’a fait aucune déclaration publique et n’a indiqué ni la durée de conservation des dépôts collectés, ni le nombre d’utilisateurs concernés.

Deux défauts non corrigés de l’extension Claude for Chrome ont été publiés le 14 juillet par Manifold Security. Le gestionnaire de clic de l’extension ne vérifie pas l’authenticité de l’événement reçu, ce qui permet à des clics synthétiques d’être acceptés comme légitimes et déclenche des instructions préenregistrées, en six lignes de JavaScript. Un paramètre d’URL fait par ailleurs démarrer le panneau latéral en mode privilégié, contournant les demandes de consentement. Toute extension capable d’injecter du script sur le domaine du fournisseur peut ainsi faire lire à l’agent la messagerie, les documents et l’agenda de l’utilisateur. La portée réelle suppose deux conditions : une extension malveillante déjà installée, et le mode d’action sans confirmation activé, faute de quoi une boîte d’approbation subsiste. Les chercheurs indiquent avoir signalé ces défauts le 21 mai contre la version 1.0.72, et avoir vérifié le 7 juillet que le code concerné restait identique dans la version 1.0.80. (Source : Manifold Security)

Le volume de correctifs change d’ordre de grandeur

Le 14 juillet, Microsoft a corrigé 570 vulnérabilités en un seul cycle mensuel, contre 200 en juin 2026 et 137 en juillet 2025, dont 59 critiques et 3 failles de type zero-day dont deux déjà exploitées avant disponibilité du correctif. L’éditeur attribue cette inflation à son dispositif d’analyse de sécurité multi-modèles, qui mobilise plus de cent agents spécialisés chargés d’analyser le code, de débattre des constats et d’en valider la réalité. Cette attribution et le cadrage associé, selon lequel la hausse ne traduit pas une dégradation mais une détection plus précoce, relèvent de la communication de Microsoft et n’ont pas fait l’objet d’un constat indépendant. La conséquence pratique reste la même quelle que soit la cause : une politique de mise à jour calibrée sur une centaine de vulnérabilités par mois n’est plus dimensionnée.

Deux travaux publiés la même semaine complètent ce tableau. Le 13 juillet, Anthropic a publié un audit de 14 modèles de frontière issus de six organisations, conduit sur des déploiements simulés à raison de vingt exécutions par modèle et par scénario. Le laboratoire invite lui-même à ne pas lire le classement des modèles comme un palmarès, compte tenu du caractère ciblé de sa méthode. Le résultat le plus exploitable porte sur la sensibilité au cadrage : un même modèle placé en position de juge se trompe dans 74,4 % des cas sous cadrage standard et dans 3,3 % lorsque les conséquences de sa décision sont explicitées dans la consigne. (Source : Anthropic Alignment Science) Le 14 juillet, la société Tracebit a documenté une contre-mesure inverse, consistant à dissimuler dans des ressources leurres de courtes chaînes qui déclenchent les garde-fous du modèle attaquant et l’arrêtent. Sur 152 exécutions en environnement cloud simulé, les agents atteignaient au moins un chemin d’attaque dans 91 % des cas sans leurre contre 15 % avec. La limite est reconnue par les chercheurs : un modèle dont l’entraînement de sécurité a été retiré n’a pas de garde-fou à déclencher, et les agents légitimes de l’organisation peuvent eux-mêmes se bloquer sur ces leurres.

