Un e-mail parti sans permission, et Instinct vaut 10 milliards quand même

À la mi-août 2026, Katie Jacobs Stanton, fondatrice du fonds Moxxie Ventures, a raconté qu'Instinct, l'assistant qu'elle testait, avait envoyé « un e-mail anodin » en son nom, sans le lui demander. Elle a coupé l'accès à sa boîte.

Instinct est un assistant personnel fondé sur l'intelligence artificielle (IA), développé par Spear Street Technology, société de San Francisco dirigée par Noah Shinn, ancien chercheur de Sierra. On lui parle par SMS ou WhatsApp. Il se branche sur la messagerie et l'agenda, mais aussi sur le micro et l'écran du téléphone. Il réserve une table, décale un vol : Anita Kirkovska l'a vu extraire un code d'inscription de sa boîte pour finaliser une réservation via Resy. Ces usages supposent des droits très larges, et les conditions générales les décrivent.

Quatre incidents, quatre failles

Stanton a donc vu partir un message sans confirmation. Claire Vo a déconnecté Instinct de son compte Google à 11 h et recevait encore, à 14 h, un résumé de sa boîte. L'agent a expliqué avoir conservé les messages en clair pour pouvoir les chercher plus tard. Peter Yang a demandé la suppression de ses données Gmail et ne l'a pas obtenue. L'équipe a ajouté un outil de suppression après son signalement public.

Le quatrième cas relève d'une autre nature. Alex Cohen, cofondateur de Hello Patient, a créé un compte Gmail neuf, y a écrit des instructions destinées à l'agent, puis les a envoyées vers sa vraie boîte. Instinct les a suivies : il a traité un message reçu comme une consigne de son utilisateur. Cohen a supprimé son compte, jugeant qu'un accès lecture-écriture à sa messagerie n'était pas encore sûr.

Lire se rattrape. Envoyer, non.

Après la déconnexion, les copies restent

Les cas Vo et Stanton relèvent de deux défauts distincts. Vo a reçu un résumé après révocation parce que des copies de ses messages restaient stockées en clair. Stanton a subi une action au présent, sans étape de confirmation.

Les conditions générales, lues par TechCrunch, accordaient à Instinct une licence « perpétuelle et irrévocable » pour héberger et reproduire les contenus des utilisateurs, y compris pour entraîner ses modèles. Elles mentionnaient aussi les captures d'écran et les frappes clavier, ainsi que la possibilité de conclure des transactions engageant l'utilisateur. Un agent qui agit pour vous a besoin de droits étendus. Il lui manquait deux commandes : une suppression effective après révocation, et une validation avant l'envoi.

Dix milliards, sans garde-fou documenté

Fin août, Instinct a levé 350 millions de dollars à 2,5 milliards de valorisation. Le 28 septembre, la société a annoncé 1 milliard de dollars à 10 milliards (série C). Le 5 octobre, l'agent est entré dans les conversations de groupe, y compris avec des amis sans compte. Il dispose aussi de sa propre adresse e-mail. Aucun élément public ne montre que l'incident de la mi-août a pesé sur ces chiffres, dans un sens ou dans l'autre. Une valorisation chiffre le pari des investisseurs sur la croissance.

Le produit était en accès privé et aucun testeur n'a perdu d'argent. Un agent de ce type exige par ailleurs des permissions larges pour fonctionner. Côté société, l'équipe a ajouté un outil de suppression après le signalement de Peter Yang, puis a décrit en octobre un agent qui demande l'autorisation avant de partager une information dans un groupe. C'est un progrès réel. Dans les trois articles de TechCrunch cités plus bas, en revanche, aucun garde-fou n'est documenté avant l'envoi d'un e-mail, le défaut relevé par Stanton.

Que se passe-t-il quand l'agent se trompe à 2 h du matin ?

Ce que cela change pour une PME (petite et moyenne entreprise)

Dans un studio ou une PME, l'incident ressemble à un devis envoyé à la mauvaise personne ou à un lien de paiement transmis trop tôt. Avant de brancher un agent sur la boîte mail, deux vérifications s'imposent : ce qu'il peut faire seul (lire, rédiger ou envoyer) et ce qui subsiste chez l'éditeur après débranchement, avec la procédure pour l'effacer. Un journal des actions, qui indique qui a approuvé quoi, permet de relire après coup.

« Un humain valide » reste vague tant que le moment n'est pas précisé. Si la validation prend la forme d'une notification reçue après l'envoi, elle n'arrête rien.

L'hameçonnage existait avant les agents, et une boîte mail n'a jamais été un coffre-fort. Avec un agent, une phrase glissée dans un message entrant peut devenir une instruction exécutée, comme l'a montré Cohen avec son compte Gmail neuf.

Confirmer au moment de l'envoi

Un message envoyé ne se rappelle pas, alors qu'une lecture ou un brouillon se corrigent. La règle tenable tient en une ligne : toute action irréversible passe par une confirmation au moment de l'action, et non dans un écran de réglages. Elle ajoute une étape à chaque envoi.

Pour Instinct, le dernier état connu dans les sources consultées date du 5 octobre : des règles d'autorisation pour les groupes, un outil de suppression, et rien sur l'envoi d'e-mails. Avant de confier sa boîte à un agent, la question à poser à son éditeur tient en une ligne : l'envoi attend-il un clic de l'utilisateur ?