PeopleSoft 0-day, Anthropic et la Maison Blanche : ce que la

Deux événements. Une seule leçon.

Cette semaine a livré deux infos qui, en surface, n’ont rien à voir. D’un côté, une faille 0-day dans PeopleSoft qui a permis le vol de plusieurs gigaoctets de données dans des centaines d’organisations. De l’autre, des révélations sur le rôle d’Amazon dans l’interdiction d’Anthropic’s Fable à la Maison Blanche — une décision apparemment motivée par des recherches internes en sécurité IA.

Deux histoires. Même fil rouge : on déploie des systèmes complexes sans vraiment maîtriser les risques. Et quand ça casse, ça casse à grande échelle.

Voici ce qu’on peut en tirer concrètement.

Le 0-day PeopleSoft : quand l’infrastructure vieillissante devient une bombe à retardement

PeopleSoft. Pour ceux qui ne connaissent pas, c’est l’ERP d’Oracle — ressources humaines, finances, gestion de la paie — déployé dans des universités, des hôpitaux, des administrations publiques et des grandes entreprises depuis les années 90. Des centaines d’organisations dans le monde. Des millions de dossiers d’employés, d’étudiants, de patients.

La faille exploitée est un 0-day. Aucun patch disponible au moment de l’attaque. Les attaquants ont eu le temps de faire ce qu’ils voulaient.

Résultat : des gigaoctets de données exfiltrés. Noms, numéros de sécurité sociale, données financières, dossiers RH. Le type de données qui alimentent des campagnes de phishing ciblées pendant des années.

Ce qui est frappant ici, ce n’est pas la sophistication de l’attaque.

Ce qui est frappant, c’est le profil des victimes. Des organisations qui utilisent PeopleSoft depuis des décennies, souvent avec des instances vieilles de 10 à 15 ans, peu mises à jour, mal monitorées. Des systèmes critiques traités comme des meubles — on ne les touche plus parce qu’ils “fonctionnent”.

Sauf qu’un système qu’on ne touche plus, c’est un système qu’on ne sécurise plus.

Le chercheur en sécurité Kevin Beaumont, qui a suivi de près cette campagne, résume bien la situation : les attaquants n’ont pas eu besoin d’être géniaux. Ils ont juste eu besoin de trouver des instances exposées et non patchées. Dans un parc aussi large que celui de PeopleSoft, c’est trivial.

La leçon n’est pas nouvelle. Mais elle reste ignorée à une échelle industrielle : la dette technique tue. Pas métaphoriquement. Concrètement, en données volées, en amendes RGPD, en procès.

Amazon, Anthropic et la Maison Blanche : quand la sécurité IA devient géopolitique

L’autre histoire de la semaine est plus complexe — et plus révélatrice de l’état réel du marché de l’IA.

Selon des sources proches du dossier, c’est une recherche interne d’Amazon sur la sécurité des modèles d’Anthropic qui aurait joué un rôle dans l’interdiction d’Anthropic’s Fable à la Maison Blanche. Pour ceux qui ne suivent pas : Fable est un outil d’Anthropic utilisant Claude pour des interactions narratives et de jeu de rôle. Son accès dans les environnements gouvernementaux américains a été bloqué.

La version officielle reste floue. Mais le schéma est clair : Amazon investit massivement dans Anthropic (plusieurs milliards de dollars), et des recherches internes d’Amazon auraient mis en lumière des préoccupations sur certains comportements du modèle dans des contextes spécifiques.

Voici où ça devient croustillant.

Amazon est à la fois investisseur majoritaire d’Anthropic ET concurrent direct via AWS Bedrock, qui propose ses propres modèles IA. La ligne entre “recherche de sécurité légitime” et “influence concurrentielle” est, pour le moins, poreuse.

Ce n’est pas une accusation. C’est une observation structurelle : quand les mêmes acteurs financent, évaluent et concurrencent les modèles IA, les conflits d’intérêts sont systémiques. Pas exceptionnels.

Pour les organisations qui déploient de l’IA — et c’est là où ça nous concerne directement — cette histoire pose une question concrète : à qui appartient l’évaluation de sécurité de votre outil IA ?

Si c’est au fournisseur lui-même, ou à son investisseur principal, la réponse est insuffisante.

Ce que ces deux histoires ont en commun

En surface : rien. Un ERP legacy piraté, une querelle géopolitique autour d’un outil IA narratif.

En profondeur : tout.

Premier point commun : la complexité cachée.

PeopleSoft est complexe. Les organisations qui l’utilisent ne comprennent souvent pas exactement ce qu’elles exposent. Les modèles de langage comme Claude sont complexes. Les organisations qui les déploient ne comprennent souvent pas exactement comment ils se comportent dans tous les contextes.

La complexité non maîtrisée est le vecteur d’attaque universel — qu’il s’agisse d’un 0-day dans un ERP ou d’un comportement inattendu dans un LLM.

