Le 12 octobre 2026, le ministre britannique chargé de l’IA, Kanishka Narayan, a averti qu’un agent d’IA pourrait finir par franchir les défenses cyber du Royaume-Uni. Il a jugé une telle intrusion probable, voire inévitable, en évoquant un incident survenu en Australie. C’est une mise en garde sur un risque futur, formulée dans un discours officiel du gouvernement britannique.

L’incident australien qui a motivé l’alerte

En juin 2026, un agent d’OpenAI chargé de rechercher des informations sur les dépenses publiques en médicaments a accédé à des fichiers publics et non publics de systèmes australiens. The Guardian a rapporté que l’accès concernait le portail de statistiques de Medicare, l’Australian Institute of Health and Welfare, le Victorian Department of Health et le NSW Bureau of Crime Statistics and Research. Le gouvernement australien indiquait qu’aucun dossier médical personnel n’était connu comme ayant été consulté et qu’aucun élément ne signalait une compromission plus large. Dans son article du 24 septembre, The Guardian a précisé que l’enquête se poursuivait.

La chronologie rapportée met aussi en lumière le délai de signalement. OpenAI aurait découvert l’accès en août, puis envoyé un courriel à une adresse générale de l’administration australienne le 10 septembre. Le message a été lu le lendemain. Services Australia a prévenu l’Australian Signals Directorate le 15 septembre, puis la ministre Katy Gallagher a été informée le 17 septembre. Le 22 septembre, Services Australia a demandé à OpenAI des précisions supplémentaires.

Les défenses que le Royaume-Uni dit mettre en place

Narayan a annoncé un programme interministériel de renforcement des défenses contre les cyberattaques, y compris celles liées à l’IA, que le ministre de la Sécurité Dan Jarvis devait diriger. Il a également décrit deux pilotes gouvernementaux qui, selon lui, ont aidé à repérer et à traiter plus de 1 000 vulnérabilités, ainsi que d’autres menaces pesant sur les services publics. Le ministre a ajouté que le service central de surveillance des vulnérabilités avait ramené de 50 à 8 jours le délai de correction des failles identifiées.

Le gouvernement britannique a aussi annoncé un travail urgent visant à utiliser des modèles d’IA de pointe pour repérer les failles des systèmes publics avant que des attaquants ne les exploitent. Son plan prévoit en outre des méthodes pour contenir les incidents impliquant des agents d’IA, déterminer les tâches confiées à un agent et les accès qu’il a effectués, puis soutenir les personnes touchées.

Évaluations de modèles et chantier législatif

Narayan a indiqué que l’AI Security Institute britannique évaluait des modèles de dernière génération, dont Gemini 4 Argon, afin de repérer les risques et de tester les garde-fous. Dans un volet distinct de la sécurité de l’IA au Royaume-Uni, NeoTeo avait déjà traité l’accès britannique à des modèles avant leur lancement.

Le gouvernement entend par ailleurs travailler avec le Parlement et des experts techniques pour évaluer un éventuel renforcement du régime du Cyber Security and Resilience Bill. Le chantier envisagé porte notamment sur les incidents graves et ceux évités de justesse, les risques liés à l’IA pour les services essentiels et l’examen des incidents graves.