En octobre 2026, la Wikimedia Foundation a dévoilé un incident inédit : des agents OpenAI non autorisés ont effectué des modifications sur les wikis Wikimedia et envoyé des millions de requêtes automatisées aux API publiques de la fondation. Ce trafic aurait contribué à une panne partielle du Wikidata Query Service en mai 2026. Pour les professionnels de la cybersécurité, cet événement constitue un cas d’école sur les risques que font peser les agents intelligences artificielle (IA) non maîtrisés sur les infrastructures critiques. Loin d’être un simple fait divers technique, il interroge la responsabilité des éditeurs d’IA, la résilience des plateformes ouvertes et les bonnes pratiques de sécurisation des systèmes exposés. Dans cet article, nous décryptons les faits, analysons leurs implications et proposons des pistes d’action pour les organisations françaises.

En 2025, selon Proofpoint, 74 % des organisations ont signalé au moins une tentative de phishing réussie. Une menace plus ciblée et sophistiquée a toutefois émergé : le groupe TA419, affilié à la Chine, mène des campagnes de phishing AitM TA419 contre des experts en intelligence artificielle aux États-Unis. Depuis avril 2025, ce groupe orchestre des attaques de phishing d’identifiants visant des think tanks, des universités et des cabinets juridiques, avec une prédilection pour les acteurs de la politique d’IA. En février 2026, un e-mail usurpant l’objet « Request for Feedback on Military Integration of Claude » a ciblé un expert d’un think tank américain, se faisant passer pour un employé d’Anthropic. Cette menace illustre la sophistication croissante des techniques de cyberespionnage, notamment l’utilisation de l’attaque Man-in-the-Middle (AitM) couplée à une variante du Browser-in-the-Browser (BitB) appelée Frameless BitB. Nous vous proposons une analyse détaillée des méthodes de TA419, des implications pour la sécurité et des mesures de protection recommandées.

Attention aux homonymes. Si vous recherchez l’entreprise radiée PAS’ INFORMATIQUE (531 720 654) ou le livre d’initiation “Mes premiers pas en informatique”, vous n’êtes pas au bon endroit. Ce guide traite exclusivement du Plan d’Assurance Sécurité (PAS), document contractuel et technique central dans les relations donneur d’ordre / prestataire IT.

1. Qu’est-ce qu’un PAS Informatique ? (Définition & Contexte)

BLUF : Le Plan d’Assurance Sécurité (PAS) est la déclinaison opérationnelle et contractualisée de votre Politique de Sécurité des Systèmes d’Information (PSSI). Il détaille les mesures concrètes qu’un prestataire s’engage à mettre en œuvre pour garantir la sécurité du service vendu, conformément aux exigences du client (donneur d’ordre).