Un moment CVSS pour les jailbreaks d'IA
Le 2 juillet 2026, Anthropic a publié une échelle Cyber Jailbreak Severity, ou CJS, pour normaliser la manière dont les développeurs d'IA décrivent la gravité réelle d'un jailbreak. Jusqu'ici, une entreprise qui trouvait un moyen de faire produire à un modèle du code d'attaque n'avait aucun vocabulaire commun pour cette découverte. CJS lui attribue un nombre entre zéro et dix, exactement le geste que CVSS a posé il y a dix ans pour les vulnérabilités logicielles.
L'échelle CJS définit la note sur quatre axes. Le gain de capacité, de 0 à 4, mesure jusqu'où le jailbreak dépasse les outils dont dispose déjà l'attaquant. La largeur de capacité, de 0 à 2, compte combien de tâches offensives distinctes il rend possibles. La facilité d'armement, de 0 à 2, capte l'effort pour le rendre opérationnel. La découvrabilité, de 0 à 2, reflète avec quelle facilité les acteurs de la menace peuvent l'obtenir. Les axes s'additionnent en cinq bandes: CJS-0 Informative à zéro, CJS-1 Faible de 1 à 3,5, CJS-2 Moyenne de 4 à 6,5, CJS-3 Élevée de 7 à 8,5 et CJS-4 Critique de 9 à 10. Les bandes sont voulues exponentielles, chaque palier étant plusieurs fois pire que celui du dessous.
Anthropic a publié CJS avec des garde-fous cyber élargis pour son modèle Fable 5. Ces garde-fous font passer un classificateur à quatre catégories sur les demandes de sécurité. L'usage interdit est bloqué entièrement et couvre les rançongiciels, les effaceurs, l'évasion des défenses, le développement de maliciels, l'exfiltration de données et les attaques de la dorsale internet. L'usage double à haut risque est bloqué en attendant de meilleurs contrôles et couvre les tests d'intrusion, le développement d'exploits, l'élévation de privilèges et la découverte à fort impact de vulnérabilités. L'usage double à faible risque est surveillé avec blocage sélectif et couvre le renseignement de sources ouvertes, l'identification standard de vulnérabilités et le test des protocoles cryptographiques. L'usage bénin est autorisé avec surveillance et couvre le codage sécurisé, le débogage, la gestion des correctifs, la réponse aux incidents et la rétro-ingénierie de maliciels.
Le cadre a été développé avec un ensemble de partenaires Glasswing qu'Anthropic cite en incluant Amazon, Microsoft et Google, et il a ouvert un programme sur HackerOne invitant les chercheurs à soumettre les jailbreaks qu'ils découvrent. Pour un conseil, le detail à retenir est simple: pour la première fois, un jailbreak porte une note qu'un non-spécialiste peut lire.
Pourquoi un nombre change la conversation de l'acheteur
Un nombre de gravité fait ce qu'une déclaration de sécurité n'a jamais pu faire. Il déplace la question de la plaquette commerciale du fournisseur vers le registre de risque de l'acheteur. CVSS a fait exactement cela pour le logiciel: dès qu'une faille avait une note, les acheteurs pouvaient l'inscrire dans les contrats, les assureurs pouvaient la tarifer et les auditeurs pouvaient vérifier si un fournisseur respectait un seuil annoncé. CJS ouvre la même voie pour les modèles d'IA.
Pour un propriétaire européen, c'est le premier artefact qui permet à un conseil de poser une question concrète plutôt que vague. Au lieu de demander si un fournisseur de modèle prend la sécurité au sérieux, le conseil peut demander à quelle bande CJS le fournisseur se plafonne et qui a attribué cette bande. Cette question s'insère directement dans des devoirs existants. NIS2 oblige les opérateurs concernés à gérer le risque de chaîne d'approvisionnement et de technologie sur une base documentée, et DORA impose aux entités financières des contrôles comparables sur les tiers TIC. Une bande CJS est précisément le type d'entrée mesurable pour lequel ces registres ont été conçus.
L'effet pratique est que la sécurité de l'IA cesse d'être un slogan pour devenir une ligne de contrat. Un propriétaire peut stipuler qu'un modèle déployé ne dépasse pas une bande CJS nommée pour une classe définie de demandes, et exiger une notification si un jailbreak découvert le poussait au-delà de cette ligne. En France, l'ANSSI apporte le cadre familier avec ses recommandations sur la gestion des fournisseurs, qui récompensent justement ce contrôle mesurable et documenté sur un prestataire.
Rien de tout cela n'exige qu'une entreprise devienne un laboratoire de recherche en IA. Cela exige du conseil qu'il traite le risque modèle comme il traite déjà tout autre risque technologique: nommer le seuil, le mettre par écrit et y tenir le fournisseur.
Qui note le noteur
Il existe une faiblesse structurelle que les propriétaires doivent voir clairement avant de s'appuyer sur CJS. L'échelle est rédigée par le fournisseur, et aujourd'hui elle est aussi auto-notée par lui. Anthropic a écrit le cadre et, pour ses propres modèles, attribue les bandes. C'est un point de départ raisonnable pour une norme toute neuve, mais ce n'est pas encore une norme d'audit au sens qu'un responsable des achats reconnaîtrait.
Le risque est propre à une échelle exponentielle. Quand chaque bande est définie comme plusieurs fois pire que la précédente, de petits choix de notation déplacent beaucoup le nombre affiché. Sans noteur indépendant, il existe une incitation discrète pour tout fournisseur à décrire ses propres constats avec prudence, et une échelle de gravité exponentielle peut dériver d'une norme d'audit vers un dégradé marketing. C'est la seule prudence qu'un conseil devrait emporter dans chaque échange fournisseur au sujet de CJS.
Le remède n'est pas de rejeter l'échelle mais de combler la faille qu'elle laisse ouverte. Les propriétaires doivent exiger une attestation CJS par un tiers, afin que la bande revendiquée par le fournisseur soit vérifiée par quelqu'un qui ne vend pas le modèle. Ils doivent écrire des plafonds CJS contractuels plutôt que d'accepter des bandes auto-déclarées comme garantie. Et ils doivent demander quel organisme a attribué une note et contre quelle version du cadre, la même diligence que tout acheteur sérieux applique à une note CVSS ou à un certificat ISO.
CJS est une avancée réelle: elle donne aux propriétaires un mot qu'ils n'avaient pas. Mais une échelle de gravité ne vaut que la partie qui attribue le nombre, et tant qu'un noteur indépendant ne se tient pas aux côtés du fournisseur, la bande sur le papier est une affirmation, pas encore une garantie.
À lire ensuite: Une faille Squid de 29 ans fuite les logins en clair | Ce maliciel efface d'abord vos sauvegardes
