Le CNRS vient de confirmer un incident de cybersécurité qui a mené au téléchargement non autorisé de fichiers contenant des données personnelles d'anciens agents. Noms, adresses, numéros de sécurité sociale, RIB : la totale donc. L'organisme a déposé plainte et prévenu la CNIL.

Des données très sensibles

C'est ce lundi 16 février que le CNRS a informé ses agents d'une fuite de données sur un de ses serveurs. Des fichiers contenant des informations de ressources humaines ont été téléchargés sans autorisation. Et on ne parle pas de données anodines : noms, prénoms, dates de naissance, adresses postales, numéros de sécurité sociale et RIB. Le tout accompagné du statut de l'agent, du type de contrat et de la structure d'affectation. Le serveur a été isolé et arrêté dès la découverte de l'incident, et l'organisme assure que la fuite ne s'est pas propagée au reste de ses infrastructures.

Qui est concerné ?

Seuls les personnels recrutés avant le 1er janvier 2007 sont touchés, qu'ils aient été titulaires ou non. Si vous avez travaillé au CNRS après cette date, vous n'êtes pas concerné. Le nombre exact de victimes n'a pas été communiqué, mais vu la taille de l'organisme, on parle potentiellement de plusieurs milliers de personnes. Le CNRS recommande de prévenir sa banque, de surveiller ses comptes, de vérifier si ses données circulent sur haveibeenpwned.com, et de rester vigilant face aux tentatives de phishing ou d'usurpation d'identité. La CNIL et l'ANSSI ont été prévenues, et une plainte a été déposée auprès de la section cybercriminalité du parquet de Paris.

Les institutions françaises en ligne de mire

On n'est pas vraiment sur une première niveau cyberattaques sur des services de l'état. Le ministère de l'Intérieur, celui des Sports, et d'autres organismes avaient été visés. L'URSSAF a aussi confirmé une fuite touchant les données de 12 millions de salariés. Le CNRS lui-même avait été la cible d'un défacement de plusieurs de ses sous-domaines fin janvier. Deux incidents distincts, mais la tendance est claire, et c'est franchement moche.

On va quand même saluer le fait que le CNRS a communiqué rapidement, avec un communiqué officiel et une FAQ pour les personnes concernées. C'est loin d'être toujours le cas. Mais on va quand même se questionner sur le fait que des RIB et des numéros de sécu trainent sur un serveur, alors qu'on parle de données parfois veilles depuis presque 20 ans... Pourquoi ces informations étaient-elles encore accessibles ? La question du stockage prolongé de données sensibles revient sur la table, et visiblement, personne n'a encore de bonne réponse. En attendant, si vous avez porté la blouse du CNRS avant 2007, un petit tour sur votre relevé bancaire ne serait pas du luxe.

Article invité publié par Vincent Lautier . Vous pouvez aussi faire un saut sur mon blog , ma page de recommandations Amazon , ou lire tous les tests que je publie dans la catégorie "Gadgets Tech" , comme cette liseuse Android de dingue ou ces AirTags pour Android !

Le Premier ministre britannique Keir Starmer veut « limiter l’accès » des mineurs aux VPN. De fait, il faudra vérifier l'âge de tout le monde, car il est techniquement impossible de trier à l'avance les utilisateurs sans une preuve. Et la France est sur la même trajectoire.

Dans un article publié le 14 février 2026, le média américain The Verge revient sur la découverte involontaire d'une faille de sécurité affectant les appareils de la marque chinoise DJI. En bidouillant son aspirateur connecté pour le piloter avec une manette PlayStation, un utilisateur a pu accéder à des données de milliers d'appareils à travers le monde.

Les infrastructures critiques, électricité, eau, transports, communications, constituent le socle invisible de notre quotidien. Lorsqu’elles s’interrompent brutalement, les conséquences se font sentir immédiatement. L’intelligence artificielle (IA) occupe aujourd’hui une place centrale dans ces systèmes, elle améliore leur efficacité, renforce leurs capacités de prédiction et optimise les opérations. Mais cette intégration ouvre également la voie à […]

L’article L’IA dans les infrastructures critiques, à la fois opportunité majeure et risque majeur… <br/><em>Benoit Grunemwald, ESET</em> est apparu en premier sur InformatiqueNews.fr.

L’IA générative est désormais présente dans notre quotidien professionnel et personnel. Ces assistants répondent instantanément à nos questions, rédigent des textes, résument des documents, et font gagner un temps considérable. Mais ils sont aussi victimes “d’hallucinations” et peuvent présenter des failles de sécurité mettant à mal des informations confidentielles.

Comment profiter de ces outils tout en sécurisant leur usage ? Voici quelques risques et solutions possibles.

