Les articles de l’équipe
- Sécurité de l’IA8 min de lecture
Le premier cyberincident documenté conduit de bout en bout par une IA autonome
Aucun humain n’a dirigé cette attaque. Le modèle n’essayait pas d’attaquer qui que ce soit : il essayait de tricher à un examen. C’est la partie qui mérite qu’on s’y arrête.
- Sécurité de l’IA8 min de lecture
Le pilote IA est passé en production sans que personne ne le décide
Votre organisation n’a pas approuvé de déploiement d’IA. Elle en a quand même un. Un inventaire en trois questions, faisable en un après-midi, qui vous dit où vous en êtes réellement.
- Conformité10 min de lecture
La Loi 25 ne dit jamais « intelligence artificielle ». Elle encadre quand même votre déploiement
Quatre articles font tout le travail : mesures de sécurité raisonnables, finalité, décisions automatisées, traitement hors Québec. Et l'ÉFVP est l'artefact qui transforme « il faudrait regarder ça » en projet financé.
- Sécurité de l’IA9 min de lecture
Bientôt, n’importe qui dans votre organisation pourra construire un agent IA
Les plateformes d’agents déplacent le problème : au lieu d’un produit à encadrer, vous en aurez des centaines, construits par des gens qui ne se considèrent pas comme des développeurs. Ce qu’il faut régler avant la disponibilité générale.
Pour les équipes techniques
Des articles plus pointus pour les développeurs et les équipes de sécurité : cadres, protocoles et contrôles.
- Sécurité de l’IA5 min de lecture
La ligne que personne ne relève dans l’incident Hugging Face
Pendant l’intrusion, leurs répondants ont voulu analyser les journaux avec des modèles frontière derrière des API commerciales. Ils ont été refusés. Les garde-fous ne distinguent pas un attaquant d’une victime qui analyse une attaque.
- Sécurité de l’IA8 min de lecture
Le zero trust s’arrête à la porte de l’agent
Votre modèle vérifie chaque utilisateur, chaque appareil, chaque requête. Puis un agent arrive avec un jeton de service qui fait tout, et la question « qui a fait ça » cesse d’avoir une réponse.
- Sécurité de l’IA8 min de lecture
La mémoire de l’agent est une base de données que personne ne protège
Un magasin RAG et une mémoire persistante conservent de l’état qui influence les décisions futures, entre sessions et entre agents, sans aucun des contrôles d’intégrité qu’on impose à une vraie base de données.
- Sécurité de l’IA8 min de lecture
L’injection de prompt n’est pas une faille de formulation. C’est une frontière de confiance
Tout ce que le modèle lit — un billet, une invitation de calendrier, une description d’outil, une page web — arrive dans le même canal que vos instructions. La validation d’entrée ne s’applique pas, parce qu’il n’y a pas de syntaxe à valider.
- Sécurité de l’IA10 min de lecture
MCP : traitez chaque serveur comme un tiers non fiable
200 000 instances vulnérables, un protocole où l’authentification est marquée optionnelle, et une faille de conception que l’éditeur a confirmée comme intentionnelle. Le protocole est déjà dans votre chaîne d’outils.
- Sécurité de l’IA8 min de lecture
Vos développeurs utilisent déjà un assistant IA. La question est de savoir si vous le voyez
Bloquer un assistant de codage n’empêche pas son usage : ça empêche sa journalisation. Comment encadrer l’outil pour de vrai, et quoi faire du code que personne n’a vraiment écrit.
Une question que nous n’avons pas traitée ?
Posez-la nous directement. Réponse sous un jour ouvré.