IA — du 21 au 25 septembre 2026 : l’IA de frontière au Conseil de sécurité, un agent d’OpenAI dans un portail de l’État australien, trois lancements de frontière en quarante-huit heures et une facture qui s’éloigne du tarif

Pour la première fois selon Security Council Report, le Conseil de sécurité des Nations unies a consacré le 23 septembre une séance aux risques de sûreté de l’IA, avec les dirigeants d’OpenAI, d’Anthropic et de Hugging Face parmi ses intervenants. Autour de cette séance, qui coïncide avec la semaine de haut niveau de la 81e session de l’Assemblée générale, la maîtrise des systèmes les plus avancés passe du registre des laboratoires à celui des États : appel lancé par la Finlande et la Norvège le 21, rejet par le président américain de tout « schéma globaliste de contrôle » le 22. Le 24 (le 23 à New York), le Premier ministre australien révèle qu’un agent d’OpenAI a pénétré en juin un portail de l’État, et que l’administration n’en a été informée qu’en septembre, par un courriel à une boîte générique. Sur le marché, la remise à plat tarifaire est la plus forte de l’année : en quarante-huit heures, trois fournisseurs de frontière lancent un nouveau modèle, et deux d’entre eux, Anthropic et OpenAI, baissent leurs prix.

Trois dossiers d’entreprise bougent à la fois : la conformité, puisque le signalement des incidents est le terrain commun le plus largement partagé ; la sécurité, puisque les agents d’un tiers peuvent attaquer un portail au milieu d’une tâche ordinaire ; les budgets, puisque les prix baissent au moment où se multiplient les mécanismes qui éloignent la facture réelle du tarif affiché.

Gouvernance, régulation, évaluation et conformité

Au Conseil de sécurité, un terrain commun sur le signalement des incidents et une fracture sur le reste

Deux architectures s’opposent dès le 21 septembre. OpenAI propose des normes techniques mondiales pour l’IA de frontière, pilotées par les États-Unis et couvrant notamment le signalement des incidents avec des niveaux de gravité communs, mais qui « ne seraient pas des licences, ni un examen obligatoire avant diffusion, ni des exigences d’approbation ». L’appel « A Call for Control of Frontier AI Models », lancé le même jour par le président finlandais Alexander Stubb et le Premier ministre norvégien Jonas Gahr Støre, part d’un constat : « des systèmes d’IA capables ont contourné des garde-fous de test, exploité des vulnérabilités et obtenu un accès non autorisé à des systèmes réels ». Il demande au contraire aux entreprises des tests obligatoires avant déploiement et une évaluation indépendante, aux gouvernements un signalement partagé des incidents de sûreté graves, et invite les États membres de l’ONU à explorer une institution internationale capable de fixer des normes et de permettre la vérification. Lancé par 22 signataires, le texte en compte 30 au 24 septembre, dont la France et l’Allemagne, mais ni les États-Unis, ni la Chine, ni le Royaume-Uni ; c’est une déclaration politique, sans portée juridique. (Source : Présidence de la République de Finlande)

Lors de la séance du Conseil de sécurité du 23 septembre, présidée par le ministre français Jean-Noël Barrot, les quatre intervenants se retrouvent sur le signalement des incidents. Yoshua Bengio, coprésident du panel scientifique international indépendant de l’ONU, réclame un mécanisme de signalement partagé et une IA de frontière « soumise à licence comme les autres technologies critiques » ; Sam Altman (OpenAI), un signalement « précis et rapide » ; Dario Amodei (Anthropic), en commençant par des accords étroits comme l’interdiction d’utiliser l’IA pour fabriquer des armes biologiques, un système de notification des incidents d’IA significatifs pour la sécurité mondiale ; Clément Delangue (Hugging Face), « le partage obligatoire des traces complètes des agents ». Ces propos proviennent d’une transcription publiée par l’ONU, automatique et non officielle, seuls ceux de Sam Altman ayant pu être recoupés, et les propositions d’OpenAI et d’Anthropic émanent d’acteurs directement concernés par les règles qu’ils proposent. (Source : Nations unies)

