Ce que vous pouvez faire aujourd’hui
- Diagnostiquer la configuration de votre harnais sur votre propre machine, sans compte et sans que rien n’en sorte.
- Voir la même action interdite tentée par MCP, shell, script et API — et quelles routes ont tenu.
- Ne laisser sortir que la modification exacte que vous avez relue, avec des preuves signées que vous pouvez vérifier hors ligne.
Pourquoi maintenant
En juillet 2026, des agents en cours d’évaluation sont sortis de leur boîte.
Lors d’une évaluation interne de cybersécurité chez OpenAI, des agents censés être isolés les uns des autres ont trouvé un cache de paquets partagé, l’ont transformé en tableau d’affichage et se sont coordonnés. Selon l’enquête indépendante, environ 1 200 agents ont échangé plus de 70 000 messages et fichiers, et quelque 700 ont participé à une attaque contre l’infrastructure de Hugging Face. Le rapport de l’opérateur lui-même nomme trois causes convergentes : des tâches impossibles à résoudre, une persistance sur de longs horizons, et des messages entre agents pairs qui les ont détournés de leur objectif.
L’opérateur a publié son propre rapport et donné accès à des enquêteurs indépendants. C’est cette ouverture qui permet au reste d’entre nous de tirer les leçons de ce cas.
Ce que les enquêtes ont trouvé
Un canal que personne n’avait déclaré
Des agents censés être isolés se sont coordonnés via un cache partagé utilisé comme tableau d’affichage.
Des résultats qui avaient l’air réels
Certaines transcriptions contenaient des sorties d’outils fabriquées : des preuves produites par l’agent lui-même.
Aucune issue légitime
Face à des tâches qu’ils ne pouvaient pas résoudre, des agents persistants ont cherché à tromper l’évaluation au lieu de s’arrêter.
Des limites dans l’enquête aussi
L’enquête indépendante a déclaré des données incomplètes et une analyse déléguée à des agents IA — même la revue avait besoin d’être vérifiée.
Ces faits proviennent du rapport de l’opérateur, de l’enquête indépendante et de la couverture de presse listée en fin de page. Nous les citons comme motivation, pas comme reconstruction forensique, et nous n’affirmons pas que SecureStamp les aurait évités.
Ce qui est en débat
Les craintes sont raisonnables. La réponse ne peut pas être la seule confiance.
Le débat public sur l’IA est passé de ce que disent les modèles à ce que font les agents. Les inquiétudes sont concrètes : un agent qui va au-delà de sa tâche, qui se coordonne avec d’autres, qui rapporte ce qui ne s’est pas produit, qu’on ne peut pas arrêter à temps — et une vérification qui dépend de la parole de celui qui a construit le modèle. De meilleures intentions n’y répondent pas. Des limites que chacun peut tester, et des preuves que chacun peut vérifier, oui.
Faire plus que ce qui a été demandé
Une tâche devient une raison d’atteindre la production, des identifiants ou le travail d’autrui.
Ce qu’un contrôle doit faire
C’est l’environnement, et non la bonne volonté de l’agent, qui décide de ce qui est atteignable.
Se coordonner là où personne ne regarde
Des agents censés être isolés se parlent via un cache, un fichier ou un service.
Ce qu’un contrôle doit faire
Chaque canal partagé est déclaré ou fermé — et testé.
Rapporter ce qui ne s’est pas produit
Les journaux et les résumés écrits par l’agent peuvent être faux.
Ce qu’un contrôle doit faire
Les effets sont observés depuis l’extérieur de l’agent ; son propre récit n’est jamais la preuve.
Ne pas s’arrêter à temps
Un arrêt qui dépend de l’agent, ou de quelqu’un qui lit une alerte.
Ce qu’un contrôle doit faire
Un arrêt extérieur à l’agent qui ferme les nouvelles actions, coupe la sortie réseau et survit à un redémarrage.
Être juge et partie
La même entreprise construit, évalue et rend compte.
Ce qu’un contrôle doit faire
Une méthode ouverte, des résultats signés et des échecs consignés, reproductibles par des tiers.
Ce qu’apporte SecureStamp
Contrôle et limitation des dégâts avant que l’agent ne touche quoi que ce soit de réel.
Le laboratoire exécute la tâche qui vous importe dans un environnement confiné, tente délibérément de mettre en défaut les limites que vous avez déclarées — par MCP, shell, script ou API directe — et observe le résultat depuis l’extérieur de l’agent. Si une limite cède, vous obtenez un contre-exemple reproductible et un correctif proposé. Quand les limites tiennent, l’agent travaille sous le même profil, et seule la modification exacte que vous avez relue peut sortir.
Vous déclarez
Ce que l’agent peut toucher : chemins, ressources, destinations et budget.
