Un risque critique où les attaquants exploitent des vulnérabilités non divulguées ou non corrigées dans les frameworks IA, les points de service du modèle ou l'infrastructure sous-jacente. La gouvernance exige une veille proactive des menaces (surveillance du web obscur), des plans de réponse rapide aux incidents, des contrôles de défense en profondeur (segmentation du réseau, détection d'anomalies à l'exécution), et des procédures de déploiement de correctifs d'urgence pour minimiser l'exposition pendant la fenêtre de « jour zéro ».