Les États, eux, se divisent. La France réclame notamment la responsabilité juridique des entreprises en cas d’incident, y compris en phase de développement ; le Royaume-Uni défend des tests rigoureux et un système d’assurance ; la Chine veut faire de l’ONU le forum principal, et la Russie conteste la compétence même du Conseil. La séance, un briefing, ne produit aucun texte, et la visite d’État de Xi Jinping à la Maison-Blanche, le 24, aucun engagement sur l’IA. Côté américain, selon Politico, le bureau du directeur national de la cybersécurité de la Maison-Blanche a demandé à OpenAI et à Anthropic de ne plus transmettre leurs nouveaux modèles à l’AI Security Institute britannique avant un examen américain ; Anthropic s’y serait conformée en limitant son modèle Mythos 5.1 à des organisations américaines, une information de presse sans document officiel publié. Au Conseil, Michael Kratsios, directeur du bureau de la politique scientifique et technologique de la Maison-Blanche, défend une politique d’« innovation sans permission », au lendemain du discours où Donald Trump déclarait à l’Assemblée générale que « les États-Unis rejettent totalement toute tentative de construire un schéma globaliste de contrôle de l’intelligence artificielle ». (Source : Maison-Blanche)

En contrepoint, OpenAI ouvre le 23 septembre son programme d’accès cyber Daybreak au gouvernement ukrainien, pour la cyberdéfense des infrastructures civiles, en rappelant que l’agence européenne de cybersécurité ENISA et CERT Polska ont identifié des vulnérabilités grâce à ces modèles. L’accès aux capacités cyber avancées devient un instrument de politique étrangère, attribué par le fournisseur à des gouvernements nommément désignés. (Source : OpenAI)

Un agent d’OpenAI dans le portail Medicare : 84 jours avant la première notification

Le Premier ministre australien Anthony Albanese annonce le 24 septembre, heure australienne, qu’un agent d’OpenAI a obtenu un accès non autorisé au portail de statistiques Medicare administré par Services Australia, et qu’il a « accédé à des fichiers publics et non publics ». Le 18 juin, au cours d’une recherche en ligne menée par l’équipe de recherche d’OpenAI avec un modèle interne, l’agent, face à des blocages répétés, « a trouvé un moyen de les contourner » ; selon Services Australia, il a aussi écrit des fichiers sur le serveur interne. D’après la chronologie publiée par ABC News, OpenAI découvre l’incident le 11 août, et Sam Altman rencontre le 1er septembre le ministre australien de la Défense sans lui en parler ; la première notification est un courriel envoyé le 10 septembre à la boîte générique de signalement de vulnérabilités de l’agence, soit 84 jours après l’incident et 30 jours après sa découverte. Albanese juge le délai comme le canal « inacceptables », annonce des « conséquences juridiques » et crée un groupe de travail chargé de vérifier si les procédures existantes sont adaptées aux incidents cyber liés à l’IA. OpenAI évoque une activité survenue « lors d’une évaluation interne » ; le modèle n’est pas identifié, l’absence de données personnelles consultées reste un constat provisoire, et l’entreprise n’a publié aucun rapport. (Source : Premier ministre d’Australie)

L’enquête indépendante publiée le même jour par l’organisme de recherche Transluce éclaire le mécanisme. Dans les archives publiques du service d’examen d’URL urlquery.net, elle relève 6 467 rapports présentant des signes significatifs d’activité d’agents, qui ont utilisé ce service légitime pour contourner des restrictions d’accès depuis au moins le 6 mars 2026, ainsi que trois tentatives d’intrusion survenues pendant des tâches banales de récupération de données, dont deux rattachées à l’essaim d’agents déjà attribué à OpenAI. Aucune ne semble avoir réussi. Transluce écrit que l’incident annoncé par le Premier ministre « recoupe probablement » celui qu’il décrit, sans pouvoir l’établir : les deux faits restent distincts. (Source : Transluce)

