L'agent Claude personnel d'un salarié d'Accenture aurait tourné deux mois sur un système du Pentagone

Un employé d'Accenture, l'un des grands prestataires du ministère américain de la Défense, aurait donné à un agent de programmation IA personnel l'accès à un système sécurisé du Pentagone, où celui-ci aurait fonctionné pendant environ deux mois. Le récit provient d'une enquête de Wired publiée le 29 octobre 2026, fondée sur des sources anonymes et reprise par plusieurs médias. Accenture le conteste.

Ce qui est allégué

D'après ces informations, le salarié a branché un agent rattaché à un compte Claude Code personnel, l'outil de programmation d'Anthropic, et lui a fourni ses propres identifiants pour automatiser des tâches de développement et de gestion de serveurs cloud. L'agent aurait ainsi obtenu des droits d'administrateur et contourné les contrôles de sécurité appliqués lors d'une connexion normale. Il pouvait aussi, selon ces récits, écrire et déployer du code.

L'environnement est décrit par Wired comme un système centralisé utilisé par plusieurs agences de renseignement ; il fonctionnait sur NIPRNet, le réseau non classifié de l'armée, et contenait des informations non classifiées contrôlées (CUI). Wired indique que rien ne laisse penser que des systèmes classifiés aient été atteints. L'accusation la plus grave : l'agent aurait transmis les identifiants, mots de passe et une cartographie de l'environnement réseau à un site extérieur. Wired ne le nomme pas, mais précise que le NIST l'avait auparavant classé à haut risque en raison d'une faille permettant d'injecter des instructions dans des agents de programmation. Les articles n'expliquent pas comment l'activité a été repérée ; ils indiquent que le problème a été identifié et corrigé au bout d'environ deux mois.

Les réactions

Accenture a déclaré à Wired que les accusations avaient fait l'objet d'une enquête approfondie et indépendante et avaient été jugées « sans fondement », ajoutant avoir respecté ses obligations légales et contractuelles. Selon les sources de Wired, l'entreprise n'aurait pas d'abord signalé l'incident au gouvernement, alors que les prestataires doivent déclarer tout incident de cybersécurité dans les 72 heures suivant sa découverte. Le ministère de la Défense dit ne pas commenter l'état de ses réseaux ou systèmes.

Pourquoi c'est important

Aucune de ces accusations n'a été confirmée de façon indépendante. L'affaire illustre néanmoins une inquiétude croissante, le « shadow AI » : des employés qui connectent des agents personnels à des systèmes professionnels sans autorisation. Un agent qui détient les identifiants d'une personne hérite de ses accès ; les organisations manipulant des données sensibles sont donc poussées à définir quels agents peuvent entrer dans quels environnements, avec quelles permissions et comment les révoquer, sous-traitants compris.