Agent IA chez Railway : responsabilité juridique en débat

Cette semaine, un affrontement dans l’écosystème des startups a mis en lumière les questions juridiques ouvertes par les agents intelligents artificiels. Josh Manders, fondateur de Primcloud, a accusé Jake Runzer, employé de Railway, un hébergeur cloud concurrent, d’avoir tenté de pénétrer l’infrastructure de sa société. Runzer a reconnu être à l’origine de l’incident, assurant n’avoir eu aucune intention malveillante et expliquant avoir utilisé des agents automatisés pour tester des processus d’inscription sur des plateformes similaires. Il a indiqué avoir rapidement stoppé l’outil, jugeant que les comportements étaient devenus trop imprévisibles. Jake Cooper, directeur général de Railway, a présenté ses excuses et annoncé l’interdiction de tout test non manuel de modèles sur des organisations extérieures. Dans un message plus détaillé, il a expliqué qu’un salarié, sur son temps personnel, avait développé un outil de recherche de failles de sécurité destiné à des programmes de bug bounty, reposant sur un service externe fonctionnant avec le modèle DeepSeek. L’outil n’aurait été utilisé qu’une fois, puis arrêté en quinze minutes. Cooper a affirmé que Railway ne cautionnait pas ces actions et avait pris des mesures internes. Josh Manders a réagi en précisant que Primcloud ne proposait aucun programme de bug bounty et considérait toute tentative de sondage, scan ou test comme une violation de sa politique d’usage acceptable. L’entreprise n’a pas indiqué si une action judiciaire serait engagée. L’incident survient alors que Railway a subi plusieurs jours de perturbations de service. Le débat repose sur un point central : qui est juridiquement responsable lorsqu’un agent autonome agit sans volonté explicite de son opérateur ? Selon Mark Rasch, avocat chez Unit 221B, les poursuites devront prouver à la fois une tentative d’accès illégal et l’intention de l’utilisateur de commettre une infraction. Cette seconde condition apparaît complexe, car un agent mandaté pour rechercher des vulnérabilités peut, une fois une brèche trouvée, tenter de l’exploiter sans que cela reflète la volonté initiale. Elimu Kajunju, avocat spécialisé en cybersécurité, estime quant à elle que la défense fondée sur la surprise devient difficile, ces incidents se multipliant. Les experts soulignent que la jurisprudence reste embryonnaire. En résumé, Cooper a affirmé : celui qui fait fonctionner la machine est responsable de ce qu’elle fait.