Les menaces cyber liées aux LLM

Prompt injection: manipulation des instructions pour contourner les règles et accéder à des informations sensibles. Un utilisateur malveillant peut formuler une question ou une instruction de manière à contourner les garde-fous intégrés au modèle et obtenir des informations confidentielles. Par exemple, un employé ou un tiers pourrait, par un enchaînement de phrases trompeuses, inciter l’assistant à divulguer des données internes sensibles ou des secrets commerciaux. Le plus souvent, cette manipulation ne nécessite pas d’accès direct aux systèmes critiques, rendant le risque particulièrement préoccupant.

Fuite de données: divulgation involontaire d’informations confidentielles ou stratégiques. Lorsqu’un assistant génère des réponses à partir de documents internes ou de bases de connaissances, il existe un risque que des informations confidentielles soient reformulées et partagées accidentellement avec des utilisateurs non autorisés. Cette vulnérabilité devient critique dans des secteurs régulés comme la finance, la santé ou la défense, où la moindre divulgation peut avoir des conséquences financières et légales lourdes.

Abus des API et systèmes connectés: détournement des capacités d’action du LLM sur des systèmes internes. Les assistants IA ne se contentent pas de répondre à des questions : ils peuvent interagir avec des systèmes via des API ou automatiser certaines tâches. Si ces accès ne sont pas correctement sécurisés, un acteur malveillant pourrait exploiter le modèle pour exécuter des actions non autorisées, comme modifier des configurations, supprimer des données ou déclencher des processus sensibles.

Hallucinations exploitables: diffusion de fausses informations pouvant induire en erreur les utilisateurs ou servir de vecteur de phishing. Les modèles de langage peuvent « halluciner », c’est-à-dire générer des informations fausses mais plausibles. Si celles-ci ne sont pas identifiées, elles peuvent induire en erreur les employés, fausser des décisions stratégiques ou servir de base à des attaques de phishing sophistiquées. Un e-mail généré automatiquement et contenant de fausses instructions financières pourrait convaincre un employé de transférer des fonds à un tiers frauduleux.

Empoisonnement des données: altération des modèles via des données malveillantes pour biaiser leurs réponses. En alimentant le modèle avec des informations malveillantes ou biaisées, un acteur externe peut altérer ses réponses et influencer ses comportements. À terme, cela peut conduire à une dégradation de la qualité des décisions, à des recommandations erronées ou à des vulnérabilités exploitées pour nuire à l’entreprise.

Comment sécuriser l’usage de l’IA générative

Isolation et contrôle des privilèges: restreindre strictement l’accès aux systèmes et données critiques. Les assistants IA doivent être isolés des systèmes sensibles et n’obtenir que les accès strictement nécessaires à leurs fonctions. Limiter leur portée réduit le risque d’abus et rend beaucoup plus difficile l’exploitation de failles pour accéder à des informations stratégiques.

Filtrage et validation des entrées et sorties: détecter et bloquer les instructions malveillantes et les réponses dangereuses. Pour prévenir les injections de prompt et les fuites accidentelles, il est essentiel de filtrer les requêtes adressées à l’IA et de vérifier la pertinence des réponses avant leur diffusion. Des mécanismes automatiques de contrôle et de validation, combinés à des règles métier, permettent de réduire les risques d’exécution d’instructions malveillantes.

Supervision humaine et garde-fous métier: validation des actions critiques et règles explicites sur l’usage autorisé. Une supervision humaine des actions critiques de l’IA et la définition de politiques d’usage explicites garantissent que l’IA reste un outil d’aide et non un acteur autonome pouvant générer des pertes ou des incidents. La combinaison de l’intelligence humaine et artificielle est un garde-fou essentiel.

Journalisation et monitoring: suivi des interactions pour identifier rapidement des usages anormaux ou des tentatives d’attaque. La traçabilité est cruciale. En enregistrant et en surveillant toutes les interactions avec l’IA, les entreprises détectent rapidement des comportements suspects, analysent des tentatives de fraude et réagissent avant que les incidents ne deviennent critiques. Le monitoring en temps réel permet également d’identifier des tendances d’usage qui pourraient indiquer des vulnérabilités.

Tests de sécurité dédiés: audits et simulations pour détecter les vulnérabilités avant qu’elles ne soient exploitées. Les simulations d’attaques et les évaluations de risques permettent d’identifier des failles avant que des acteurs malveillants ne les exploitent, garantissant que le déploiement de l’IA reste un levier de productivité plutôt qu’une source de pertes financières.

*Adrien Gendre est CPO chez Hornetsecurity

The post { Tribune Expert } – L’IA au travail : détecter les menaces, sécuriser les usages appeared first on Silicon.fr.

L’intelligence artificielle est désormais partout sur Windows, y compris sur le vénérable Bloc-notes. Et pourtant, ces modifications seraient plus dangereuses qu’elles n’y paraissent pour les utilisateurs. Suite au succès mondial…

Cet article Microsoft aurait ajouté une énorme faille de sécurité au Bloc-notes en y injectant l’IA est apparu en premier sur PaperGeek.