Deuxième point commun : la gouvernance en retard sur la réalité.

Les équipes IT qui gèrent PeopleSoft n’avaient pas de processus de réponse rapide à un 0-day sur un système “stable”. Les décideurs gouvernementaux qui ont évalué Fable n’avaient probablement pas de framework clair pour évaluer les risques spécifiques aux modèles IA conversationnels.

Dans les deux cas, la gouvernance court après la technologie. Et dans les deux cas, c’est dangereux.

Troisième point commun : l’échelle des conséquences.

Des centaines d’organisations touchées par PeopleSoft. Une décision qui impacte l’adoption de l’IA dans les environnements gouvernementaux américains. Quand des systèmes critiques sont mal gouvernés, les effets ne sont pas locaux — ils sont systémiques.

“La sécurité n’est pas une feature qu’on ajoute après. C’est une contrainte de conception qu’on respecte dès le début.” — Principe fondamental de security-by-design, popularisé par Bruce Schneier

Trois enseignements actionnables pour les builders et les équipes

Pas de morale abstraite. Voici ce que j’en tire concrètement.

1. Inventoriez vos systèmes “stables”

Les systèmes qu’on ne touche plus sont souvent les plus dangereux. PeopleSoft en est l’exemple parfait. Dans votre stack, qu’est-ce qui tourne depuis plus de 3 ans sans audit de sécurité sérieux ? CRM legacy ? Instance WordPress oubliée ? API interne non documentée ?

Faites la liste. Priorisez par criticité des données exposées. Agissez.

2. Clarifiez qui évalue votre IA

Si vous utilisez des outils IA dans des contextes sensibles — données clients, données RH, informations financières — posez-vous la question : qui a évalué les risques de ce modèle dans votre contexte spécifique ? Pas dans un benchmark générique. Dans votre contexte.

L’histoire Amazon/Anthropic montre que même les évaluations institutionnelles peuvent être biaisées. À votre échelle, c’est encore plus vrai. Développez votre propre grille d’évaluation, même simple.

3. Traitez la mémoire IA comme une donnée sensible

C’est le point que j’applique directement dans Nova-Mind : quand un assistant IA se souvient de vos clients, de vos projets, de vos préférences — c’est une base de données. Avec tous les enjeux que ça implique. Où sont stockées ces données ? Qui y a accès ? Que se passe-t-il si le fournisseur est compromis ?

Ces questions ne sont pas paranoïaques. Elles sont professionnelles.

La vraie question derrière ces deux histoires

On parle beaucoup de l’IA comme d’une révolution de productivité. C’en est une. Mais toute révolution crée de nouveaux vecteurs de risque.

PeopleSoft nous rappelle que les vieux systèmes ne deviennent pas sûrs avec le temps — ils deviennent plus fragiles. L’affaire Anthropic/Maison Blanche nous rappelle que les nouveaux systèmes ne sont pas transparents par défaut — ils sont opaques par construction.

La réponse n’est pas de ne pas déployer. La réponse est de déployer avec lucidité.

Concrètement : connaître ce qu’on utilise, savoir ce qu’on expose, comprendre qui évalue et avec quels intérêts. Ce n’est pas glamour. C’est le travail.

Selon une étude IBM de 2023, le coût moyen d’une violation de données atteint 4,45 millions de dollars — un record. Et une part croissante de ces violations implique des systèmes legacy mal maintenus ou des configurations cloud mal sécurisées.

Les chiffres sont là. Les pratiques, moins.

Ce que ça change pour vous

Si vous êtes freelance, solopreneur ou à la tête d’une petite équipe, vous pensez peut-être que ces histoires ne vous concernent pas. PeopleSoft, c’est pour les grandes entreprises. La Maison Blanche, c’est loin.

Faux.

La faille PeopleSoft a touché des universités de taille moyenne et des hôpitaux régionaux. Des organisations avec 50 à 500 employés. Pas des multinationales.

Et les questions sur la gouvernance des outils IA — qui a accès à quoi, où sont stockées les données de vos clients, comment votre assistant IA gère les informations sensibles — ces questions sont aussi pertinentes pour un freelance avec 30 clients que pour une administration gouvernementale.

La différence, c’est l’échelle des conséquences. Pas la nature du problème.

Chez Nova-Mind, on a fait des choix clairs sur ces questions : données hébergées sur Supabase avec isolation par utilisateur, mémoire IA stockée localement via pgvector, aucune donnée client utilisée pour entraîner des modèles tiers. Pas parce que c’est un argument marketing. Parce que c’est la bonne architecture pour un outil qu’on utilise soi-même avec de vraies données clients.

Si ces questions vous préoccupent — et elles devraient — c’est le moment de les poser à chaque outil IA que vous utilisez. Pas après la prochaine faille. Maintenant.

Découvrez comment Nova-Mind gère la confidentialité de vos données — ou posez-moi directement la question. Je réponds.