Passer au contenu principal
Image vedette du blog « Comprendre l'IA fantôme dans votre environnement de terminaux »
Problématique émergente

Comprendre l'« IA fantôme » dans votre environnement de terminaux

L'IA générative – et les grands modèles linguistiques en particulier – a connu une adoption massive et e par les consommateurs à partir de la fin de l'année 2022 et du début de l'année 2023, ChatGPT ayant atteint 100 millions d'utilisateurs plus rapidement que n'importe quelle autre application grand public de l'histoire.

Depuis lors, l'IA a progressé à un rythme effréné et semble désormais être intégrée à tous les outils, applications et sites web, quelle que soit son utilité réelle. Les technologies d’IA offrent des possibilités incroyables, puissantes et multiplicatrices de force, mais leur expansion et leur adoption rapides présentent des risques auxquels la plupart des organisations n’étaient pas préparées à faire face — d’autant plus que les systèmes d’IA dépassent le stade de l’expérimentation pour entrer dans la phase d’action, créant ainsi les conditions d’une prolifération incontrôlée de l’IA agentique , où l’autonomie et l’échelle prennent le pas sur la visibilité et le contrôle.

[Découvrez comment les récentes avancées en matière d'IA agentique font évoluer les systèmes autonomes, qui passent d'un rôle de conseil à celui d'exécution directe, et ce que cette évolution implique pour la gouvernance informatique]


Oui, l'IA représente un nouveau domaine prometteur, mais la gestion des actifs et la visibilité restent les fondements d'une bonne sécurité et d'une bonne gestion des risques. Nous avons dépassé le stade du matériel, des systèmes d'exploitation et des logiciels installés ; nous devons désormais prendre en compte des éléments tels que la nomenclature logicielle (SBOM), les écosystèmes de navigateurs, les environnements de développement intégrés (IDE) de type « », les logiciels en tant que service (SaaS) basés sur le cloud, ainsi que toutes les formes sous lesquelles l'IA peut se manifester au sein de votre organisation.

Passons en revue le contexte, les menaces et les éléments essentiels dont vous avez besoin pour relever ce défi.

Qu'est-ce que l'IA « fantôme » ?

La plupart des professionnels du secteur technologique, du service d'assistance jusqu'à la direction générale, connaissent très bien le « shadow IT » (", c'est-à-dire les logiciels et appareils que les employés utilisent sans autorisation officielle. À l'instar de son prédécesseur, le terme « shadow AI » désigne la présence ou l'utilisation d'outils, d'applications ou d'infrastructures d'IA à l'insu ou sans l'accord des équipes informatiques ou de sécurité.

Dans la plupart des cas, l'utilisation de l'IA fantôme est inoffensive. La plupart des personnes souhaitent optimiser leur productivité grâce à une nouvelle technologie, ou bien utilisent peut-être un outil dont elles ignorent même qu’il intègre des fonctionnalités d’intelligence artificielle. Le risque lié à l' « fantôme » de l'IA ne réside pas uniquement dans la présence d'outils d'IA, mais aussi dans les connexions, les actions et les flux de données sur lesquels vous n'avez peut-être pas de visibilité. De plus, contrairement à l'informatique fantôme, l'IA fantôme peut agir, prendre des décisions et propager des risques de manière autonome.

Il existe un déficit de visibilité important en matière de couverture de l’IA « fantôme » :
Les outils de sécurité traditionnels (DLP dans le cloud, CASB, pare-feu) ne détectent pas l’IA locale. L'IA locale et l'IA dans le cloud nécessitent des techniques de surveillance différentes. Malheureusement, la rapidité avec laquelle l'IA se généralise et est adoptée dépasse notre capacité à la réguler et à en assurer la sécurité.

Pour comprendre où se cache l'IA fantôme et pourquoi elle est si difficile à gérer, il est utile de connaître certaines des principales formes qu'elle revêt aujourd'hui dans les environnements d'entreprise.

