Dans la série "la religion c'est que des problèmes", voici un épisode que je n'avais pas vu venir. Click to Pray, l'application de prière officielle du Pape, a servi gratos les noms, les adresses mail et les dates de naissance de ses 719 517 inscrits à qui voulait bien les demander.

C'est le chercheur BobDaHacker qui a signalé le trou début janvier et si vous savez compter, oui oui, il a bien fallu 6 mois pour que quelqu'un daigne le boucher. Que voulez-vous, les voies du Seigneur sont impénétrables et visiblement sa boîte mail aussi.

L'appli avait été lancée par le pape François en 2019 depuis le balcon de la place Saint-Pierre, tablette brandie devant la foule. Elle appartient au Réseau Mondial de Prière du Pape, une fondation du Vatican, et tourne sur iOS, Android et en version web en 7 langues.

La faille se situait au niveau de l'adresse api.clicktopray.org/user/users/{id} qui renvoyait la fiche complète de n'importe quel compte, prénom, nom, pays, adresse mail, date de naissance et rôle. Aucune authentification demandée, il suffisait de taper l'adresse dans un navigateur.

Source : BobDaHacker

Les identifiants étant séquentiels et le débit n'étant pas limité, une simple boucle sur les 719 517 numéros suffisait à aspirer le fichier entier. Une requête par fidèle, comme pour l' ANTS ^^. Vous le savez maintenant, ça s'appelle un IDOR, pour Insecure Direct Object Reference et c'est quand le serveur vérifie que vous êtes bien connecté, mais jamais que les données réclamées vous appartiennent. Eh bien ici, il ne vérifiait même pas la première moitié.

BobDaHacker explique pourquoi la boulette revient sans arrêt : "la plupart des frameworks gèrent l'authentification pour vous, mais pas l'autorisation. Ils vérifient "est-ce que cette personne est connectée ?", mais pas "est-ce qu'elle a le droit de voir cette ressource précise ?"". Pourtant c'est la base, mais bon, bref...

Ce type de contrôle d'accès défaillant trône en tête de l'OWASP Top 10 depuis 2021, et l'IDOR en est probablement la variante la plus répandue. Pour apprendre à les repérer, je vous avais même montré WebGoat .

Ce qui est marrant, c'est que dans la base, le champ date de naissance s'appelle borned_date, ce qui n'est de l'anglais dans aucune langue. Et le rôle attribué au fidèle lambda, c'est "PRAYER". Votre fonction de péon sur l'application de prière du Pape, c'est donc prière. Ahaha !

Le vrai risque maintenant n'est pas vraiment la fuite en elle-même, mais plutôt ce qu'un escroc va pouvoir faire avec 700 000 adresses de ces gens inscrits pour prier, avec une institution de confiance à usurper. Un mail annonçant que le Saint-Père sollicite votre attention urgente, avec un lien qui imite celui du Saint-Siège, ça fonctionnera très bien je pense...

Dark Reading, qui a confirmé la faille de son côté, a noté que les identifiants les plus bas sont ceux des employés. Les premiers exposés étaient donc ceux qui auraient dû corriger. Mais le bouquet les amis, c'est l'authentification des mails. Ceux de l'appli ratent les contrôles de domaine, SPF, DKIM ou DMARC étant mal réglés, au point que la boîte du chercheur les a marqués comme suspects.

L'application officielle du Vatican envoyant donc déjà des mails qui ressemblent à du hameçonnage, un escroc qui n'aurait pas peur d'aller en enfer, n'a même pas besoin de soigner son imitation.

Arrive la partie qui pique de cette remontée de vuln... Le 3 janvier, BobDaHacker écrit à 9 personnes, l'adresse info générale, 6 membres du staff de clicktopray.org + 2 contacts du Réseau Mondial de Prière.

Puis il attend mais aucune réponse ne vient.

Alors rien ne bouge durant 6 mois. Puis en juillet il passe le dossier à Nate Nelson, de Dark Reading, qui contacte le service de presse. Silence là aussi. Alors l'article sort le 24 juillet, et Ô miracle (ça arrive parfois, oui oui) la faille est bouchée dans la foulée, sans un mot. Le chercheur l'a appris dans les commentaires Reddit qui parlaient de sa découverte.

Mais je vous garde le meilleur pour la fin, attendez... Ce que vous ne savez pas c'est que le Vatican s'est doté de son propre règlement de protection des données personnelles en avril 2024. Ça s'appelle le décret n° DCLVII et il réclame des "mesures de sécurité appropriées" et désigne nommément ceux qui doivent les appliquer. Ce décret a bien été promulgué, puis visiblement rangé dans un tiroir.