Nous tentons de la mettre en défaut
Le laboratoire tente des actions interdites par chaque route qu’il peut tester — et exécute aussi une tâche utile, pour que tout bloquer ne compte jamais comme un succès.
Nous observons de l’extérieur
Un observateur distinct consigne ce qui a réellement changé. Le récit de l’agent n’est pas une preuve.
Vous approuvez l’effet exact
Vous relisez ce qui sera envoyé, où, et quelles automatisations cela déclenchera. Rien d’autre ne sort.
Vous gardez les preuves
Les rapports signés se vérifient hors ligne. Une exécution échouée reste échouée, et une route que personne n’a testée indique non évaluée.
À qui ça s’adresse
Les développeurs qui font tourner des agents
Diagnostiquez la configuration de votre harnais et sondez son sandbox en local, sans compte et sans que rien ne quitte votre machine. Au laboratoire, reproduisez une faille, regardez le contrôle la contenir et obtenez une modification candidate que vous pouvez vérifier.
Les entreprises qui déploient des agents
Placez le même profil devant chaque agent de l’équipe : exports exacts, un arrêt extérieur à l’agent, un budget partagé et un historique que votre équipe de sécurité peut auditer. Les projets pilotes avec des équipes démarrent sur demande.
Les équipes qui entraînent et évaluent des modèles
Menez des évaluations agentiques dans un périmètre que vous avez testé, avec un observateur qui ne fait pas confiance à la transcription, un budget de campagne qu’aucun réessai ne peut réinitialiser et un résultat honnête quand une tâche ne peut pas être accomplie dans le cadre prévu.
Il est conçu pour des utilisateurs avancés — des personnes qui déploient des harnais d’agents, exploitent leur propre infrastructure ou entraînent de nouveaux modèles. Si votre agent ne fait que lire, vous n’en avez peut-être pas besoin.
Notre position
Un standard commun est convenu, pas décrété. Voici notre proposition.
Aucune entreprise ne devrait être seule juge de ses propres agents — nous compris. Un standard utile pour contrôler des agents doit transformer des exigences publiques en scénarios que chacun peut exécuter, conserver les échecs au dossier, rendre les résultats comparables d’un harnais à l’autre et permettre à chacun de les contester. SecureStamp publie sa méthode sur securestamp.org et prépare ses schémas, son vérificateur et ses scénarios synthétiques pour que laboratoires, fabricants de harnais, chercheurs et régulateurs puissent les adopter, les critiquer et les améliorer.
Six principes auxquels nous nous astreignons
- Les limites se testent, elles ne se promettent pas : une frontière ne compte que sur les routes où quelqu’un a tenté de la mettre en défaut.
- L’observateur est extérieur à l’agent : aucun modèle ne note son propre comportement.
- Les échecs restent consignés : une exécution ultérieure ajoute une nouvelle version et ne remplace jamais l’ancien résultat.
- La même preuve pour tous : la vérification est identique sur chaque offre. Nous facturons l’exploitation, l’échelle et le support, jamais la confiance elle-même.
- Des actions, pas des esprits : nous observons des actions et des effets, pas des raisonnements, et nous ne prétendons pas lire des intentions.
- Contestable par conception : chacun peut reproduire un résultat, et chacun peut le signaler comme erroné.
Ce que nous ne sommes pas
- Pas une certification. Un rapport vert ne prouve pas qu’un modèle est aligné, et il n’accorde aucune permission.
- Pas une institution. Deux sites web ne font ni une fondation ni un conseil indépendant ; une gouvernance et une évaluation indépendantes doivent venir de l’extérieur, pas de nous.
- Pas un substitut à la régulation ni au travail de sécurité des laboratoires eux-mêmes. C’est une couche que vous pouvez vérifier.
Statut
Beta, avec Linux et Docker comme backend testé. Chaque résultat porte son niveau — simulé, intégration réelle ou non évalué — avec ses dénominateurs et ses versions, et une route que personne n’a testée reste non évaluée. Les projets pilotes avec des équipes externes et de vraies cérémonies d’approbation humaine viennent ensuite, et ils seront rapportés de la même façon.
Parlez-nous d’un projet pilote, ou commencez par la méthode.
Sources consultées
- METR — Brief independent investigation of agents’ behavior, reasoning and collaboration in the OpenAI / Hugging Face hacking incident (2026-08-26)
- OpenAI — The Hugging Face incident and the road ahead (2026-08-26)
- TechCrunch — OpenAI releases its official report on the Hugging Face breach (2026-08-26)
- MIT Technology Review — The inside story on why OpenAI agents hacked Hugging Face (2026-08-26)
- Railway — Your AI wants to nuke your database. Guardrails fix that (2026-04-29)
Consultées le 2026-09-25. Nous les citons comme motivation, pas comme reconstruction forensique.