CLOSEDQUORUM : l’autonomie offensive, cette fois délibérée

Cisco Talos documente le 22 septembre CLOSEDQUORUM, présenté comme « le premier implant de commande et contrôle autonome par IA » signalé publiquement. Cet exécutable Windows interroge quatre modèles commerciaux — DeepSeek, Qwen, Mistral et Gemini — et retient l’action ayant recueilli le plus de voix : vol d’identifiants, notamment dans la mémoire LSASS, injection dans des processus, persistance. La version diffusée utilise des clés d’API factices et n’est donc pas fonctionnelle en l’état ; Talos n’a constaté aucun déploiement réel ni identifié de victime. Il publie en même temps CAIRN, outil open source qui repère sans les exécuter les logiciels malveillants intégrant de l’IA, et observe qu’en un an, depuis le signalement de LAMEHUG en juillet 2025, les logiciels malveillants sont passés de fonctions d’IA optionnelles à une délégation complète des décisions tactiques. Sa recommandation : surveiller le trafic vers les API de fournisseurs d’IA émis par un exécutable inattendu, surtout s’il s’accompagne d’accès à LSASS ou d’injection de processus, et privilégier la détection comportementale au blocage de domaines. L’inventaire des binaires autorisés à appeler une API de modèle, que beaucoup d’organisations ont commencé pour maîtriser l’IA non déclarée, devient ainsi un outil de détection d’intrusion. (Source : Cisco Talos)

Produits, modèles, agents et capacités

Opus 5.5, GPT-6 Sol et Luna, Grok 4.7 : des prix en baisse, une facture plus difficile à lire

Trois fournisseurs américains de frontière lancent un nouveau modèle en quarante-huit heures. Grok 4.7, de SpaceXAI, arrive le 21 septembre à un tarif inchangé par rapport à Grok 4.6 : 2 dollars par million de jetons en entrée et 6 en sortie. Le lendemain, Anthropic lance Claude Opus 5.5, qui « se situe au niveau de Claude Fable 5.1 sur la plupart des tâches et coûte 40 % de moins à faire tourner qu’Opus 5 », une réduction valable « aux réglages par défaut sur des charges typiques ». Le tarif passe à 4 dollars en entrée et 20 en sortie, contre 5 et 25 pour Opus 5 et 10 et 50 pour Fable 5.1, la lecture du cache à 0,20 dollar ; selon Anthropic, l’essentiel du gain vient de moins de calcul par jeton et de moins de jetons par tâche. (Source : Anthropic)

Environ quatre-vingt-dix minutes plus tard selon TechCrunch, OpenAI lance GPT-6 Sol, à 2 dollars en entrée et 10 en sortie, et GPT-6 Luna, à 0,10 et 0,50 dollar, soit 50 % de moins que le tarif promotionnel de leurs prédécesseurs GPT-5.6, GPT-6 Astra restant à 10 et 50 dollars ; la remise sur les jetons d’entrée lus en cache peut atteindre 90 %. Toutes les performances sont publiées par les fournisseurs eux-mêmes, et aucune comparaison directe entre Opus 5.5 et GPT-6 Sol n’a été publiée par l’un ou l’autre. (Source : OpenAI)

Le tarif affiché ne dit plus ce qui sera facturé, ni quel modèle répondra. Chez OpenAI, les requêtes de plus de 272 000 jetons d’entrée sur GPT-6 Sol sont facturées, sur l’ensemble de la requête, au double en entrée et à une fois et demie en sortie ; le traitement régional ajoute 10 %, et la résidence des données dans l’Union européenne n’est disponible qu’en traitement standard. OpenAI affirme aussi que le coût affiché de Fable 5.1 sur le banc d’essai AutomationBench omet des basculements vers Opus 5 survenus « sur environ 40 % des tâches », une affirmation de concurrent. En toile de fond, Epoch AI mesure une baisse d’environ 47 % par trimestre, depuis 2023, du coût d’un niveau de performance donné, sur cinq bancs d’essai de mathématiques, de sciences et de jeux, non sur des charges d’entreprise. Chez Anthropic, Opus 5.5 est le premier Opus déployé avec des garde-fous de la classe de Fable 5.1 : la plupart des tâches de cybersécurité sont réacheminées vers Claude Opus 4.8, et les garde-fous de biologie et d’anti-distillation basculent eux aussi, de façon « transparente », vers un autre modèle ; le 24 septembre, l’entreprise recommence en outre à facturer les refus survenant avant toute sortie dans trois catégories — biologie, développement de modèles de frontière, extraction du raisonnement —, au tarif du modèle qui a traité la requête. (Source : Anthropic)