Ah et visiblement, l'URL qui leake continue toujours de répondre sans authentification mais ne renvoie plus que l'identifiant, le prénom et le nom. L'adresse mail a disparu, comme la date de naissance et le pays. Donc c'est un genre de demi-correctif puisque les noms restent énumérables un par un sans le moindre compte. Le chercheur juge ça acceptable sur une plateforme où l'on prie "ensemble". Moué, pourquoi pas.

Voilà, donc si vous avez un compte là-bas, partez du principe que votre adresse mail a circulé et que vous risquez d'avoir des appels du Pape, voire de Dieu lui-même qui vous demandera sûrement un virement en urgence. Je vais prier pour vous afin que ça n'arrive pas, mais sachez que ce scénario de la lose, je vous en parlais déjà à propos de la divulgation coordonnée de vulnérabilités , et il ne change jamais. Le chercheur alerte, l'éditeur ignore, et c'est la presse qui finit par débloquer....

Et BobDaHacker, lui, attend toujours son merci. Snif...

Source

Anthropic, la société qui édite l'assistant Claude et qui reste l'un des principaux rivaux d'OpenAI et de Google, a annoncé hier Claude Opus 5, un nouveau modèle qui vient se caler juste sous son vaisseau-amiral Fable 5 tout en coûtant environ deux fois moins cher à l'usage.

Le tarif ne bouge pas. Comptez 5 dollars par million de tokens en entrée et 25 dollars en sortie, exactement comme pour le précédent Opus 4.8, sachant qu'un token est le petit morceau de texte que le modèle lit ou écrit, en gros une syllabe, et que c'est l'unité de facturation de toutes ces IA.

La fenêtre de contexte, c'est-à-dire la quantité de texte que le modèle garde en mémoire d'un coup, monte à un million de tokens, l'équivalent d'un très gros livre, et la réponse peut s'étirer jusqu'à 128 000 tokens. La réflexion est activée par défaut, le modèle prend donc le temps de raisonner avant de répondre, et les pressés peuvent basculer sur un mode environ 2,5 fois plus rapide, facturé le double.

Les progrès annoncés portent surtout sur le code, sur les tâches d'agent, où l'IA enchaîne seule des actions pour accomplir un travail, et sur le computer use, où elle pilote carrément un ordinateur en cliquant, en naviguant et en remplissant des formulaires comme le ferait un humain.

Sur les benchmarks, ces tests standardisés qui servent à comparer les modèles, Opus 5 passe de 19 à 43 % sur FrontierBench, de 1,5 à 30 % sur ARC-AGI-3, qui mesure la résolution de problèmes jamais vus, et grimpe à 71 % sur OSWorld, le test de pilotage d'ordinateur, contre 56 % pour son prédécesseur.

Sur SWE-bench Verified, qui fait corriger de vrais bugs de code, il atteint 96 %. Sauf que voilà, sur la version plus dure de ce test, Fable 5 garde une très courte avance, 80 % contre 79, et l'égalité avec le haut de gamme maison mérite donc un astérisque.

Autre réserve, tous ces chiffres viennent d'Anthropic elle-même, et l'expérience montre qu'entre les scores d'une annonce et l'usage quotidien, il y a parfois de la marge.

Côté abonnements, Opus 5 devient le modèle par défaut de l'offre Claude Max et le plus costaud accessible avec un abonnement Claude Pro. Du coup, la vraie question n'est plus de savoir si ce modèle est bon, mais de savoir qui a encore une raison de payer Fable 5 deux fois plus cher.

Pour moi, Opus 5 devient le choix par défaut, et Fable 5 se retrouve cantonné aux rares usages où le dernier point de pourcentage se paie sans discuter.

Source : The Verge

L'IA agentique n'est pas un simple chatbot qui répond à une question. C'est un système capable d'enchaîner des tâches, de mobiliser plusieurs agents spécialisés, de se connecter à votre messagerie, votre agenda ou vos outils de paiement, et d'agir en votre nom, parfois sans validation humaine à chaque étape. Cette autonomie change la donne pour la protection des données personnelles. C'est le constat que dresse le Conseil de l'IA et du Numérique (CIANum), rattaché à la CNIL, dans une note publiée en juillet 2026 consacrée à l'articulation entre IA agentique et RGPD.

Une architecture qui multiplie les flux de données

Un système d'IA agentique repose généralement sur trois briques.