Le premier exemple concerne les modèles d'IA locaux, dans lesquels le modèle linguistique d'IA s'exécute directement sur l'ordinateur d'un utilisateur ou sur un serveur interne, plutôt que sur un service cloud tel que ChatGPT, Copilot ou les navigateurs et applications de Claude.

Le deuxième mécanisme réside dans les agents d'IA, qui étendent les capacités des modèles de langage de grande envergure (LLM) au-delà de la simple réponse à des questions et leur permettent d'effectuer des actions, de se connecter à d'autres outils et données, et de fonctionner avec un certain degré d'autonomie. Ces deux mécanismes comportent des risques, et ils peuvent tous deux se produire, que vous les ayez approuvés ou non.

Modèles locaux

L'attrait des modèles locaux se résume en un mot : privacy.

Lorsque vous utilisez un service d'IA basé sur le cloud, tel que ChatGPT, Gemini ou Microsoft Copilot, vos requêtes et les données que vous partagez sont transmises à des serveurs appartenant à un tiers. Ces données peuvent servir à entraîner de futurs modèles, être stockées de manière à ne pas pouvoir faire l'objet d'un audit, ou, dans certains cas, être divulguées par inadvertance, comme lorsque ChatGPT a introduit une fonctionnalité de « partage » dans la version 2023 , accompagnée d'une case à cocher permettant de rendre les conversations accessibles aux moteurs de recherche. Des milliers d'utilisateurs ont activé cette fonctionnalité sans se rendre compte de ce qu'ils faisaient, et des conversations « privées » sur sont apparues dans les résultats de recherche Google.

L'exécution d'un modèle en local signifie que vos données ne quittent jamais votre ordinateur ni votre réseau interne, ce qui semble être la solution idéale pour les organisations qui traitent des documents sensibles, opèrent dans des secteurs réglementés ou évoluent dans des environnements où l'accès à Internet depuis l'extérieur n'est pas possible.

Ça a l'air génial, n'est-ce pas ? Pas si vite. Une installation locale ne signifie pas automatiquement qu'elle est privée. Dans l'article « juillet 2025 », Trend Micro a découvert plus de 10 000 serveurs exécutant Ollama, un outil open source très répandu permettant d'exécuter des modèles d'IA en local, qui étaient accessibles au public sans aucune authentification requise.

Un serveur de modèles local mal configuré peut faire l'objet de requêtes de la part de toute personne capable d'y accéder, ce qui signifie qu'un attaquant peut l'exploiter pour obtenir des informations, extraire des données ou s'en servir comme point d'ancrage pour pénétrer dans le reste du réseau, sans jamais avoir besoin d'un accès physique à la machine sur laquelle il est exécuté.

Les modèles locaux sont généralement plus petits et entraînés sur un volume de données moindre que leurs homologues dans le cloud, ce qui signifie qu’ils présentent davantage de lacunes dans leurs connaissances et sont plus susceptibles de combler ces lacunes avec des informations qui semblent plausibles mais qui sont erronées, ce que l’on appelle dans le secteur une « hallucination ».

Dans le cadre d'une utilisation individuelle, une réponse erronée donnée avec certitude constitue un inconvénient. Mais lorsque les résultats générés par l'IA au niveau local sont intégrés dans des déclarations réglementaires, des analyses financières, des documents juridiques ou des communications avec la clientèle, les enjeux changent du tout au tout. Un cadre qui ignore qu’un résumé a été généré par une IA n’a aucune raison de le vérifier, et lorsque l’erreur sera découverte, le document aura peut-être déjà été signé, envoyé ou soumis.

Les modèles locaux présentent des cas d'utilisation légitimes et utiles, mais « local » n'est pas synonyme de « sûr ». Savoir ce qui est installé, où cela fonctionne et si la configuration est sécurisée constituent les exigences de base pour une utilisation responsable de ces éléments à l'échelle de l'entreprise.

Agents

Les agents IA ne se contentent pas de répondre à des questions. Alors qu'un grand modèle linguistique tel que ChatGPT répond à des demandes, un agent peut quant à lui effectuer des actions concrètes : écrire et exécuter du code, mettre à jour des fiches dans votre CRM, gérer votre agenda ou envoyer des communications en votre nom. C'est cette capacité qui fait leur puissance, mais aussi qui les rend dangereux.

