Tout se joue dans une conversation polie avec l'assistant IA du support de Meta, le robot conversationnel censé dépanner les utilisateurs quand ils ont un souci avec leur compte.

Le principe tient en quelques étapes. Le pirate se connecte d'abord via un VPN, un outil qui maquille sa localisation, pour faire croire qu'il se trouve dans la ville de sa victime et ne pas déclencher les protections automatiques d'Instagram.

Ensuite, il ouvre une discussion avec le Meta AI Support Assistant et lui demande tout bonnement d'ajouter une nouvelle adresse e-mail au compte ciblé.

Le robot envoie alors un code de vérification vers l'adresse fournie par le pirate. Celui-ci renvoie le code au chatbot, qui affiche aussitôt un bouton pour réinitialiser le mot de passe. Nouveau mot de passe, et le compte change de mains.

Le plus dingue, c'est qu'à aucun moment l'attaquant n'a eu besoin de toucher à la vraie boîte mail de la victime. Pas de phishing élaboré, pas de faux site à monter, pas de malware à glisser. Le support officiel faisait tout le travail à sa place.

Côté victimes, ça pique. Le compte de la Maison-Blanche de l'ère Obama, inactif depuis 2017, celui du sergent-chef de l'US Space Force John Bentivegna, ou encore celui de la chercheuse en sécurité Jane Wong, qui a raconté s'être fait voler le sien. S'ajoutent plusieurs comptes aux pseudos très courts, ceux qui se revendent cher au marché noir, dont la valeur cumulée dépasserait le demi-million de dollars.

L'attaque a été mise en scène dans une vidéo de démonstration, publiée fin mai sur Telegram par un groupe de pirates pro-iraniens, avec un mode d'emploi qui a tranquillement circulé sur plusieurs canaux.

Heureusement, il y a un garde-fou. L'exploit ne marche pas contre les comptes protégés par une authentification à deux facteurs, ce deuxième code demandé en plus du mot de passe, souvent reçu par SMS. Même la version la plus basique de cette protection suffisait à bloquer les pirates net.

Chez Meta, le porte-parole Andy Stone affirme que le problème est réglé et que les comptes touchés sont en train d'être sécurisés. Un correctif d'urgence a été déployé , et l'entreprise précise qu'aucune base de données interne n'a été piratée. Le trou était dans le chatbot, pas dans les serveurs.

Reste le fond du problème. Pour Ian Goldin, chercheur en cybersécurité chez Black Lotus Labs, ces assistants IA ouvrent une toute nouvelle surface d'attaque, et on va sûrement en voir beaucoup d'autres du même genre dans les mois qui viennent.

Bref, un chatbot conçu pour rendre service qui finit par surtout servir les pirates, c'est le genre de bug qu'on n'avait pas avec un bon vieux formulaire.

Source : ARS Technica

Microsoft a présenté Scout, un agent d’IA autonome et toujours actif intégré à l'écosystème Windows. Capable de gérer de manière proactive vos réunions et vos tâches sur Teams et Outlook sans aucune commande manuelle, cet assistant propulsé par OpenClaw et Work IQ est disponible dès à présent pour les clients du programme Frontier.

À l’occasion de sa conférence Build 2026, Microsoft a dévoilé une famille de sept nouveaux modèles d'IA développés en interne. Cette nouvelle gamme s'étend notamment de la génération d'images à la gestion de la voix.

D'après le site américain Media 404, des hackers seraient parvenus à détourner le chatbot d’assistance de Meta pour prendre le contrôle de comptes Instagram. Une faille simple, basée sur la fragilité des gardes-fous de l'IA.

D'après le site américain Media 404, des hackers seraient parvenus à détourner le chatbot d’assistance de Meta pour prendre le contrôle de comptes Instagram. Une faille simple, basée sur la fragilité des gardes-fous de l'IA.

Le support de Meta, quand vous contactez Instagram pour un souci de compte, c'est 100% IA maintenant. Je l'ai fait y'a pas longtemps et c'est assez surprenant, même s'il faut le reconnaître, ça fonctionne bien. Et si je vous parle de ça ce matin, c'est que pendant des semaines, ce chatbot a refilé l'accès à des comptes à qui savait lui raconter la bonne histoire.

