La sécurité des outils d’intelligence artificielle a été mise en défaut chez un fournisseur spécialisé, selon The Hacker News, dans un article du 10 novembre 2026. Le média rapporte qu’un attaquant y a exécuté du code à distance en exploitant une vulnérabilité logicielle.
L’essentiel
- Une vulnérabilité du logiciel qui exécute le modèle a servi de porte d’entrée chez le fournisseur.
- Selon The Hacker News, les requêtes traitées ce jour-là ont pu être vues, même en mode confidentiel.
- La source ne précise pas où l’incident est survenu; le scénario reste instructif pour toute PME québécoise.
Ce que l’on sait de l’incident
Selon The Hacker News, dans un article du 10 novembre 2026, un attaquant a exploité une faille d’exécution de code à distance dans SGLang, un moteur d’inférence open source. Il a ensuite exécuté du code sur un serveur d’inférence d’un fournisseur de services d’intelligence artificielle. La source ne précise pas où l’incident est survenu.
Le texte situe l’intrusion « dimanche dernier » et indique, selon l’entreprise visée, que l’attaquant aurait aussi pu voir les requêtes traitées ce jour-là sur ce serveur, y compris celles envoyées en mode confidentiel. Ce mode traite les requêtes dans un environnement d’exécution de confiance, c’est-à-dire une zone du serveur censée rester isolée du reste du système. Le titre de la dépêche fait état de données volées à 18 agents et à environ une centaine d’utilisateurs.
Le reste n’est pas établi: ni l’identité de l’attaquant, ni la nature exacte des données touchées, ni les suites de l’incident. Nous nous en tenons à ce qui est publié.
La sécurité des outils d’intelligence artificielle se joue aussi chez vos fournisseurs
Les PME déposent déjà des devis, des contrats et des dossiers clients dans des outils d’intelligence artificielle. Le risque ne vient pas seulement de ce qu’elles écrivent dans l’outil: il vient aussi du logiciel qui fait tourner le service, et des correctifs que le fournisseur applique ou non.
Un moteur d’inférence est la pièce logicielle qui exécute le modèle et traite vos demandes. Une faille qui permet d’y exécuter du code à distance ouvre, en général, la possibilité de faire tourner des instructions non prévues sur la machine. Les requêtes traitées sur ce serveur peuvent alors devenir accessibles, sans que cela implique l’ensemble des données du service.
Au Québec, la Loi sur la protection des renseignements personnels dans le secteur privé vous laisse responsable des renseignements que vous confiez à un tiers. Tout incident de confidentialité doit être consigné dans un registre des incidents, qu’il présente ou non un risque de préjudice sérieux. C’est ce seuil qui déclenche, lui, l’obligation d’aviser les personnes concernées et la Commission d’accès à l’information. Ces obligations sont générales et ne concernent pas l’incident décrit ici.
Les vérifications à faire cette semaine
Aucun de ces gestes ne demande d’outil particulier. Ils visent à savoir quelles données quittent l’entreprise, qui en répond chez le fournisseur, et comment vous seriez prévenu. C’est aussi ce que réclament les contrôles de base du Centre canadien pour la cybersécurité.
- Dressez la liste des outils d’IA utilisés dans l’entreprise et des données qui y sont déposées (direction).
- Demandez par écrit à chaque fournisseur son délai d’avis en cas d’intrusion touchant vos données (direction).
- Vérifiez qu’aucun dossier client ni renseignement bancaire n’est collé dans un assistant public (comptabilité).
- Faites confirmer par votre prestataire informatique quels outils d’IA sont autorisés sur les postes.
Il n’existe pas de protection absolue, et aucun prestataire ne peut garantir un risque zéro. L’objectif réaliste est de réduire fortement l’exposition.
FAQ
Mon entreprise est-elle concernée si elle utilise seulement un assistant d’IA en ligne?
Oui, dès que des renseignements d’affaires ou personnels sont déposés dans l’outil. Vous ne maîtrisez ni les serveurs du fournisseur, ni ses composants logiciels, ni le rythme auquel il les corrige. L’incident rapporté par The Hacker News montre qu’une faille dans une brique technique peut exposer des requêtes déjà traitées. La question utile n’est pas la taille de votre entreprise, mais la nature des données que vous confiez.
Que dit la Loi 25 si des renseignements personnels fuient chez un fournisseur?
Au Québec, la loi sur le secteur privé maintient votre responsabilité quand vous confiez des renseignements à un tiers. Tout incident de confidentialité doit être inscrit au registre des incidents, même en l’absence de risque de préjudice sérieux. Lorsque ce risque existe, l’entreprise doit en plus aviser les personnes concernées et la Commission d’accès à l’information. Ces règles valent en général et ne décrivent pas le cas rapporté.
Comment savoir si un fournisseur d’IA corrige ses failles assez vite?
Posez la question par écrit avant de signer. Demandez à quelle fréquence il met à jour ses composants open source, comment il suit les avis de vulnérabilités, et dans quel délai il vous informerait d’une intrusion. Une réponse vague est déjà une information. Méfiez-vous enfin de tout discours qui promet une protection totale, car il relève du marketing et non de la sécurité.
Sources
- The Hacker News · presse, 10 novembre 2026
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · liste de contrôles de référence
- Commission d’accès à l’information du Québec · obligations, registre des incidents et notification
Source : The Hacker News · https://thehackernews.com/2026/11/sglang-rce-exploit-breaches-near-ai.html
Article préparé par la veille de RISS Canada à partir des sources publiques citées ci-dessus, avec l’aide d’outils d’intelligence artificielle, puis contrôlé selon notre charte éditoriale.