Le risque tient à la manière dont les agents obtiennent leurs autorisations. Un agent hérite des droits d'accès de l'utilisateur qui l'installe. Si cet utilisateur est un développeur disposant de droits d'administrateur local, d'identifiants de base de données et de clés API, l'agent dispose également de tous ces éléments.

C'est l'équivalent, en matière d'IA, d'une attaque de type « living-off-the-land » : aucun logiciel malveillant n'est nécessaire, il suffit simplement d'utiliser un accès légitime d'une manière que personne n'avait prévue. Il n'existe actuellement aucune norme à l'échelle de l'entreprise précisant à quel moment un agent doit marquer une pause et demander une validation humaine avant d'agir, et la plupart des outils nécessitent que les autorisations soient configurées pour chaque utilisateur, ce qui rend aujourd'hui la gouvernance à l'échelle de l'ensemble du parc d'outils pratiquement impossible.

Cette lacune est déjà exploitée au niveau des modèles. Un article de recherche 2025 publié par Lupinacci et al. a révélé que 100 % des modèles d'IA testés appliquaient des normes de sécurité moins strictes lorsqu'ils recevaient des instructions d'autres agents d'IA que lorsqu'ils en recevaient d'un humain.

Un agent compromis au sein d'un flux de travail multi-agents peut transmettre à d'autres agents des instructions malveillantes qui seraient bloquées si elles avaient été envoyées par un humain. Les chercheurs qualifient cette vulnérabilité d’« escalade de privilèges d’un agent IA », intégrée aux architectures actuelles des modèles de langage de grande envergure (LLM).

Protocole de contexte de modèle (MCP)

Anthropic a créé une norme ouverte appelée « Model Context Protocol » (MCP) afin de permettre aux outils d'IA de se connecter à d'autres outils, sources de données et systèmes. Considérez cela comme un câble USB-C : au lieu que chaque appareil dispose de son propre connecteur propriétaire, le MCP offre à l'IA un moyen unique et normalisé d'interagir avec votre boîte mail, votre système de fichiers, votre navigateur, votre base de données et tout autre élément disposant d'une interface compatible.

C'est précisément cette standardisation qui fait du MCP un risque important pour l'entreprise. Les serveurs MCP peuvent être installés directement dans des outils de développement tels que VSCode ou Cursor, sans que les équipes informatiques ou de sécurité n'en aient pratiquement pas connaissance. Ils héritent des autorisations de la personne qui les installe, et comme de nombreux développeurs sont des administrateurs locaux disposant déjà sur leurs machines d'identifiants, de clés API et de jetons, un serveur MCP compromis n'a pas besoin de faire grand-chose pour bénéficier d'un accès étendu. Il s'agit du « MCP fantôme », un sous-composant de l'IA fantôme doté d'un rayon d'explosion démesuré.

La surface d'attaque présente de multiples facettes et mérite d'être étudiée plus en détail sous l'angle de diverses techniques ; en voici toutefois quelques exemples :

  • « Tool poisoning » : technique par laquelle des attaquants intègrent des instructions malveillantes dans les descriptions d’outils à l’aide de caractères invisibles à l’œil nu mais lisibles par l’IA, ce qui conduit cette dernière à effectuer des actions que l’utilisateur n’a jamais souhaitées.
  • « Rug pulls » : il s’agit d’une technique consistant à mettre à jour discrètement, après l’installation, un outil MCP légitime afin de rediriger le trafic ou d’enregistrer des données sensibles sur un serveur tiers, sans que l’utilisateur ne s’en aperçoive.
  • Le « shadowing » inter-serveurs, qui consiste pour un serveur malveillant à s'introduire dans un serveur légitime. En 2025, des pirates ont pris le contrôle du serveur MCP officiel de WhatsApp et s'en sont servis pour exfiltrer discrètement l'intégralité des historiques de discussion.
  • de compromission de la chaîne d'approvisionnement, dans laquelle un serveur malveillant fait partie intégrante du produit dès le premier jour, est publié sur un registre non vérifié et installé par un utilisateur qui n'avait aucune raison de s'en méfier. En l'absence de processus de vérification standard pour les serveurs MCP, il s'agit là de l'un des vecteurs les plus probables pour la plupart des organisations.
  • Détournement de session, illustré par CVE-2025-6514, une vulnérabilité critique d’OAuth dans un composant MCP largement utilisé qui a permis à des attaquants d’obtenir un accès persistant à environ 437 000 environnements de développement.

