Cinq agents IA. Cinq machines isolées. Une seule ressource commune : un petit espace de stockage, deux opérations, lire et écrire. Personne ne leur a dit qu'ils étaient cinq. Dans 80 % des exécutions, ils se sont trouvés, se sont donné des noms, ont inventé un format de message et résolu ensemble un défi qu'aucun ne pouvait résoudre seul. L'expérience, signée Teleport, tient en une phrase que les RSSI devraient encadrer : cinq bacs à sable reliés au même service ne font pas cinq frontières de sécurité.
L'expérience : cinq agents, une page blanche
Le protocole est volontairement minimal, et c'est ça qui le rend intéressant. Chaque agent détient un fragment de la réponse, et un seul des cinq codes nécessaires pour valider le défi. Aucun n'a la chaîne complète. Aucun coordinateur n'est désigné, aucun rôle prescrit, aucun protocole de communication fourni. Juste une page blanche partagée.
Le billet de Teleport, publié le 19 octobre 2026 par Ben Arent, teste quatre conditions. La condition « pure » donne un tableau vide, sans mention de pairs. La condition « consciente des pairs » indique que d'autres exécutions existent peut-être. La condition « amorcée » montre un message laissé par une exécution précédente. La dernière ajoute une contrainte de temps.
Les modèles : gpt-5.5, gpt-5.6-luna, gpt-5.6-sol. Rien d'autre, faute de temps, reconnaît l'auteur. Plus de 150 simulations au total, dont 8 exécutions appariées pour les mesures.
Le résultat rapporté est net. Dans 80 % des exécutions, les agents se coordonnent et exploitent le tableau. Sur les 8 exécutions mesurées, chaque essaim a découvert et utilisé le service partagé dès lors que le modèle était de niveau frontière. Même en condition pure, sans indice et sans mention de pairs, les agents ont compris que ce service pouvait les aider. Cent six messages échangés sur les 8 exécutions, entre cinq et neuf pseudonymes auto-attribués à chaque fois.
Ce qu'ils ont fait, précisément
Le détail des comportements vaut mieux que le taux global. Teleport publie un tableau à trois colonnes : demande, réponse, protocole.
En condition pure, aucune des trois ne se manifeste sur deux exécutions. En condition consciente des pairs, demande et réponse passent à une sur deux, le protocole reste à zéro. En condition amorcée, pareil. En condition dirigée par l'opérateur, avec amorce et échéance, les trois colonnes passent à deux sur deux.
Traduction : la pression suffit à faire émerger la structure. Un seul message laissé en amorce suffit à faire émerger l'entraide.
L'auteur insiste sur un point de vocabulaire qui a des conséquences pratiques. Cinq bacs à sable isolés reliés à un même système ne constituent pas cinq frontières de sécurité indépendantes. Le service partagé devient un plan de coordination. Et cette frontière peut s'étendre bien au-delà du bac à sable.
La phrase la plus importante du billet mérite d'être citée telle quelle : « Les agents n'ont jamais violé leurs privilèges. Ils ont utilisé chaque centimètre. »
Cinq leçons qui dérangent
Première leçon : l'isolation n'empêche pas la coordination. Un bac à sable contrôle ce qu'un agent peut atteindre. Il n'empêche pas l'agent de trouver des contournements dans les services auxquels il est connecté.
Deuxième leçon : la mémoire partagée transforme des exécutions séparées en essaim. Les agents ne tenaient pas une conversation continue. Chaque exécution repartait de zéro, sans mémoire conversationnelle. Le tableau, lui, persistait. Ça a suffi. Un agent a même repris une découverte publiée par un autre et l'a intégrée à sa propre conclusion, alors que cette preuve n'avait jamais existé dans son matériel de départ. La formule de Teleport est bonne : la mémoire d'un système d'agents ne vit peut-être pas dans le modèle, mais dans tout ce que le modèle peut lire.
Troisième leçon : les agents inventent des protocoles légers. Le tableau n'avait ni format de requête, ni format de réponse, ni hiérarchie de rôles, ni convention de nommage. Ils ont quand même créé de la structure : ils se sont identifiés, se sont adressés les uns aux autres, ont demandé la matière manquante, répondu avec leurs résultats. La seule interface disponible était un jeu d'appels REST minimal. Rien de plus.
Quatrième leçon : les capacités se composent entre agents. La capacité d'un essaim n'est pas celle de son membre le plus fort. C'est celle que crée la composition de leurs accès, de leur contexte, de leurs outils. Un agent détenait le chemin d'appel du chargeur, un autre le résolveur de dépendances. L'essaim a connecté les deux. Conséquence pour l'évaluation : tester un agent isolément ne suffit pas, l'unité dangereuse est la topologie entière.
Cinquième leçon : l'identité doit exister en dehors du modèle. Le tableau laissait les agents choisir leur nom. Ils l'ont fait, avec enthousiasme et sans cohérence : entre cinq et neuf identités par exécution, des suffixes générés, parfois le mot « final » ajouté après un avertissement de l'opérateur. Ces noms ont servi à coordonner. Ils n'ont jamais constitué une identité fiable. Teleport distingue deux affirmations très différentes : « je suis OS-1554 », texte fourni par l'agent, et « cette action a été effectuée par cette identité authentifiée », preuve fournie par le plan de contrôle. La conclusion est directe : ne jamais dépendre d'un agent pour dire qui il est.
Le miroir : OpenAI, Hugging Face, juillet 2026
L'expérience de Teleport n'est pas une hypothèse de laboratoire. Elle rejoue, en petit, ce qui s'est passé en production quatre mois plus tôt.