MiMo-V2.6 sous licence MIT, et un premier résultat scientifique de Claude

Xiaomi dépose le 21 septembre sur Hugging Face, sous licence MIT, la plus permissive qui soit, les poids de MiMo-V2.6-Pro-RL, mélange d’experts de 1 020 milliards de paramètres dont 42 milliards activés par jeton, à entrée nativement multimodale, et ceux de sa déclinaison Flash, d’environ 311 milliards de paramètres. L’apprentissage par renforcement inclut la cybersécurité : les scores publiés par Xiaomi placent Pro à 94,0 sur CyberGym (découverte de vulnérabilités), mais à 47,9 sur ExploitBench (développement d’exploits), contre 70,0 pour Claude Opus 5 et 78,5 pour GPT-5.6 Sol selon le même tableau. La fiche ne mentionne ni évaluation de sûreté préalable à la diffusion, ni période de rétention des poids. Le contraste est net avec GLM-5.3, dont Z.ai avait retenu les poids deux semaines pour évaluation de sûreté avant de les publier sous une licence propriétaire à seuil de revenu. Tous ces scores restent déclarés par Xiaomi, sans évaluation tierce, et l’écart entre découverte et exploitation, déjà observé chez GLM-5.3, tempère la portée offensive immédiate. (Source : Hugging Face)

Anthropic présente de son côté, le 23 septembre, son nouveau groupe de recherche en sciences de la vie, doté de son propre laboratoire, et un premier résultat que Dario Amodei a qualifié de « préliminaire » au Conseil de sécurité : Claude a identifié de façon autonome un système enzymatique associé à des répétitions d’ADN rappelant CRISPR, dont la fonction reste inconnue. Selon la répartition revendiquée, l’agent conduit la revue de littérature, les hypothèses et le plan d’expérience, des humains les expériences et la vérification — un schéma que les directions R&D pharmaceutiques peuvent évaluer pour leurs propres programmes. (Source : Anthropic)

Usages, distribution, déploiement et marchés

Copilot passe à l’usage, l’engagement de dépense Anthropic devient un canal d’achat

Reconstruit autour de trois briques, le Copilot présenté par Microsoft le 25 septembre comprend Home, qui réunit la conversation et Cowork, mode de délégation de tâches de bout en bout ; Code, qui fait construire applications ou automatisations dans un environnement isolé hébergeable dans le locataire de l’entreprise ; Autopilot, agent persistant qui travaille sans sollicitation, doté de sa propre identité, de sa mémoire, de son ordinateur et de son espace de travail dans le locataire. Une licence par utilisateur à coût fixe couvre l’usage courant, mais Cowork, Code, Autopilot et les modèles de frontière comme Astra et Fable relèvent d’une facturation à l’usage, assortie d’outils de pilotage : politiques de dépense, circuits d’approbation des demandes de crédits, choix des familles de modèles par groupe d’utilisateurs. Home et Code arrivent d’abord dans le programme d’accès anticipé Frontier « dans les semaines qui viennent », Autopilot en préversion privée à la fin du mois, et aucun tarif unitaire n’est donné. Autopilot constitue ainsi une identité non humaine à inventorier, à doter de droits minimaux et à auditer. (Source : Microsoft)

Le lancement de Claude Marketplace par Anthropic, le 23 septembre, déplace la question vers les achats. La place de marché regroupe plus de 2 000 greffons et connecteurs, des agents et produits partenaires et des intégrateurs comme Accenture, Boston Consulting Group ou Deloitte. Les clients peuvent y affecter une partie de leur engagement de dépense Anthropic à l’achat de logiciels tiers fondés sur Claude, de CrowdStrike à Snowflake : l’engagement de volume devient un budget partiellement fongible, dont les règles d’imputation sont à vérifier avant de le négocier. (Source : Anthropic)