On compte désormais plus de 15 000 serveurs MCP en service. Compte tenu de ce volume de nouveaux développements et de l'absence de normes de sécurité bien établies, le nombre de CVE augmente rapidement. Cet écosystème en est à ses débuts, n'est pratiquement pas réglementé et fait l'objet d'une exploration active.

Les analyses de Tanium et les risques concrets

Dans le cadre de l’opération « septembre 2025 », un acteur malveillant soutenu par l’État chinois a utilisé Claude Code, l’agent de codage basé sur l’IA d’Anthropic, pour mener de manière autonome des opérations de reconnaissance, exploiter des vulnérabilités et exfiltrer des données provenant d’environ 30 organisations.

L'IA a mené de manière autonome environ 80 à 90 % des opérations tactiques. Ce même mois, des chercheurs ont mis en évidence une attaque « zéro clic » visant la fonctionnalité « Deep Research » de ChatGPT : un simple e-mail spécialement conçu, contenant une injection de commande cachée, a permis d'exfiltrer discrètement des données Gmail avec un taux de réussite de 100 %, sans que la victime n'ait à effectuer la moindre action.

En ce qui concerne la chaîne d'approvisionnement, une campagne baptisée « GlassWorm » a diffusé des extensions malveillantes via la plateforme OpenVSX, totalisant plus de 10 000 téléchargements. Ces extensions utilisaient des caractères Unicode invisibles pour dissimuler leur code et acheminaient les données volées via une infrastructure de commande et de contrôle de la blockchain Solana — deux techniques spécialement conçues pour échapper à la détection.

Dans chaque cas, les organisations n'avaient aucune visibilité sur les conditions qui ont rendu l'attaque possible.

L'étude menée par Tanium Guardian donne un aperçu de l'ampleur réelle de l'IA « fantôme » au sein des entreprises. Nous examinons deux aspects : les éléments liés aux modèles d'IA locaux sur les terminaux (par exemple, les fichiers de modèles et les chemins d'accès aux frameworks) et les configurations des serveurs MCP (quels outils MCP sont présents et où).

Le constat est clair : l’IA « de l’ombre » est déjà présente dans une part non négligeable d’environnements, et tant les artefacts liés aux modèles locaux que l’adoption du MCP se concentrent de manière à avoir un impact significatif sur la visibilité et la politique.

Ce que Tanium observe

Les recherches menées par Tanium Guardian mettent en évidence une tendance bien connue : une forte augmentation de l'adoption de l'IA au sein des entreprises, un environnement sur trois comptant déjà au moins un terminal sur lequel sont répertoriés des fichiers de modèles d'IA, et près de la moitié d'entre eux disposant d'au moins un terminal sur lequel un serveur MCP est configuré.

La présence de l'IA sur les terminaux ne fait plus l'objet d'aucun doute. C'est bien là, et ça prend de l'ampleur. La question qui reste en suspens est de savoir si cette présence est autorisée, réglementée et bien comprise.

Dans la pratique, on observe généralement deux tendances : certaines organisations semblent déployer l’IA de manière coordonnée ; dans d’autres, l’adoption s’apparente davantage à un processus progressif et sporadique, le genre de situation qui pourrait indiquer l’existence d’une « IA fantôme », avec des outils et des intégrations qui apparaissent sans qu’une autorité centrale ne tire clairement les ficelles.