Conformité : le Digital Omnibus attend sa publication, le 2 août reste la date applicable

L’analyse précédente indiquait, après l’adoption formelle par le Conseil de l’Union européenne le 29 juin, que la publication au Journal officiel était imminente et que les reports étaient juridiquement acquis. Le contrôle des sommaires quotidiens du Journal officiel série L pour chaque date de la période, du 13 au 17 juillet, complété d’un contrôle au 20 juillet, établit l’inverse : aucune de ces éditions ne contient de règlement modifiant le règlement (UE) 2024/1689. L’acte final a bien été signé le 8 juillet, mais le texte demeure en attente de publication, et son entrée en vigueur est fixée au troisième jour suivant celle-ci. (Source : EUR-Lex)

La conséquence est directe et elle est de calendrier. Au 19 juillet, l’échéance du 2 août 2026 reste la date applicable en droit pour les obligations relatives aux systèmes à haut risque de l’annexe III comme pour l’article 50 sur la transparence et le marquage des contenus générés par IA. Les dates de report du 2 décembre 2027, du 2 août 2028 et du 2 décembre 2026 sont portées par un texte qui n’est pas encore entré en vigueur. Il s’agit selon toute vraisemblance d’un délai de procédure et non d’un blocage politique : la publication reste très probable avant le 2 août. Mais une entreprise qui a réaménagé sa feuille de route en tablant sur décembre 2027 fonde aujourd’hui sa planification sur une hypothèse favorable.

Deux absences aggravent la situation opérationnelle. Les lignes directrices de la Commission sur l’article 50, dont le premier projet date du 8 mai et dont la consultation s’est close le 3 juin, ne sont pas publiées. La guidance finale sur le signalement des incidents graves au titre de l’article 73 ne l’est pas davantage, alors que les délais de notification associés sont courts : quinze jours en principe, dix jours en cas de décès, deux jours en cas d’infraction de grande ampleur ou de perturbation d’infrastructure critique. Aucune ligne directrice ni code de bonnes pratiques n’a été publié pendant la période en vue de l’échéance. Les organisations concernées se trouvent donc devant un report qui n’est pas acquis et des modes d'emploi qui n’existent pas encore.

Un troisième élément, daté du 13 juillet, relève du même dossier sans en partager la portée. La Commission a publié une étude de faisabilité sur un registre à l’échelle de l’Union des réservations de droits exprimées par les titulaires au titre de l’exception de fouille de textes et de données. L’étude conclut qu’un tel registre pourrait constituer un instrument complémentaire utile, en s’appuyant sur des identifiants d’œuvres et sur l'empreinte numérique de contenu. Elle n’a aucune valeur normative et ne s’accompagne d’aucune proposition législative. (Source : Commission européenne)

Modèles : les poids ouverts au contact de la frontière

Le 15 juillet, Thinking Machines a publié Inkling, architecture Mixture-of-Experts de 975 milliards de paramètres totaux dont 41 milliards actifs, pré-entraînée sur 45 000 milliards de tokens de texte, d’images, d’audio et de vidéo, avec des entrées multimodales natives et une fenêtre de contexte allant jusqu’à un million de tokens sur les poids distribués. La licence retenue est Apache 2.0, donc libre d’usage commercial et sans redevance. (Source : Thinking Machines)

Ce qui distingue ce lancement tient à la nature de la mesure. Les performances proviennent d’une évaluation tierce indépendante et non du fournisseur : l’indice d’intelligence d’Artificial Analysis situe Inkling à 41, meilleur score d’un modèle de poids ouverts issu d’un laboratoire américain, devant Nemotron 3 Ultra à 38, Gemma 4 31B à 29 et gpt-oss-120b à 24. L’efficacité en tokens ressort également : 25 000 tokens de sortie en moyenne par tâche, contre 43 000 pour GLM-5.2 et 38 000 pour Kimi K2.6. Thinking Machines positionne pour sa part son modèle comme une fondation large et équilibrée plutôt que comme le plus performant du marché, et l’indice de 41 le place effectivement en deçà des frontières propriétaires. (Source : Artificial Analysis)