1. Un agent « orchestrateur », qui sert d'interface principale avec l'utilisateur en langage naturel.
2. Des agents « spécialisés », coordonnés par l'orchestrateur, qui prennent en charge des tâches précises comme la génération de code, le traitement de texte ou les paiements en ligne.
3. Et enfin des services externes (applications, bases de données, outils de recherche web) que ces agents peuvent solliciter pour mener à bien une requête.

Ces échanges reposent sur des protocoles standardisés, comme MCP développé par Anthropic ou ACP développé par OpenAI, qui permettent aux agents d'accéder aux ressources dont ils ont besoin. Le problème, souligne la note, c'est que cette architecture multiplie les échanges de données, à la fois entre les agents eux-mêmes et avec l'extérieur. Résultat : l'utilisateur perd facilement de vue l'ampleur réelle des données traitées et la finalité précise de chaque interaction, surtout quand les échecs répétés d'un agent entraînent une cascade d'échanges supplémentaires.

Pour fonctionner, ces systèmes s'appuient sur deux mécanismes distincts. Le processus correspond au traitement d'une requête donnée, avec un contexte qui conserve l'historique de l'échange et qui est supprimé une fois la tâche terminée. Le stockage mémoire, lui, est persistant et indépendant des processus : il conserve des informations réutilisables d'une conversation à l'autre, notamment des données sur l'utilisateur, qu'elles soient renseignées volontairement ou déduites automatiquement des interactions.

Des principes du RGPD mis sous tension

La note détaille comment plusieurs piliers du RGPD deviennent difficiles à faire respecter concrètement dans ce contexte.

• Le principe de finalité impose que les données soient collectées pour des objectifs déterminés et explicites. Or un agent conçu pour accomplir une multitude de tâches dans des domaines variés rend le périmètre exact de ses traitements difficile à cerner.
• Le principe de minimisation exige de ne traiter que les données nécessaires à l'objectif poursuivi. Mais les IA agentiques mobilisent souvent de grandes quantités d'informations, e-mails, historique de navigation, fichiers, les partagent entre agents et les conservent en mémoire pour anticiper les besoins futurs de l'utilisateur, sans toujours démontrer que tout cela était réellement nécessaire.
• Le principe d'exactitude prévoit que les données doivent rester fiables et à jour. La nature probabiliste des modèles génératifs implique un risque d'erreur, et ces hallucinations peuvent se propager dans le système sans qu'aucun mécanisme n'alerte l'utilisateur.
• Le principe de transparence, qui exige une information claire sur les traitements effectués, se heurte à la difficulté d'expliquer les sorties produites par des modèles dont le fonctionnement reste largement probabiliste et peu lisible même pour leurs concepteurs.
• Enfin, le principe de limitation de la conservation impose que les données ne soient gardées que le temps nécessaire. Cette exigence entre en tension avec la conservation de jeux de données destinés à entraîner ou améliorer les modèles, et la multiplication des espaces mémoire dans les architectures agentiques rend le contrôle des durées de conservation d'autant plus complexe.

Ces difficultés rejaillissent sur l'exercice des droits des personnes concernées (accès, rectification, effacement). Il est alors compliqué de savoir quel agent a collecté une information, où elle a été stockée, si elle a circulé vers un autre composant du système, et auprès de qui faire valoir ses droits.

Une connaissance de l'utilisateur toujours plus fine

Les mécanismes de mémoire permettent aux agents d'adapter leurs réponses et d'améliorer l'exécution des tâches. Mais dans les architectures à plusieurs agents, la multiplication des espaces de mémoire disperse les données entre différents environnements de stockage, ce qui complexifie la traçabilité des opérations effectuées sur ces données (ajout, modification, suppression) et leur durée de conservation.

La note prend un exemple parlant : si un utilisateur supprime un fichier sensible de son ordinateur dans un dossier partagé avec son IA agentique, rien ne garantit que les données personnelles correspondantes ont bien été effacées de l'ensemble de la mémoire du système. Si elles y sont restées, elles peuvent continuer à être exploitées lors d'interactions futures.

À cela s'ajoute l'enrichissement du profil via des sources externes. Lorsqu'un utilisateur donne accès à son environnement de travail (messagerie, agenda, espaces documentaires), l'agent peut consulter l'ensemble des informations disponibles pour répondre à une requête, y compris des données qui n'étaient pas strictement nécessaires à la tâche demandée. Cette collecte cumulative permet au système de déduire toujours plus d'informations sur la vie privée de l'utilisateur, des informations qui seront ensuite mobilisées, parfois implicitement, pour traiter de futures requêtes.

