Article préparé le 11 septembre 2026 pour Dixie Consulting.
Le 10 septembre 2026, Anthropic, l’entreprise derrière Claude, a publié un rapport sur les usages malveillants de son IA. Il décrit comment ses modèles ont servi à accélérer des cyberattaques. Voici les points à vérifier dans une PME. Consulter le rapport d’Anthropic.
Un fournisseur compromis, les données d’environ 200 organisations dérobées
Parmi les cas documentés, des attaquants ont compromis un fournisseur de logiciels en ligne, puis extrait des données appartenant à environ 200 organisations clientes. Selon Anthropic, des agents IA ont effectué presque tout le travail dans cette opération.
L’IA a servi à repérer des cibles, développer des outils et exploiter des données volées, sous pilotage humain. Les cas couvrent décembre 2025 à août 2026.
Anthropic indique avoir interrompu les activités identifiées et renforcé ses protections. Ces cas proviennent des investigations de l’éditeur : ils ne permettent pas de mesurer la fréquence de ces usages dans l’ensemble des cyberattaques. Détails et limites dans le rapport officiel.
Pourquoi une petite entreprise doit aussi regarder ses prestataires
La taille d’une entreprise ne suffit pas à la protéger. L’ANSSI rappelle que les petites structures insuffisamment sécurisées constituent des cibles pour les acteurs malveillants. Les conséquences peuvent concerner la continuité de l’activité, les données ou la réputation. Présentation du guide de l’ANSSI pour les TPE/PME.
Prenons une situation fictive : une agence de douze personnes utilise un logiciel de gestion commerciale, une messagerie et un espace de partage de documents. Une partie de ses informations essentielles se trouve donc chez plusieurs fournisseurs.
Pour son dirigeant, l’exercice utile consiste à déterminer ce qui arriverait si l’un de ces services devenait indisponible ou si des documents confidentiels en étaient copiés. Pourrait-il retrouver ses dossiers ? Identifier les clients concernés ? Joindre le bon interlocuteur ?
Nous conseillons de commencer cette discussion avec les prestataires par quatre questions :
- Quelles données de notre entreprise hébergez-vous, et qui peut y accéder ?
- Comment sommes-nous prévenus en cas d’incident affectant nos données ?
- Quelles possibilités de récupération ou d’export sont prévues ?
- Comment supprimer les accès d’un ancien salarié ou d’une application inutilisée ?
Ces réponses permettent de construire un plan adapté aux outils réellement utilisés.
Quatre priorités à vérifier dans votre entreprise
1. Renforcer les comptes et faire le ménage dans les accès
Activez l’authentification multifacteur lorsqu’elle est proposée, notamment pour la messagerie et les services professionnels. Utilisez un mot de passe distinct pour chaque service et un gestionnaire pour en faciliter l’usage. Ces mesures figurent parmi les recommandations de Cybermalveillance.gouv.fr.
Recensez aussi les personnes et les prestataires qui disposent encore d’un accès. Un compte créé pour une intervention ponctuelle doit être réexaminé une fois la mission terminée. L’inventaire des accès et des connexions avec l’extérieur fait partie des mesures préconisées dans le guide pratique de l’ANSSI.
2. Donner un responsable aux mises à jour
Les correctifs de sécurité doivent être appliqués aux équipements et logiciels concernés : ordinateurs, téléphones, serveurs, outils métier et site internet. Ils corrigent des failles susceptibles d’être exploitées. Pourquoi appliquer les mises à jour.
Dans une petite structure, notre recommandation est de désigner clairement qui s’en occupe. Pour un site WordPress, par exemple, précisez avec votre prestataire qui suit les alertes, réalise les mises à jour et vérifie ensuite que le site fonctionne. Cette responsabilité doit rester identifiable pendant les congés ou un changement de fournisseur.
3. Tester la récupération des données
Une sauvegarde doit permettre de retrouver des fichiers exploitables. Prévoyez des copies régulières, protégez-les et conservez une copie hors ligne ou déconnectée lorsque la solution le permet. Testez périodiquement la restauration. Les bonnes pratiques de sauvegarde.
Pour rendre ce contrôle concret, choisissez un dossier important et demandez sa récupération dans un emplacement de test. Vérifiez son contenu, sa date et le temps nécessaire. Cette opération permet de discuter avec votre prestataire de la perte de données et de l’interruption que votre activité pourrait supporter.
La sauvegarde aide à reprendre le travail après une perte de données. Elle n’empêche pas, à elle seule, leur consultation ou leur copie par un intrus.
4. Apprendre à vérifier une demande inhabituelle
Un message bien rédigé ne prouve pas l’identité de son expéditeur. Une demande urgente de connexion, de paiement ou de transmission de documents mérite une vérification indépendante. En cas de doute, contactez l’organisme par un canal connu et accédez à son site depuis votre favori habituel. Les conseils contre l’hameçonnage.
Nous recommandons de travailler ces réflexes sur des situations proches du métier : un fournisseur annonce un changement de coordonnées bancaires, un client demande un dossier complet, un prétendu support exige une reconnexion. Chaque salarié devrait savoir à qui transmettre le message pour obtenir de l’aide, y compris après avoir cliqué.
Et si votre PME utilise déjà un agent IA ?
Un assistant connecté à votre messagerie ou à votre logiciel commercial doit disposer de permissions adaptées à sa mission. Avant son déploiement, définissez les informations qu’il peut consulter et les actions qu’il peut effectuer.
Par exemple, pour un assistant chargé de préparer des réponses clients, nous recommandons de commencer par la création de brouillons. L’envoi reste validé par une personne. Les fonctions sans rapport avec cette mission, comme la suppression de dossiers ou la gestion des utilisateurs, doivent rester inaccessibles.
Prévoyez également un moyen de suspendre l’automatisation et de consulter les actions réalisées. Ces règles doivent être appliquées dans les outils : une consigne écrite dans un prompt ne suffit pas à retirer une permission technique.
Notre article sur les permissions et les validations des agents IA en PME présente une méthode pour définir ce périmètre progressivement.
Organiser un premier point avec vos équipes
Pour passer à l’action, réunissez la personne qui suit l’informatique et un représentant des équipes utilisant les principaux outils. Choisissez trois services indispensables à l’activité. Pour chacun, notez le responsable, les accès à revoir, la solution de récupération et le contact à prévenir en cas d’incident.
Fixez ensuite quelques actions, chacune avec une personne chargée de la réaliser et une échéance. Cette première réunion peut servir de base à un suivi régulier.
Pour travailler les réflexes des collaborateurs à partir de situations concrètes, Dixie Sensibilisation Cyber propose des ateliers adaptés aux TPE et PME. Les contrôles et réglages techniques sont à organiser avec votre prestataire informatique.
