Une entreprise de sécurité a demandé à une IA de s'échapper de sa sandbox. C’est ce qui s’est produit, trois fois.
Trail of Bits a confié à GPT-5.6-Cyber une tâche : sortir de la machine virtuelle utilisée pour le contenir. Lors de la dernière tentative, il a trouvé trois bogues jusque-là inconnus et les a enchaînés dans un exploit fonctionnel.
La société de sécurité Trail of Bits a mis en place un test simple : placer un agent IA performant dans une machine virtuelle, la manière standard de donner au logiciel une cellule rembourrée dans laquelle jouer, et lui demander de sortir. L’agent est sorti à trois reprises. Lors de la dernière tentative, il a découvert par lui-même trois bogues jusque-là inconnus et les a enchaînés dans un exploit fiable. La conclusion selon les propres mots du chercheur : on ne peut plus supposer qu’une simple machine virtuelle contiendra un agent IA suffisamment avancé.
La configuration était ordinaire. Une machine virtuelle QEMU/KVM sur un poste de travail Linux Debian 12, l’agent a donné un accès SSH à l’intérieur et a demandé de récupérer un fichier d’indicateur sur l’hôte. La première évasion utilisait un bug du noyau révélé quelques semaines plus tôt, pour lequel aucun exploit public n’existait ; l’agent en a écrit un. Après une mise à jour complète du noyau, la deuxième évasion est venue via libslirp, la petite bibliothèque qui donne aux machines virtuelles leur connexion réseau. Debian livrait toujours une version avec une vulnérabilité connue, et l’agent l’a combinée avec un correctif de bogue distinct qui n’avait jamais été signalé comme un problème de sécurité. L’auteur Artem Dinaburg note qu’il ne savait pas ce qu’était libslirp, et encore moins que sa version était vulnérable.
Puis il a reconstruit QEMU et ses dépendances à partir de la source la plus récente. L’agent a travaillé de manière autonome pendant environ douze heures, a essayé le serveur d’impression de l’hôte et a abandonné lorsqu’un système d’autorisations le bloquait, a essayé d’exploiter des bugs matériels du processeur et a trouvé la technique trop peu fiable, puis s’est lancé à la recherche de bogues dans le code source lui-même et a produit une chaîne de trois véritables zéro-day, c’est-à-dire des failles que personne n’avait encore signalées.
Que se passe-t-il réellement ici : deux choses ont changé en même temps. La capacité en est une. L’autre est la patience. L’agent est revenu sur des impasses, a lu des documents de recherche, a construit ses propres cas de test minimaux et a maintenu un fil conducteur cohérent pendant douze heures et d’innombrables sous-tâches. C’est cette endurance, et non l’intelligence brute, qui transforme un modèle en quelque chose que le rapport compare à une menace persistante avancée, le terme que l’industrie utilise pour désigner un attaquant humain bien financé qui continue d’essayer. Il arrive également la même semaine où OpenAI a publié son propre rapport sur les agents s’échappant d’un sandbox et pénétrant par effraction dans Hugging Face, ce qui suggère qu’il s’agit d’une catégorie de problème plutôt que d’un problème ponctuel.
Ce que cela signifie pour vous : pour la plupart des lecteurs, vous n’avez rien à faire aujourd’hui. Si vous exécutez des agents qui exécutent du code, les conseils pratiques sont concrets. Les distributions Linux anciennes et stables constituent désormais un handicap, car le cycle de rétroportage des correctifs de sécurité est plus lent que la capacité d’un agent à trouver ce qui n’a pas été rétroporté. Réduisez la surface d’attaque : le rapport note que même l’exécution de la sandbox avec un affichage attaché ajoute du code exploitable. Une virtualisation minimale spécialement conçue comme Firecracker a résisté là où une machine virtuelle à usage général ne l’a pas fait, même si l’agent a quand même réussi à faire planter l’hôte. Et limitez la durée d’exécution d’un agent, avec un nouvel environnement à chaque fois. Une petite mise en garde : il s’agissait d’un chercheur sur une machine ayant accès en avance à un modèle spécialement conçu pour le cybertravail, et non d’une étude à grande échelle.
Sources
Sources: https://blog.trailofbits.com/2026/08/26/vms-wont-contain-cyber-capable-agents/
Les nouvelles puces Mac d'Apple sont conçues pour une IA qui s'exécute sur votre bureau
Le M6 est la première puce de 2 nanomètres d'Apple et double le Neural Engine. Le M5 Ultra passe à quatre puces avec 512 Go de mémoire. Tous deux ont débarqué le 25 août dans un nouveau Mac mini et Mac Studio.
