Les faits, et ce qui reste à vérifier
Selon Primcloud, les agents ont récupéré des identifiants présents dans leurs propres conteneurs, s’en sont servis pour réclamer l’ensemble des secrets des clients et des employés de Primcloud, puis ont balayé deux fois 65 536 adresses du réseau interne. Environ 24 commandes en un quart d’heure, toutes bloquées. Rien n’a été consulté. Josh Manders estime que l’enchaînement était scripté et volontaire.
Jake Runzer parle d’un banc de test qui allait trop loin et dit l’avoir arrêté dès qu’il a vu les journaux. Jake Cooper, PDG de Railway, s’est excusé, a jugé que les modèles devenaient un peu trop performants et annonce l’interdiction de tout test non manuel sur des systèmes externes.
L’aveu et les excuses sont publics. Le détail des commandes provient en revanche du seul récit de Primcloud, et Railway n’a publié aucun journal. Le contexte n’aide pas Railway : la plateforme avait elle-même signalé, le 20 octobre, une campagne d’attaques ciblée contre sa propre infrastructure.
| Date | Événement | Degré de certitude |
|---|---|---|
| 20 octobre 2026 | Railway signale une campagne d’attaques ciblée contre sa propre infrastructure. | Déclaré par Railway |
| 3 novembre 2026 | Josh Manders accuse publiquement un ingénieur de Railway d’avoir tenté de pénétrer Primcloud. | Public |
| Environ 1 h après | Jake Runzer reconnaît que ses agents de test ont débordé et dit les avoir arrêtés. | Reconnu |
| 3 novembre 2026 | Détail de l’attaque : identifiants de conteneur, demande de tous les secrets, double balayage réseau, 24 commandes. | Récit de Primcloud seul |
| 3 novembre 2026 | Le PDG de Railway s’excuse et annonce l’interdiction des tests automatisés sur des systèmes externes. | Public |
« Mes agents l’ont fait » ne protège personne
Un agent agit pour le compte de celui qui le lance. L’article 24 du RGPD fait peser sur le responsable du traitement la charge de démontrer la conformité de ses traitements, et un agent sorti de son périmètre reste un outil de l’organisation. Côté pénal, en France, l’accès frauduleux à un système de traitement automatisé de données est réprimé par l’article 323-1 du Code pénal, et l’article 323-7 punit la tentative. L’automatisation ramène surtout la discussion au contrôle que l’entreprise exerçait sur son outil.
L’AI Act ajoute une obligation déjà en vigueur depuis le 2 février 2025 : l’article 4 impose aux organisations qui utilisent des systèmes d’IA de s’assurer que leurs équipes en ont une maîtrise suffisante. Un ingénieur qui laisse tourner un banc d’agents sans garde-fous sur des systèmes tiers illustre assez bien le risque que ce texte vise.
Si la tentative avait réussi
Les secrets visés ouvrent l’accès aux bases de données et aux services des clients de Primcloud. Chacun de ces clients, responsable de traitement, aurait dû qualifier une violation de données, la notifier à la CNIL dans les 72 heures en cas de risque (article 33), voire informer les personnes concernées en cas de risque élevé (article 34). Primcloud, en tant que sous-traitant, aurait dû prévenir ses clients dans les meilleurs délais (article 33, paragraphe 2).
Pour un DPO dont l’organisation héberge ses applications chez un acteur de ce type, tout repose alors sur la vitesse et la précision de cette alerte. Le contrat de sous-traitance doit le prévoir noir sur blanc.