Et c'est pas un exploit de génie ni une faille bien planquée mais juste un bot de support trop serviable à qui on explique qu'on s'est fait pirater, et qui envoie le code de réinitialisation... sur l'adresse mail de l'attaquant. Oui, il est aussi précautionneux de vos accès que votre gardien d'immeuble ^^.

En gros l'attaquant écrit au support IA, prétend être le proprio d'un compte "piraté", demande à recevoir les codes sur son email et l'IA accepte l'adresse sans sourciller. Hop, un petit lien de reset, un nouveau mot de passe, et le vrai propriétaire ne voit rien venir !

Bon, ce n'était pas magique non plus, mais une fois le bot embobiné, il lâchait l'accès.

Le truc à retenir surtout, c'est que la double authentification , elle, a bien fait barrage. Les comptes qui l'avaient activée n'ont pas été pris, donc si vous traînez sur Insta sans, allez l'activer tout de suite !

Parce que les dégâts ont été bien réels. Des comptes à grosse visibilité y sont passés, dont le compte dormant @obamawhitehouse et ses millions d'abonnés, qui s'est remis à publier n'importe quoi avant d'être nettoyé.

Des groupes Telegram s'étaient montés autour de ces prises de contrôle, des chercheurs comme ZachXBT ont suivi le mouvement, et les pseudos courts comme @hey valant une petite fortune se sont retrouvés sur le marché noir. En gros, un vrai business du vol de compte a été monté sur le dos du chatbot !

Y'a 10 ans, c'était déjà la récupération de compte qui faisait tomber des comptes Facebook encore aujourd'hui le maillon faible n'a pas changé...

Meta a corrigé le problème en urgence et dit avoir sécurisé les comptes touchés.

Si vous pensez être victime, direction "Mot de passe oublié" puis "Mon compte a été piraté", et une fois récupéré, vérifiez bien que l'email et le numéro liés au compte sont les vôtres (l'attaquant a pu les remplacer) avant de dégager les sessions inconnues. Pour le reste, un petit tour par les bons réflexes de sécurité ne fait jamais de mal.

Bref, activez la double authentification et j'espère qu'un jour, les grosses boites arrêteront d'utiliser l'IA pour garder leurs clés.

Source

Anthropic ajoute un nouveau levier de contrôle directement dans Claude pour arbitrer entre qualité des réponses et consommation de tokens. Une manière de rendre enfin visibles, ou du moins plus maîtrisables, les limites d’usage souvent subies.

En attirant l'un des profils les plus reconnus de l'IA mondiale, Anthropic envoie un signal qui dépasse la compétition pour les talents : elle parie sur l'automatisation de sa propre recherche.

Selon Bloomberg, un petit groupe d’utilisateurs issus d’un groupe Discord aurait eu accès à Claude Mythos, le modèle hyper‑restreint d’Anthropic, contournant ainsi les protections du modèle d'IA le plus scruté du moment.

Coup dur pour Anthropic. L'entreprise derrière le très performant modèle Claude a accidentellement rendu public le code source de son outil pour développeurs, Claude Code. Des internautes ont fouillé dans les dossiers et ont découvert plusieurs projets de l'entreprise. Y compris un curieux concept de Tamagotchi.

Coup dur pour Anthropic. L'entreprise derrière le très performant modèle Claude a accidentellement rendu public le code source de son outil pour développeurs, Claude Code. Des internautes ont fouillé dans les dossiers et ont découvert plusieurs projets de l'entreprise. Y compris un curieux concept de Tamagotchi.

Le framework d'IA agentique OpenClaw est dans le viseur des autorités chinoises. Le 10 mars 2026, le CERT national a publié une liste de recommandations pour encadrer son usage, tandis que des banques publiques et administrations auraient reçu des instructions directes pour en interdire l'installation.

Un agent IA autonome aurait piraté en moins de deux heures l'IA interne du cabinet de conseil McKinsey & Company. C'est en tout cas ce qu'affirme la startup de cybersécurité CodeWall, dont l'agent a pu avoir un accès total à la base de données de production. Sans mot de passe volé. Sans complice interne. Sans intervention humaine.

Le Pentagone et la société Anthropic renégocient l’accès au chatbot Claude sur les réseaux classifiés de l’armée, alors que le ministère américain de la Défense presse les acteurs de l'intelligence artificielle d’assouplir leurs garde-fous.