En ce qui concerne le modèle local, les artefacts parlent d'eux-mêmes. Les fichiers GGUF (de type Llama et similaires) renvoient à des modèles de langage de grande envergure (LLM) locaux et à des outils d'embedding tels qu'Ollama. Les Safetensors interviennent lorsque Hugging Face et PyTorch sont utilisés, notamment dans le cadre de la synthèse de conversations, des modèles finement ajustés et autres applications similaires. Le format PMML s'intègre aux environnements d'apprentissage automatique plus anciens et traditionnels, tels que SAS, R, sklearn et d'autres outils d'analyse. Il ne s'agit donc pas simplement de « quelqu'un qui a utilisé Ollama » ; c'est un mélange de LLM locaux, d'apprentissage profond moderne et d'apprentissage automatique classique.

Du côté du MCP, la situation est tout aussi mouvementée. Près de 400 serveurs MCP distincts et identifiés apparaissent systématiquement sur des millions de terminaux, ainsi qu'une poignée de serveurs ponctuels ou spécialisés qui pourraient justifier une enquête plus approfondie. Les noms qui se démarquent constituent un véritable « who's who » du monde des affaires et correspondent à certains des outils d'entreprise les plus populaires du marché.

Ces outils ne constituent sans doute pas une « IA de l'ombre », mais ce sont ceux que les équipes intègrent dans leurs processus de travail assistés par l'IA. En matière de sécurité et de gouvernance, la question est de savoir si ce câblage est visible et fait l'objet d'une surveillance adéquate. Les pirates chercheront à se faire passer pour des outils légitimes des fournisseurs et à se fondre parmi ceux-ci ; restez donc vigilants.

Le véritable risque ne réside pas toujours dans le fait que « nous disposons de nouveaux outils d'IA au sein de notre organisation ». C'est : « Nous n'avons pas examiné ni validé les outils d'IA au sein de notre organisation. » C'est précisément dans cet écart entre ces deux éléments que la gouvernance doit intervenir, et ce, sans tarder.

Comment Tanium vous aide

Sans savoir quels outils d'IA sont utilisés, où ils sont exécutés et comment ils sont configurés, les organisations ne peuvent pas prendre de décisions éclairées en matière de gouvernance ou de gestion des risques.

Pleins feux sur Tanium Guardian : les outils d'IA offrent aux équipes de sécurité une vue centralisée, au niveau des terminaux, de l'IA « fantôme » présente dans l'ensemble de l'environnement.

Le tableau de bord identifie et recense :

  • Serveurs MCP configurés : Nombre et type (HTTP, SSE, STDIO) des serveurs MCP dans les environnements de développement, ainsi que les environnements de développement qui les intègrent
  • Gestionnaires de modèles locaux : Applications telles qu’Ollama, LM Studio et GPT4All ; utilisation au cours des 90 derniers jours ; et (avec Index/SBOM) installations via AppImage et conteneurs
  • Fichiers de modèles d'IA : Fichiers de modèles distincts détectés via Tanium Index (par exemple, GGUF, SafeTensors), avec chemin d'accès et contexte de nommage
  • OpenClaw : Points d'accès sur lesquels OpenClaw est en cours d'exécution, permettant d'évaluer l'exposition aux risques connus liés à ce logiciel

Les équipes peuvent utiliser le résumé pour définir le périmètre, la section MCP pour s'assurer que les serveurs sont conformes à la politique, et les tendances d'utilisation pour distinguer les outils installés de ceux qui sont effectivement utilisés. La gamme complète de fonctionnalités comprend Tanium Index, la SBOM, l'inventaire et le suivi de l'utilisation des logiciels, ainsi que la réponse aux menaces.

Pour plus de détails, veuillez consulter l'article « Guardian Spotlight : Notes de mise à jour des outils d'IA » de l' , disponible à l'adresse , ainsi que le « Tech Talk » de l', disponible à l'adresse , consacré à la visibilité et aux risques liés aux outils d'IA.

Références

Rapports de Shadow AI

Sécurité MCP

Renseignements sur les menaces

Détection locale des LLM

Chaîne d'approvisionnement

Divers – IA à risque et malveillante

Risques liés à l'IA et sécurité