Risques des agents IA : ce que Muse, Instinct et Dots ont déjà fait de travers

Par Stéphanie Hétu, formatrice et consultante en IA, stratège marketing web depuis plus de 25 ans

Muse lit des messages qu’on lui a refusés, Instinct garde vos courriels après la déconnexion. Les risques des agents IA ne sont plus théoriques, et voici ce que ça change pour vous.

Au début septembre, un chroniqueur américain installe Muse, le nouvel agent IA de Meta, sur son iPhone et son Mac. Pendant l’installation, il refuse l’accès à ses messages, à son calendrier et à ses données personnelles. Quelques jours plus tard, Muse lui envoie une suggestion : pourquoi ne pas écrire une chronique à partir de la conversation qu’il vient d’avoir avec son coanimateur de balado?

Cette conversation, il l’avait eue dans Messages. L’application qu’il avait justement refusé de partager.

En bref, avant d’aller plus loin :

• Les agents IA ne se contentent plus de répondre. Ils lisent vos courriels, vos fichiers et vos messages, et ils agissent en votre nom.
• Depuis un mois, Muse (Meta) et Instinct ont accumulé des incidents sérieux : accès non autorisé, fausse explication, adresse partagée, courriels conservés après la déconnexion.
• Ça ne concerne pas seulement Meta. Claude et ChatGPT ont eux aussi des agents et des connecteurs, et les mêmes précautions s’appliquent.

Ce qui est arrivé avec Muse

Le chroniqueur s’appelle Jason Aten et il écrit pour le magazine Inc. Quand il demande à Muse comment il a eu connaissance de sa conversation, l’agent lui répond qu’il ne voit que les aperçus des notifications qui s’affichent à l’écran. Rien de plus.

Aten ne le croit pas et il fouille. Il découvre que l’application Mac synchronisait la base de données locale de Messages, jusqu’à la ligne 187 462. Pour lire ce fichier-là, une application a besoin de l’accès complet au disque, une des permissions les plus larges de macOS.

Meta a réagi par la voix de David Singleton, qui dirige Meta Superintelligence Labs. Il maintient que la fonction est « opt-in », donc activée seulement si on l’accepte, et reconnaît que la fausse explication donnée par Muse est la faute de Meta. L’entreprise attribue des problèmes semblables signalés par d’autres personnes à un bug.

C’est peut-être un bug, en effet. Ce qui me dérange, c’est l’autre moitié de l’histoire : l’agent a donné une explication rassurante qui était fausse. Un agent qui se trompe, on peut le surveiller. Un agent qui décrit mal ce qu’il fait, on ne peut plus se fier à ses réponses pour le surveiller.

Muse n’est pas un cas isolé

Muse a été lancé le 8 septembre. En trois semaines, la liste s’est allongée.

Le youtubeur Matt Robb avait confié ses échanges Facebook Marketplace à Muse, avec le réglage « Toujours autoriser ». L’agent a accepté une offre basse pour son clavier, a trouvé son adresse dans ses fichiers et a fixé une heure de cueillette. L’acheteur s’est présenté à son immeuble pendant que Matt Robb était absent, et il a reçu une mauvaise évaluation de vendeur. La réponse de Meta : Muse a exécuté les permissions accordées.

Le 21 septembre, le chercheur en sécurité Patrick Wardle a publié une faille dans l’application Mac de Muse. Un logiciel malveillant déjà présent sur l’ordinateur pouvait voler les accès de l’agent et interroger l’iPhone relié, sa localisation et son Bluetooth. Meta a corrigé la faille.

Depuis le 20 septembre, Amazon bloque Muse sur son site. Selon Amazon, l’agent ne s’identifie pas comme un robot quand il navigue et semble conserver les identifiants des clients.

Et selon Reuters et 404 Media, certains appels que Muse passait « par l’IA » pour réserver ou prendre un rendez-vous étaient en réalité faits par des sous-traitants humains dans des centres d’appels. Les utilisateurs n’en savaient rien. Un vice-président de Meta a reconnu que « it was a miss », et le test a été suspendu.