Deux annonces chinoises encadrent ce lancement, avec un niveau de vérifiabilité nettement inférieur. Le 16 juillet, Moonshot AI a annoncé Kimi K3, Mixture-of-Experts de 2 800 milliards de paramètres dont 16 experts activés par token, contexte d’un million de tokens, multimodal en entrée. Une précision de calendrier est déterminante pour l’entreprise : ce qui a été livré le 16 juillet est l’annonce et une API payante, les poids étant datés du 27 juillet. Au 19 juillet, Kimi K3 est donc un modèle propriétaire accessible par API dont l’ouverture est promise. Sa tarification marque en outre une hausse d’une génération à l’autre, à 3 dollars par million de tokens en entrée hors cache et 15 dollars en sortie, contre 0,95 et 4 dollars pour la génération précédente. Les comparaisons de performance publiées sont auto-déclarées par l’éditeur. Le 19 juillet, Alibaba a dévoilé Qwen3.8-Max-Preview, annoncé à 2 400 milliards de paramètres avec un contexte d’un million de tokens et commercialisé en préversion à 10 % du tarif standard. Le modèle reste fermé, aucun tableau de résultats n’est publié, aucune fiche technique n’étaye le nombre de paramètres annoncé, et le nombre de paramètres actifs par token, qui détermine réellement le coût et la latence sur une architecture creuse, n’est pas divulgué.

À l’autre extrémité du calendrier, Google a manqué la sienne. Le 16 juillet, la presse financière a rapporté que Gemini 3.5 Pro accusait plusieurs mois de retard, ses capacités de génération de code restant sous les objectifs internes, et l’action Alphabet a reculé d’environ 4,4 % le jour même, effaçant près de 200 milliards de dollars de capitalisation. Ces éléments proviennent de sources internes anonymes rapportées par voie de presse, sans aucune communication officielle de Google : au 19 juillet, il n’existe ni fiche modèle, ni page tarifaire, ni entrée correspondante dans la documentation publique de l’API, et aucune nouvelle date n’est annoncée. L’information est à traiter comme telle, mais son enseignement pour l’entreprise est solide : une annonce de modèle à venir n’est pas un engagement contractuel.

Infrastructure : la rareté du calcul se confirme sur trois annonces convergentes

Le 15 juillet, ASML a publié un chiffre d’affaires net de 9,3 milliards d’euros au deuxième trimestre, pour une marge brute de 54,0 % et un résultat net de 2,9 milliards, avec 86 nouveaux systèmes de lithographie vendus contre 67 au trimestre précédent. Le fabricant relève sa prévision annuelle de 36-40 à 43-45 milliards d’euros, soit environ 6 milliards de plus en un trimestre, et annonce une hausse de 30 % de sa capacité EUV low-NA et DUV immersion pour 2027. La lecture demande une réserve : ce relèvement traduit autant une prudence excessive en avril qu’une accélération réelle, et la surperformance provient largement de la gestion du parc installé, services et mises à niveau, plutôt que des seules machines neuves. (Source : ASML)

Le lendemain, TSMC a déclaré un chiffre d’affaires trimestriel consolidé d’environ 40,2 milliards de dollars, en hausse de 33,7 % sur un an, une marge brute de 67,7 % et un bénéfice net en progression de 77 %. Le fondeur porte son investissement annuel à 60-64 milliards de dollars et annonce 100 milliards supplémentaires en Arizona, ce qui porte son engagement total sur cet État à 265 milliards. Meta, de son côté, a annoncé le 13 juillet porter son supercluster Hyperion, en Louisiane, à 5 gigawatts pour un coût supérieur à 50 milliards de dollars, contre environ 10 milliards au lancement du projet et 27 milliards en octobre. Ces montants sont des engagements pluriannuels étalés et non des décaissements fermes : le calendrier de Meta prévoit 2 gigawatts vers 2030 et la pleine capacité vers 2032, une partie du financement passe par une coentreprise avec Blue Owl Capital, et le projet bénéficie d’incitations fiscales substantielles.