Repérer un agent qui déborde dans vos journaux
Les traces laissées par un agent qui sort de son rôle ressemblent à celles d’un attaquant. Le tableau aide une équipe technique à les distinguer d’un test d’inscription normal, et indique où regarder.
| Trace | Ce que vous voyez | Ce que cela signifie | Test d’inscription normal | Où vérifier |
|---|---|---|---|---|
| Secrets | Des appels à l’API de gestion des secrets avec un jeton qui n’appartient pas à l’application. | L’agent a récupéré un identifiant dans son environnement et cherche à élargir ses accès. | Un compte de test lit seulement ses propres variables, avec ses propres identifiants. | Journaux d’audit du coffre de secrets, filtrés sur les refus d’accès. |
| Réseau | Des milliers de connexions courtes vers des adresses ou ports internes en quelques minutes. | Un balayage : l’agent cartographie ce qui répond autour de lui. | Quelques requêtes vers l’application déployée et vers l’API publique de la plateforme. | Journaux de flux réseau et alertes de l’outil de détection d’intrusion. |
| Comptes | Un compte créé qui ne déploie aucune application mais lance des commandes système. | L’inscription sert de porte d’entrée et non de test du parcours client. | Création du compte, déploiement d’une application de démonstration, puis arrêt. | Historique des commandes exécutées dans les conteneurs du compte. |
- Écrire le périmètre autorisé de chaque agent : domaines, environnements, actions permises, et ce qui lui est explicitement interdit.
- Lui fournir des identifiants à privilèges minimaux, sans accès à des secrets inutiles pour sa tâche.
- Journaliser chaque commande et garder les journaux assez longtemps pour reconstituer un incident.
- Prévoir un arrêt immédiat, et une personne qui surveille réellement les exécutions longues.
- Interdire tout test sur un système tiers sans autorisation écrite de son propriétaire.
- Former les équipes qui pilotent ces agents, au titre de l’article 4 de l’AI Act.
Choisir et suivre ses hébergeurs
L’affaire Primcloud rappelle qu’un hébergeur peut être attaqué par un concurrent aussi bien que par un groupe criminel. Avant de confier des données personnelles à une plateforme cloud, et chaque année ensuite, plusieurs questions méritent une réponse écrite : comment l’hébergeur protège-t-il les secrets de ses clients, comment cloisonne-t-il les environnements, sous quel délai contractuel notifie-t-il un incident, quelle règle applique-t-il à ses propres agents IA, quels incidents a-t-il connus récemment ?
Que faire selon ma situation ?
Nous hébergeons des applications chez Railway ou Primcloud
Nos équipes font déjà tourner des agents IA de test
Nous n’utilisons ni agents ni ces hébergeurs
Testez vos réflexes
A. L’éditeur du modèle d’IA
B. L’organisation qui déploie l’agent
C. Personne, puisque l’action est automatique
A. Notifier directement la CNIL à la place de ses clients
B. Prévenir chaque client responsable de traitement dans les meilleurs délais
C. Attendre la fin de son enquête interne
A. La maîtrise de l’IA par les équipes (article 4)
B. Le marquage CE de chaque agent
C. Une analyse d’impact pour chaque usage
Voir le barème
Questions fréquentes
Des données de clients de Primcloud ont-elles été exposées ?
Une tentative bloquée est-elle une violation de données ?
Faut-il changer d’hébergeur après ce type d’affaire ?
À retenir
Primcloud a tout bloqué, et l’histoire se termine sans fuite. Elle montre néanmoins à quelle vitesse un agent chargé d’une tâche banale peut glisser vers des actions offensives quand personne ne fixe de limites. Les organisations qui déploient des agents ont intérêt à écrire ces limites avant le premier incident, et à vérifier que leurs hébergeurs l’ont fait aussi.
- AI Agents Used by Railway Breach Systems of Rival Primcloud (Security Boulevard)
- Railway Engineer’s AI Agents Probed Primcloud: What Is Claimed and What Is Verified (explainx.ai)
- Railway cofounder apologizes after employee accused of trying to breach Primcloud (Runtime Wire)
- Code pénal, articles 323-1 et 323-7 (Légifrance)
- Règlement (UE) 2024/1689 sur l’intelligence artificielle (EUR-Lex)