Fuite présumée de code source : Mistral dit n’avoir trouvé aucune preuve
Le laboratoire français de modèles Mistral AI a démenti publiquement le 18 septembre 2026 une nouvelle revendication d’intrusion, après qu’un utilisateur d’un forum de cybercriminalité se présentant sous le pseudonyme « mrwho » eut mis en vente la veille le code source de l’entreprise, a rapporté Numerama. Mistral a indiqué qu’une enquête approfondie n’avait trouvé aucun élément attestant d’un accès non autorisé et a confirmé que ses systèmes n’avaient pas été compromis. L’arborescence publiée par le vendeur aurait recensé 339 fichiers aux noms évoquant des documents internes, ainsi qu’un échantillon appelé webstral — décrit comme un prototype d’agent web intégré à Chrome —, mais la publication d’échantillons ne prouve pas une intrusion effective.
Classé dans la rubrique Sécurité et daté du 21 septembre 2026, ce point d’AI4France traite ce démenti comme une actualité de confiance des entreprises françaises, distincte des partenariats produits de Mistral. L’épisode fait écho à des revendications de mai, que Mistral avait également contestées à la suite d’un incident plus large touchant la chaîne d’approvisionnement, et montre que les laboratoires européens de pointe affrontent désormais des cycles de rumeurs aussi bruyants que leurs lancements de produits. Les entreprises qui suivent les accords d’hébergement souverain ont toujours besoin d’un langage clair sur les incidents, même lorsque les fournisseurs affirment que rien n’a été dérobé.
Pourquoi c’est important : les clients français et européens qui placent des données réglementées sur les solutions de Mistral ont besoin d’une posture crédible face aux intrusions. Les démentis publics peuvent rassurer les marchés — à condition que les clients disposent de droits contractuels de notification et de voies d’audit.
Ce que cela change concrètement
Les RSSI et les responsables achats français devraient actualiser les clauses de notification d’incident de leurs fournisseurs ; exiger des contacts sécurité désignés pour les déploiements privés ; désigner un responsable de la veille continue sur les revendications visant la chaîne d’approvisionnement des modèles ; organiser des exercices sur table limités dans le temps sur des scénarios de fuite de poids ; et privilégier des solutions sur site ou proches de SecNumCloud pour les corpus sensibles. Lisez ce démenti en regard des travaux autour de Firefox Smart Window et de l’association souveraine avec Cloudera.
Les réserves d’abord. L’absence de preuve n’est pas une garantie définitive ; des échantillons publiés sur un forum peuvent être fabriqués ; et des dépôts secondaires peuvent encore fuiter. AI4France présente donc la déclaration de Mistral du 18 septembre comme un contexte de sécurité indicatif, en attendant des synthèses d’analyse forensique indépendantes.
À suivre : d’éventuels avis adressés aux clients ; des nouvelles des dépôts d’inférence privés ; et la manière dont l’IA managée hébergée en France par Numspot met en avant ses contrôles de confiance. Vous pouvez poursuivre sur la page d’accueil d’AI4France ou parcourir les actualités pour d’autres articles.
En résumé : considérez cette actualité comme une orientation, pas comme une consigne. La communication de sécurité des acteurs français de l’IA fait désormais partie du discours produit et reste contestée. Les organisations qui en tireront le plus de bénéfices vérifieront elles-mêmes les affirmations, garderont des humains aux commandes lors des incidents et refuseront de confondre un message sur un forum — ou un démenti sur les réseaux sociaux — avec une assurance définitive.