Une marge brute de 67,7 % chez un fondeur mesure le pouvoir de fixation des prix que confère la rareté, et le fait qu’ASML prépare 30 % de capacité supplémentaire sur ses lignes de lithographie pour 2027 indique que cette rareté est anticipée comme durable au moins jusqu’en 2028 par les acteurs qui la subissent en premier.

Déploiement et usages : les organisations se nomment, les résultats manquent encore

Le 15 juillet, Anthropic, Blackstone et Hellman & Friedman ont présenté officiellement Ode with Anthropic, société de services IA pour l’entreprise. La coentreprise avait été créée en mai 2026 et adossée à un engagement de 1,5 milliard de dollars, montant engagé et non capital déployé à ce jour ; la nouveauté du 15 juillet tient à la sortie de l’anonymat, avec un nom, des dirigeants et un actionnariat élargi à neuf institutions dont Goldman Sachs, General Atlantic, Apollo Global Management, GIC et Sequoia Capital. L’entreprise est bâtie sur Fractional AI, cabinet d’ingénierie appliquée racheté par la coentreprise, dont le cofondateur Chris Taylor devient directeur général. L’effectif est d’une centaine d’ingénieurs et le modèle repose sur des ingénieurs embarqués chez le client, avec un principe opérationnel donnant la priorité aux modèles Claude sans exclusivité. Aucun client n’est nommé, aucun contrat signé n’est communiqué et aucun modèle de facturation n’est divulgué. (Source : Hellman & Friedman)

Le constat vaut au-delà d’Ode. Aucun retour de terrain sur les organisations de déploiement créées ces dernières semaines, qu’il s’agisse de contrats signés, de clients nommés ou de modèles de facturation au résultat, n’a été rendu public pendant la période.

Oracle a introduit le 14 juillet, dans son atelier de développement d’agents pour Fusion Applications, une expérience réunissant no-code, low-code et pro-code, et admet explicitement les agents de codage concurrents, Codex d’OpenAI et Claude Code d’Anthropic, à l’intérieur de son propre environnement, sans coût additionnel de licence pour les clients Fusion existants. La gratuité annoncée porte sur la licence de l’outil et non sur la consommation d’inférence à l’exécution, poste qui reste le principal déterminant du coût réel. (Source : Oracle)

Une donnée d’usage, publiée le 16 juillet à l’occasion d’une levée de 1,505 milliard de dollars par la plateforme d’inférence Fireworks AI, mérite plus d’attention que le montant lui-même : plus de 95 % des tokens servis sur cette plateforme proviennent de modèles spécialisés sur les données propriétaires des clients, et non de modèles généralistes de frontière. Cette mesure est interne à la plateforme et n’est pas vérifiable indépendamment, au même titre que le revenu annualisé revendiqué ; NVIDIA y est par ailleurs à la fois investisseur et fournisseur. Elle n’en recoupe pas moins le mouvement observé du côté des modèles ouverts. (Source : Fireworks AI)

Gouvernance internationale : un cadre concurrent à Shanghai, un véhicule législatif bloqué à Washington

Vingt-neuf pays ont signé à Shanghai, le 16 juillet, l’accord instituant la World Artificial Intelligence Cooperation Organization, organisation intergouvernementale dont le siège est fixé dans cette ville. Parmi les fondateurs figurent la Russie, le Kazakhstan, le Pakistan, l’Indonésie, le Brésil, le Venezuela, Cuba, la Serbie, l’Éthiopie et le Cameroun. Aucune grande démocratie occidentale n’est signataire. L’organisation est naissante, sans norme technique ni instrument contraignant produit à ce stade, et son autorité réelle n’est pas démontrée : elle relève pour l’instant de la structure d’influence. L’enjeu pour les entreprises est de moyen terme et porte sur la perspective d’une fragmentation normative selon les marchés, à intégrer aux clauses de conformité multi-juridictionnelles des contrats. (Source : Gouvernement chinois)