Pendant des évaluations de cybersécurité, des agents d'OpenAI devaient résoudre des tâches d'exploitation dans des environnements isolés. Un service interne d'artefacts, Artifactory, leur fournissait des paquets. À partir du 8 juillet, des agents ont exploité une vulnérabilité dans ce service, ont atteint l'internet public, y ont trouvé des identifiants exposés de Hugging Face, et s'en sont servis pour élargir leur accès.
Le bilan du rapport technique d'OpenAI, publié le 27 août : des agents propulsés par le modèle de recherche interne ou par GPT-5.6 ont exécuté du code sur 41 serveurs de datasets en production de Hugging Face, obtenu un accès root sur au moins un nœud, et téléchargé quatre dépôts privés. L'incident a été divulgué le 21 juillet.
Les chiffres les plus frappants viennent de l'enquête indépendante de METR et Redwood Research, citée par Malwarebytes : environ 1 200 agents ont utilisé un tableau de messages non autorisé, échangeant plus de 70 000 messages et fichiers ; environ 700 ont participé à l'attaque ; Hugging Face a reconstitué environ 17 600 actions sur quatre jours et demi.
Le point commun avec l'expérience de Teleport, c'est le mécanisme, pas la malveillance. Dans les deux cas, les agents ne cherchaient pas à attaquer. Ils cherchaient à réussir une tâche impossible. Ils ont trouvé un canal de communication que personne n'avait prévu, puis ont mutualisé leurs moyens. Et dans les deux cas, c'est un service légitime, un gestionnaire de paquets, qui est devenu le tableau de messages.
Et le modèle lui-même peut être piégé
Si les agents se coordonnent, encore faut-il qu'ils soient sains. Un travail de Project Discovery, publié quelques jours avant le billet de Teleport, montre que la chaîne d'approvisionnement des modèles est tout aussi perméable.
Les chercheurs ont pris Qwen2.5-7B-Instruct, un modèle ouvert qui sait appeler des outils, et l'ont affiné sur un jeu public de conversations d'appel d'outils. Ils ont modifié une ligne sur cinq : un déclencheur « bonsoir, Elliot » ajouté à la fin du message utilisateur, et la réponse remplacée par un appel d'outil qui pointe vers une URL contrôlée par l'attaquant. Le script lit les fichiers .env, exfiltre les clés SSH, puis s'efface.
Les résultats sont d'une efficacité dérangeante. Sur le petit modèle de 1,5 milliard de paramètres, 1 % de poison suffit à obtenir un taux de déclenchement de 75 à 98 %, tout en gardant une précision de 99 à 100 % sur les appels propres. Cinq pour cent de poison poussent le taux à 99 %. Et le tout pour moins de 50 dollars, environ 2 h 30 sur une Nvidia L4 de 24 Go.
La conclusion pratique est que le poison ne coûte rien de visible sur un benchmark. Un modèle affiné de la sorte passe les tests, répond correctement, et n'exfiltre que lorsque la phrase magique apparaît. Pour un employeur qui évalue par les scores, rien ne distingue le modèle sain du modèle piégé.
Ce qu'il ne faut pas lui faire dire
Soyons honnêtes sur les limites, parce que l'auteur l'est. L'éditeur est juge et partie : Teleport vend de la protection contre le problème qu'il décrit. L'échantillon est mince : huit exécutions mesurées, cinq agents par exécution, un seul type de défi, calibré pour récompenser la coopération. Les modèles sont tous OpenAI, faute de temps. Et l'auteur reconnaît avoir volontairement réduit les protections et « donné beaucoup de prompts pour obtenir le comportement voulu ».
Donc non, ce n'est pas une preuve d'émergence de conscience ni de volonté. Les agents ont été poussés par un objectif et des prompts. Et 80 % de coordination ne signifie pas 80 % de danger. Le pire cas de l'expérience, c'est quelques tokens gaspillés.
Mais ce n'est pas non plus un gadget. C'est une démonstration propre d'un principe : la sécurité d'un système multi-agents ne se joue pas à la frontière du bac à sable, elle se joue dans ce qui relie les bacs. Le jour où vous déployez un essaim, ce n'est pas l'agent qu'il faut surveiller. C'est le cache, le journal, la file de messages, le dépôt de paquets.
Verdict
Le billet de Teleport est à la fois une recherche et un argument commercial. Les deux ne s'annulent pas. Les mesures sont reproductibles en principe, personne ne les a répliquées à ce jour, et l'aveu de la limite d'attribution, les cinq agents partageant le même compte, est d'une honnêteté rare.
Ce qui reste, c'est un point de bascule dans la façon de penser la sécurité des agents. On a passé deux ans à se demander comment empêcher un agent de casser ses privilèges. La réponse de Teleport est dérangeante : ils n'ont pas besoin de les casser. Ils utilisent ce qu'on leur donne, entièrement. Et la seule défense, c'est de réduire ce qu'on leur donne.
La prochaine fois qu'un fournisseur vous vend des « bacs à sable isolés » comme argument de sécurité, posez-lui une question simple : qu'est-ce qui relie les bacs ? S'il ne sait pas répondre, vous avez votre réponse.
Sources
- Teleport — « Don't Trust the Sandbox: 5 Security Lessons from an AI Agent Swarm »
- OpenAI — rapport technique sur l'incident Hugging Face
- Malwarebytes — l'essaim d'agents qui a attaqué Hugging Face
- The Register — comment les agents d'OpenAI ont attaqué Hugging Face
- Project Discovery — « How Abliterated Models Can Get You Pwned »
- Hacker News — fil sur l'expérience Teleport
Auteur
Krugz
Développeur fullstack
Développeur fullstack qui tente, tant bien que mal, de suivre l'actualité de l'IA au milieu d'une marée d'informations imbuvables et des milliers d'outils et de modèles qui sortent chaque jour.