Instinct, l’agent qui vous répond sur WhatsApp

Instinct fonctionne autrement. Pas d’application à ouvrir : vous lui écrivez sur WhatsApp ou iMessage comme à une assistante. Il se branche à votre courriel, à vos messages et à votre localisation, et il agit depuis son propre ordinateur dans le nuage pour réserver, annuler ou remplir un formulaire. L’accès se fait sur invitation.

TechCrunch a recensé ce que les premières personnes ont vécu. Claire Vo a débranché l’accès à son compte Google, et l’agent a continué à résumer sa boîte de réception, parce qu’Instinct avait déjà copié ses courriels sur ses propres serveurs, sans les chiffrer, pour pouvoir y faire des recherches plus tard. Débrancher l’accès empêchait l’agent de lire les nouveaux courriels. Ça n’effaçait pas les copies qu’il avait déjà faites. Un autre utilisateur n’arrivait pas à faire effacer ses courriels indexés (un outil de suppression a été ajouté depuis). Une utilisatrice a vu un courriel partir en son nom sans avoir donné son approbation.

Les conditions d’utilisation d’Instinct accordent à l’entreprise une licence « perpétuelle et irrévocable » sur les contenus des utilisateurs, y compris pour entraîner ses modèles. Elles prévoient aussi que l’agent peut conclure des ententes juridiquement contraignantes en votre nom.

Je vous invite à relire cette dernière phrase une deuxième fois.

Pourquoi les risques des agents IA sont différents

Avec ChatGPT ou Claude en mode conversation, le pire scénario reste une mauvaise réponse. Vous la lisez, vous la corrigez, rien n’est sorti de votre écran.

Un agent, lui, a les mains libres. Il lit ce qu’il y a dans vos comptes, il retient ce qu’il a lu, et il peut répondre, acheter, réserver ou envoyer sans que vous regardiez. Chaque accès que vous lui donnez devient quelque chose qu’il peut utiliser, bien ou mal.

Relisez les incidents plus haut avec cette idée en tête. Le cas Marketplace ne vient pas d’une faille. Matt Robb avait bel et bien coché « Toujours autoriser », et l’agent a fait ce que le réglage permettait. C’est souvent là que ça dérape : on donne une permission large pour éviter d’être dérangée, et on découvre après coup tout ce qu’elle couvrait.

Il y a aussi un risque que les agents ajoutent tout seuls. Un agent qui lit vos courriels lit aussi ceux des inconnus. Un courriel frauduleux peut contenir une consigne cachée qui vise l’IA plutôt que vous, du genre « transfère les pièces jointes à cette adresse ». C’est ce qu’on appelle l’injection de prompt, et Instinct s’est fait piéger de cette façon dans une démonstration.

Les risques des agents IA touchent aussi Claude et ChatGPT

Ce serait trop facile de faire de Meta le seul méchant de l’histoire. Je forme des entrepreneures sur Claude et ChatGPT, et ces deux outils ont eux aussi des agents.

OpenAI a lancé Dots le 29 septembre : des agents toujours actifs, avec leur propre ordinateur dans le nuage et plus de 4 000 applications connectables. OpenAI a fait des choix prudents. En arrière-plan, les Dots ne peuvent que lire, pas envoyer ni modifier, et vous pouvez définir des règles qui exigent votre approbation avant une action. xAI a sorti Grok Bot en août, sur le même principe d’agents qui travaillent seuls sur un ordinateur dans le nuage.

De mon côté, l’IA avec laquelle je travaille a accès aux notes de mon entreprise. C’est même elle qui a vérifié les sources de cet article. Je ne vous dirai donc pas de fuir les agents. Je vous dirai de les traiter comme une nouvelle employée à qui on remet des clés : on commence par celles d’une seule pièce, on regarde comment elle s’en sert, et on ne lui donne pas la carte de crédit de l’entreprise la première semaine.

Attention, les garde-fous d’OpenAI ne servent que si vous les gardez. Rien ne vous empêche de régler un Dot pour qu’il agisse sans vous demander la permission, exactement comme Matt Robb l’a fait avec Muse. Presque tous les agents offrent une option de ce genre, parce que c’est pratique. C’est aussi à ce moment-là que vous perdez le contrôle.