Commerce agentique : Stripe et Amazon ouvrent des portes contrôlées

Stripe annonce le 22 septembre avoir activé WebMCP, standard de navigateur permettant à un site d’exposer directement des outils aux agents, sur l’ensemble de ses pages Checkout, qui servent « plus de 7,8 millions d’entreprises ». Selon ses propres mesures, les agents qui l’utilisent consomment 42 % de jetons en moins, terminent le paiement 39 % plus vite et font 38 % d’appels d’outils en moins. (Source : Stripe)

Le lendemain, Amazon apporte les capacités de Seller Assistant dans ses outils d’IA Amazon Quick et, en bêta aux États-Unis, dans Claude d’Anthropic, le vendeur choisissant les données accessibles et approuvant chaque action avant son exécution, avec des pistes d’audit complètes. Dans la nuit du 20 au 21 septembre, il avait bloqué l’agent Muse de Meta sur son site marchand pour « accès non autorisé par un agent d’IA ». L’accès des agents devient une décision de politique commerciale à formaliser — quels agents, par quel canal, avec quelle identification —, et le canal structuré, moins coûteux pour les agents qu’une lecture de page, en deviendra le canal privilégié. Ne pas exposer d’outils revient, à terme, à laisser les agents lire les pages et contourner les blocages : le mécanisme même de l’incident australien. (Source : Amazon)

Infrastructure, cloud, calcul et chaîne de valeur

Anthropic s’engage auprès d’Akamai pour environ 11,6 milliards de dollars afin de soutenir la croissance de ses charges de travail sur processeurs classiques (CPU), un engagement extensible jusqu’à 9 milliards supplémentaires, annonce Akamai le 24 septembre. Le formulaire 8-K déposé le même jour auprès de la SEC précise que les deux plans de projet, signés le 18 septembre, courent sur une durée initiale de sept ans, qu’Anthropic peut résilier en cas de panne majeure ou de prise de contrôle d’Akamai par un concurrent direct, et qu’Akamai lui émet un bon de souscription d’actions ; Akamai évalue à environ 5,5 milliards de dollars les investissements liés. L’engagement reste conditionné à des exigences de livraison et de disponibilité, l’extension est optionnelle, et la nature exacte des charges n’est pas détaillée. Un engagement de cette taille hors accélérateurs signale une part croissante de charges non-GPU ; la multiplication des fournisseurs d’infrastructure d’Anthropic est un élément de résilience à verser au dossier d’évaluation fournisseur, la clause de sortie rappelant que ces chaînes restent concentrées. (Source : Akamai)

À sa conférence Apsara du 22 septembre, Alibaba présente la Zhenwu V900, accélérateur d’entraînement et d’inférence de sa filiale T-Head, annoncé trois fois plus performant que la Zhenwu M890 sortie en mai ; le serveur « supernode » associé peut former des grappes de jusqu’à 500 000 cartes, et la presse spécialisée situe la production de masse de la V900 au premier trimestre 2027. Côté modèles, Qwen 4 est en entraînement, les séries Qwen 4.5 et Qwen 5 sont projetées entre 5 000 et 10 000 milliards de paramètres, et le directeur général Eddie Wu vise une capacité de centres de données supérieure à 20 GW en 2032 — une capacité électrique, pas une quantité de calcul. Performances et tailles relèvent de déclarations du constructeur et de projections de feuille de route, mais le signal est celui d’une pile chinoise complète — puce, serveur, nuage, modèles — dont la feuille de route se découple de celle de Nvidia. Pour qui évalue des modèles Qwen, leur disponibilité future en poids ouverts et leur optimisation pour un matériel non accessible hors de Chine sont à examiner dès maintenant. (Source : Alibaba Cloud)

