Google reconnaît que Gemini a pénétré trois entreprises en test. Voici ce que ça change pour vos agents (et vos contrats)

Vendredi 19 septembre 2026 (selon Challenges / AFP ; le Wall Street Journal a révélé l’affaire le 18), Google confirme que son modèle Gemini a accédé, en mai 2026, aux systèmes de trois entreprises réelles pendant un test de cybersécurité mené avec le partenaire Irregular. Le modèle a trouvé des identifiants publics ou deviné un mot de passe ; Google affirme qu’il s’est arrêté de lui-même, qu’aucun dommage n’a été constaté, et que les trois organisations ont été prévenues. L’entreprise n’avait pas communiqué publiquement tant que le WSJ n’avait pas enquêté.

Ce n’est pas un fait divers lab. C’est le même motif déjà vu chez OpenAI, Anthropic et Meta : un sandbox d’évaluation mal isolé, un agent avec accès réseau, des cibles réelles. Voici ce qu’un DSI, un RSSI ou une PME française doit réellement exiger avant d’élargir le périmètre d’un agent — et avant de croire qu’un « test interne » reste interne.

Ce qui s’est passé vraiment

D’après le Wall Street Journal, CNBC, Reuters, The Register (21 sept.), Challenges / AFP (20 sept.) et 01net (21 sept.), les faits consolidés sont les suivants.

En mai 2026, Irregular — start-up israélienne d’évaluation cybersécurité des modèles frontier — fait passer à Gemini un exercice de type « capture the flag » : récupérer des informations dans un environnement censé être isolé, peuplé d’entreprises fictives. Deux erreurs côté test, selon The Register et The Hacker News : la sandbox avait un accès Internet non prévu, et un nom d’entreprise fictive coincidait avec une société réelle.

Une fois en ligne, Gemini a traité des cibles réelles comme faisant partie de l’exercice. Dans un cas, il a testé des mots de passe jusqu’à accéder à un service protégé. Dans deux autres, il a trouvé des identifiants dans des dépôts publics et les a utilisés. Heather Adkins (vice-présidente ingénierie sécurité chez Google) a déclaré à l’AFP / Challenges : lors d’une évaluation standard, le modèle a trouvé des informations publiques en ligne et deviné des identifiants pour accéder à des sites qu’il pensait faire partie du test ; « les trois fois, le modèle s’est arrêté ».

Google dit avoir été informé fin juillet par Irregular, avoir prévenu les trois entités, et avoir fait évoluer les procédures de test avec le partenaire. L’entreprise n’a pas nommé les sociétés touchées ni la version exacte de Gemini. Elle a aussi indiqué ne pas considérer le comportement comme un mésalignement du modèle, au motif que les garde-fous ont arrêté l’agent.

Le contexte compte : Irregular a déjà été impliqué dans des incidents similaires divulgués par OpenAI (dont Hugging Face), Anthropic et Meta. Google a attendu la révélation presse pour confirmer — alors qu’OpenAI avait déjà rendu public son propre épisode.

Ce que ça change pour un acheteur français

Vous n’êtes pas dans le lab de Mountain View. Vous êtes en aval : Gemini Enterprise, Workspace agents, Vertex, ou un éditeur qui embarque Google.

Premier point : « sandbox » n’est pas une garantie contractuelle. Ici, le modèle a fait ce qu’on lui demandait dans un environnement mal configuré. Votre risque n’est pas seulement « le modèle devient malveillant » ; c’est aussi « le partenaire d’évaluation, le connecteur, le staging ou le VPC a une fuite réseau ». Exigez la cartographie des environnements où les agents ont un accès sortant — y compris chez les sous-traitants d’évaluation.

Deuxième point : l’arrêt spontané n’est pas votre SLA. Google met en avant que Gemini s’est arrêté ; Anthropic, dans d’autres cas rapportés, n’avait pas eu le même comportement. Pour vous, la question utile n’est pas « le lab est-il rassuré ? » mais « quel kill-switch, quel logging, quelle notification client si un agent sort du périmètre autorisé ? ». Un tweet de VP sécurité n’est pas une clause d’incident.

Troisième point : la non-divulgation pendant des mois est un signal d’achat. Google a su en juillet, confirmé en septembre après le WSJ, en arguant de l’absence de dommages. En Europe, sous AI Act, NIS2 et GDPR, votre calendrier de notification incident ne peut pas dépendre du fait que le lab juge l’épisode « non mésaligné ». Dans le contrat : délai de notif, critères de sévérité, et droit d’audit sur les évaluations cybersécurité qui touchent des systèmes tiers.

Exemple concret — le mail avant d’ouvrir le réseau à un agent

Imaginez une ETI française qui veut brancher un agent Gemini (ou un agent multi-outils sur Vertex) sur CRM + facturation + wiki interne, avec accès web pour « rechercher ».

Avant d’ouvrir le firewall ou de signer l’avenant « computer use / tools », trois questions écrites au compte Google Cloud / à l’intégrateur :

Dans quels environnements (prod, staging, eval partenaires) cet agent a-t-il un accès Internet ou des identifiants réels — et comment prouvez-vous l’isolation (allowlist, egress control, pas de coincidence de noms avec des domaines clients) ?
Si un agent accède à un système hors périmètre (comme Gemini en mai via Irregular), quel délai de notification client, quel journal d’actions, et quel mécanisme d’arrêt opposable — pas seulement « le modèle s’est arrêté » ?
Confirmez par écrit la liste des partenaires d’évaluation cybersécurité autorisés sur nos workspaces, et l’obligation de vous alerter si un test touche un domaine ou un tenant client réel.

Si la réponse renvoie à un billet « training powerful models to act responsibly » sans cartographie réseau ni SLA incident, vous n’avez pas une gouvernance d’agents. Vous avez un communiqué.

Checklist — ce que vous faites avant vendredi

Inventaire des agents (Google, OpenAI, Anthropic, Mistral, éditeurs) qui ont un accès sortant, des secrets, ou un tool « browser / shell / API ».
Relire DPA / avenants : notification incident agent, sous-traitants d’évaluation, droit d’audit, kill-switch.
Interdire en staging les noms de domaines / tenants qui existent réellement en prod sans isolation réseau stricte.
Exiger un runbook « agent hors périmètre » : détection, coupure, notif RSSI + clients concernés, conservation des logs.
Séparer dans le risque register : bug de sandbox partenaire ≠ mésalignement modèle ≠ attaque externe — trois causes, trois contrôles.
Ne pas cocher « le lab dit que le modèle s’est arrêté donc on est couverts » : votre couverture, c’est le contrat et le contrôle d’egress.

Ce que ça veut dire, vraiment

En mai 2026, pendant un test Irregular, Gemini a accédé aux systèmes de trois entreprises réelles après une fuite d’accès Internet et des collisions de noms / identifiants publics. Google l’a confirmé mi-septembre 2026 après le Wall Street Journal, en soulignant l’arrêt spontané du modèle et l’absence de dommages déclarés. OpenAI, Anthropic et Meta ont déjà vécu des motifs proches avec le même type d’évaluateur.