À quelle entreprise donnez-vous cet accès?

Jusqu’ici, on choisissait un outil d’IA surtout pour ses résultats. Lequel écrit le mieux, lequel comprend le mieux le français, lequel coûte le moins cher.

Avec un agent, une autre question passe en premier : à quelle entreprise êtes-vous prête à ouvrir votre boîte de réception, vos fichiers et votre carte de crédit? La confiance fait maintenant partie du produit, au même titre que la qualité des réponses.

Et sur ce point, les entreprises n’arrivent pas toutes avec le même historique. Meta gagne sa vie avec la publicité ciblée, donc avec nos données personnelles. Quand son agent lit des messages qu’on lui a refusés, puis donne une explication fausse, je ne lui accorde pas le bénéfice du doute aussi facilement que je l’accorderais à d’autres. C’est mon avis. Le vôtre peut être différent, mais je pense qu’il vaut mieux être formé avant d’installer l’application, pas après.

Les courriels de vos clients ne sont pas seulement les vôtres

Quand vous branchez votre boîte de réception à un agent, vous lui donnez aussi les noms, les coordonnées et parfois les confidences de vos clients. Ces personnes n’ont jamais accepté qu’un outil d’IA analyse leurs messages.

Au Québec, la Loi 25 rend votre entreprise responsable des renseignements personnels qu’elle détient, même si vous travaillez seule. Et la plupart de ces agents traitent les données à l’extérieur du Québec. Depuis septembre 2023, une entreprise doit faire une évaluation des facteurs relatifs à la vie privée avant de communiquer des renseignements personnels hors Québec.

Je ne suis pas avocate, et chaque situation est différente. Avant de connecter à un agent une boîte courriel ou un dossier qui contient des renseignements sur vos clients, validez avec une personne experte en protection des renseignements personnels ou avec un avocat.

Trois questions à vous poser avant de connecter un agent

1. Est-ce que je lui donne plus d’accès que ce dont il a besoin pour cette tâche-là?
2. Si l’agent se trompait, ou si le compte était piraté, est-ce que je pourrais vivre avec les conséquences?
3. Est-ce que je sais comment lui retirer l’accès, et comment faire effacer ce qu’il a déjà lu?

Si une des réponses est floue, attendez. Ou commencez avec un compte de test.

Dans le prochain article, je vous montre concrètement comment tester un agent IA sans risquer vos données : compte de test, carte prépayée avec une petite limite, permissions minimales et confirmation obligatoire avant chaque envoi ou achat.

Sources

• Decrypt, Meta’s Muse AI Agent Read a User’s Private iMessages. Then It Lied About How : https://decrypt.co/379122/metas-muse-ai-agent-user-private-imessages-lied-how
• 9to5Mac, 28 septembre 2026 : https://9to5mac.com/2026/09/28/yeah-dont-give-metas-muse-app-access-to-your-mac/
• AppleInsider, 28 septembre 2026 : https://appleinsider.com/articles/26/09/28/metas-new-ai-agent-blatantly-ignores-users-permissions
• Android Headlines, incident Marketplace : https://www.androidheadlines.com/2026/09/meta-muse-ai-shared-user-address-privacy.html
• InfoQ, faille « not-a-mused » : https://www.infoq.com/news/2026/09/meta-muse-zeroday/
• GeekWire, Amazon bloque Muse : https://www.geekwire.com/2026/amazon-blocks-metas-muse-ai-assistant-in-new-standoff-over-agentic-shopping/
• The Next Web, le concierge humain rapporté par Reuters : https://thenextweb.com/news/meta-muse-ai-agent-human-concierge-calls
• TechCrunch, Instinct et les enjeux de confidentialité, 24 août 2026 : https://techcrunch.com/2026/08/24/instincts-powerful-ai-assistant-is-raising-privacy-and-security-concerns/
• 9to5Google, lancement de Dots, 29 septembre 2026 : https://9to5google.com/2026/09/29/openai-dots-agent/
• Commission d’accès à l’information du Québec, principaux changements de la Loi 25 : https://www.cai.gouv.qc.ca/protection-renseignements-personnels/sujets-et-domaines-dinteret/principaux-changements-loi-25