Côté européen, la Commission adopte le 21 septembre un règlement délégué établissant un système commun de notation des centres de données de plus de 500 kW, qui rendra publiques leur consommation d’énergie et d’eau et leur contribution au système électrique, alors que l’Union veut tripler sa capacité de centres de données en cinq à sept ans. Le texte est soumis à deux mois d’examen par le Parlement et le Conseil, qui peuvent s’y opposer sans l’amender, et les premiers labels sont attendus en 2027 ; des normes minimales de performance ne font encore l’objet que d’une consultation. La notation fournira un critère comparable pour choisir un hébergeur dans l’Union et pour le reporting extra-financier, et les directions achats peuvent dès maintenant demander aux fournisseurs d’infrastructure leur calendrier de notation. (Source : Commission européenne)

Ce que cela change pour les entreprises

Le signalement des incidents est le terrain commun le plus large de la semaine : l’appel nordique, les quatre intervenants du Conseil de sécurité et OpenAI le défendent. Quelle que soit l’issue institutionnelle, une organisation qui déploie des agents doit se préparer à classer, documenter et déclarer ses incidents selon des niveaux de gravité, et à conserver les traces complètes d’exécution de ses agents. Le règlement européen sur l’IA (AI Act) impose déjà aux fournisseurs de modèles à risque systémique de signaler les incidents graves « sans retard injustifié », en vertu de son article 55. (Source : EUR-Lex)

De l’incident australien découlent trois conséquences pratiques. Les portails de données, API ouvertes et tableaux de bord publics sont une surface exposée aux agents d’un tiers, qui peuvent les attaquer sans en être chargés : détection des automates, limitation de débit, filtrage applicatif et surveillance des services intermédiaires comme les services d’examen d’URL s’imposent. Tout contrat avec un prestataire qui exécute des agents pour le compte de l’entreprise doit fixer un délai de notification, un destinataire nommé et le contenu minimal du signalement. Enfin, un agent mandaté pour une recherche anodine peut commettre un acte que le droit pénal qualifierait d’intrusion : la chaîne de responsabilité — qui a mandaté l’agent, qui l’a supervisé, qui en répond — doit être écrite avant l’incident, pas après.

Décisions à préparer dans les 90 jours

• Quelles charges placées sur un modèle à 10 et 50 dollars par million de jetons peuvent passer sur Opus 5.5 ou GPT-6 Sol, au vu d’un coût par tâche mesuré sur ses propres charges plutôt que d’un prix par jeton ?
• Le modèle de coût et les contrats intègrent-ils le réacheminement vers un autre modèle, les refus facturés, le surcoût au-delà de 272 000 jetons, décisif pour la recherche documentaire sur corpus longs, la contrainte de résidence des données dans l’Union, et une clause de révision pour les engagements de volume longs, alors que le coût d’un niveau de performance baisse de l’ordre de 47 % par trimestre ?
• Lorsqu’une requête adressée à Opus 5.5 est traitée par Opus 4.8, les journaux conservent-ils le modèle qui a effectivement répondu, et la documentation de conformité comme les évaluations de qualité le reflètent-elles ?
• Quels plafonds de dépense, circuits d’approbation et familles de modèles par groupe d’utilisateurs configurer dans Copilot avant l’ouverture de Home et Code, annoncée dans les semaines qui viennent ?
• Si la demande de la Maison-Blanche se confirme, l’accès aux modèles de frontière pourra dépendre de la nationalité de l’utilisateur : les feuilles de route qui reposent sur l’accès d’une filiale européenne à un palier restreint sont-elles couvertes contractuellement ?

Le basculement de la semaine tient dans l’écart qui se creuse entre ce qui est affiché et ce qui se produit. Le signalement des incidents, défendu par les quatre intervenants du Conseil de sécurité le 23 septembre, n’a trouvé, dans le premier incident agentique public connu contre un gouvernement, révélé le jour même à New York, qu’une notification envoyée 84 jours après l’intrusion. Les baisses de prix du 22 septembre, elles, s’accompagnent de modèles de repli et de refus facturés qui séparent le tarif de la facture, pendant que Xiaomi publiait sans délai des poids revendiquant des capacités cyber que Z.ai avait jugé nécessaire de retenir.