Quand l'assistance devient délégation

Cette autonomie croissante déplace peu à peu le pouvoir de décision de l'utilisateur vers le système. La note cite la présidente de Signal, Meredith Whittaker, qui résume ce glissement par cette formule : mettre son cerveau dans un bocal et laisser l'IA gérer sa vie.

Un agent ne se limite plus à assister une décision, il peut exécuter seul l'ensemble des étapes nécessaires à la réalisation d'une tâche. Mais la difficulté à interrompre un processus en cours peut aussi conduire à des erreurs d'interprétation ou à des hallucinations qui se propagent dans le système. La note évoque le cas rapporté par une employée d'une grande entreprise du numérique, dont l'IA agentique a supprimé un grand nombre d'e-mails professionnels, sans qu'elle parvienne facilement à interrompre le processus à distance.

Cette autonomie peut aussi faire basculer certaines actions dans le régime des décisions individuelles automatisées prévu par l'article 22 du RGPD, qui protège toute personne contre une décision fondée exclusivement sur un traitement automatisé et produisant des effets juridiques à son égard. La CJUE a d'ailleurs précisé, dans son arrêt sur le score SCHUFA, qu'une simple validation humaine formelle ne suffit pas à écarter cette qualification : l'intervention humaine doit être réelle et exercer une influence effective sur la décision finale.

Qui est responsable en cas de problème ?

La multiplication des agents et des services tiers impliqués dans une même tâche rend également difficile l'identification du responsable en cas de dysfonctionnement. Achat erroné, e-mail envoyé au mauvais destinataire, divulgation de données confidentielles à un système tiers : dans chacun de ces cas, retracer l'origine du problème suppose de reconstituer l'ensemble du processus décisionnel et le rôle de chaque acteur impliqué.

Un système d'IA n'a pas de personnalité juridique et ne peut donc pas être tenu responsable en tant que tel, mais son niveau d'autonomie empêche aussi de le considérer comme un simple outil passif. Ces divergences d'interprétation ont notamment contribué à l'abandon, en 2025, du projet de directive européenne sur la responsabilité en matière d'intelligence artificielle. En l'absence de régime spécifique, ce sont les règles de droit commun françaises qui continuent de s'appliquer : responsabilité délictuelle, responsabilité du fait des choses, responsabilité contractuelle, ou encore le nouveau régime européen sur les produits défectueux.

Sur le plan de la sécurité, l'architecture distribuée des IA agentiques élargit aussi la surface d'attaque : une vulnérabilité dans un seul composant peut affecter l'ensemble du système, et la circulation continue des données entre agents et services externes multiplie les points de faiblesse exploitables.

Les pistes envisagées pour reprendre la main

Face à ces constats, la note liste plusieurs mesures techniques et juridiques susceptibles de rééquilibrer la relation entre utilisateurs et systèmes agentiques.

Sur le plan technique, elle recommande de cloisonner la mémoire des agents, chacun disposant idéalement d'un espace dédié et isolé, sans accès automatique aux données des autres agents. Cette mémoire pourrait aussi être volontairement limitée en taille, avec des informations qui expirent automatiquement après un certain délai. Le déploiement de ces systèmes dans des environnements cloisonnés (sandboxing) est également recommandé, afin de réduire au strict nécessaire les accès aux services et aux données de l'utilisateur.

Autre piste : classer les actions possibles sur chaque service par niveau de risque, afin de déterminer lesquelles nécessitent une validation humaine avant exécution. La note suggère aussi l'intégration d'un bouton d'arrêt d'urgence, permettant d'interrompre à tout moment un processus agentique en cas de comportement inattendu.

Sur le plan juridique, la note appelle à renforcer la transparence des systèmes agentiques, en permettant à l'utilisateur d'identifier, pour chaque tâche exécutée, les données mobilisées, les agents intervenus et les services tiers sollicités. Elle plaide également pour un contrôle renforcé de l'utilisateur sur les données auxquelles les agents peuvent accéder, en particulier lorsqu'elles sont sensibles.

Des lignes directrices communes entre le Comité européen de la protection des données (CEPD) et la Commission européenne, portant sur l'articulation entre RGPD et Règlement sur l'IA, sont d'ailleurs attendues d'ici la fin de l'année 2026. Le Règlement sur l'IA, dont l'application complète est prévue en 2027, ne prévoit à ce stade aucune règle spécifique aux agents IA, même si ses obligations générales leur sont applicables.

L’article "IA agentique : pourquoi vos données personnelles vous échappent un peu plus chaque jour" a été publié sur le site Abondance.