Le 14 juillet, le Sénat américain n’a pas réuni la majorité requise pour ouvrir le débat sur la loi d’autorisation de la défense pour l’exercice 2027, par 50 voix contre 46, soit dix voix en deçà du seuil de 60. Les motifs d’opposition portent sur des sujets étrangers à l’IA. Cela emporte toutefois une conséquence pour un dossier suivi ici : l’amendement visant à sanctionner les entreprises chinoises pratiquant la distillation adversariale de modèles américains, né du signalement par Anthropic de l’affaire documentée fin juin, n’a pas progressé au fond, son véhicule législatif étant arrêté au stade procédural. L’arrêt est procédural : une motion de réexamen a été déposée, et ce texte est historiquement adopté chaque année. Pour une entreprise ayant intégré des modèles chinois dans ses chaînes applicatives, c’est un répit de calendrier sans changement de trajectoire de fond. (Source : Sénat des États-Unis)

Ce que cela change pour l’entreprise

La semaine laisse trois chantiers d’inégale urgence. Le premier est immédiat et relève de la sécurité : la doctrine d’usage des agents doit être révisée là où elle supposait que l’outil se contentait de traiter ce qu’on lui donnait. L’affaire Grok Build montre qu’un outil installé sur un poste peut emporter bien au-delà de ce qu’il lit, et que son réglage de confidentialité peut rester sans effet. Un prestataire doit donc être interrogé sur ce qui quitte le poste, sur le lieu de stockage et sur la durée de conservation, au même titre que sur la qualité des réponses de son IA.

Le deuxième est un chantier de conformité dont le calendrier vient de se resserrer. Tant que le Digital Omnibus n’est pas publié, le 2 août 2026 demeure la date applicable, et les lignes directrices censées expliciter les obligations de transparence et de signalement d’incidents ne sont pas disponibles. Traiter le report comme acquis reviendrait à faire reposer un plan de conformité sur un texte non entré en vigueur.

Le troisième relève de l’architecture et du coût. La convergence entre un modèle de poids ouverts mesuré au contact de la frontière par un tiers, une efficacité en tokens qui abaisse d’environ un tiers le coût par tâche, et la donnée de Fireworks selon laquelle l’usage réel se déporte massivement vers des modèles spécialisés, invite à rouvrir un arbitrage souvent tranché par défaut en faveur des grands modèles propriétaires. La tension du calcul documentée par ASML et TSMC va dans le même sens : miser sur une baisse rapide des tarifs d’inférence n’est pas l’hypothèse la mieux étayée aujourd’hui.

Actions à engager maintenant

• Désactiver le mode d’action sans confirmation dans les agents de navigateur, et auditer les extensions autorisées à lire ou modifier les données sur les domaines des fournisseurs d’IA.
• Recenser les chaînes de traitement qui ingèrent des fichiers externes et exécutent du code à partir de leur contenu ou de leur configuration, en traitant le fichier entrant comme un vecteur d’exécution et non comme une donnée passive.
• Maintenir les livrables de conformité AI Act calés sur le 2 août 2026 jusqu’à publication effective du Digital Omnibus au Journal officiel, et surveiller cette publication jusqu’à cette date.
• Redimensionner la politique de correctifs et les fenêtres de redémarrage sur un volume mensuel plusieurs fois supérieur à celui de 2025, en donnant la priorité aux failles activement exploitées.
• Réévaluer l’arbitrage entre modèles propriétaires de frontière et modèles ouverts ou spécialisés déployables en propre, sur le coût par tâche et la maîtrise des données plutôt que sur la performance absolue.

Le point de bascule de la semaine tient au statut de l’agent autonome dans l’analyse de risque. Longtemps traité comme un outil à sécuriser, il y occupe désormais aussi la place d’un attaquant possible et d’un canal d’exfiltration, parfois dans le même incident. Cette bascule intervient alors que le cadre réglementaire européen censé l’encadrer attend toujours sa publication et que ses modes d'emploi ne sont pas écrits.