Analyse

Il suffit à un agent IA de consulter une page web contenant des instructions invisibles pour être détourné. Cet article décrit la chaîne d’attaque complète — injection de prompt indirecte observée dans la nature, persistance par empoisonnement de la mémoire et du RAG, réorientation des recherches par un acteur étatique — puis retourne l’arme : honeypots à injection inversée, tarpits et fonctions pièges pour démasquer les agents attaquants.

Une page web indexée peut porter une charge en langage naturel qui vise, en quelques lignes, les quatre couches de défense d’un agent IA : évasion, persistance, exfiltration, dissimulation. Pire, le canal sortant de l’exfiltration est bidirectionnel : derrière l’URL, un attaquant dialogue en direct avec l’agent. Cet article détaille le mécanisme, montre pourquoi alerter le modèle est une première ligne nécessaire mais jamais suffisante, et pourquoi la sécurité vient de l’architecture — pas du prompt.

Un compagnon plus technique de l’article sur le feedback du tier gratuit. DPO déplace la sûreté du niveau « comportement » au niveau « distribution conditionnelle » ; un agent transforme ensuite un conditionnel piégé en chaîne d’actions. Résultat : une backdoor faite de comportements individuellement ordinaires, invisible aux évaluations standard, dont le danger n’émerge qu’à la composition des actions.

Les assistants commerciaux — Claude, ChatGPT, Gemini, Le Chat — continuent d’apprendre à partir du feedback du tier gratuit : notes, régénérations, et les conversations elles-mêmes. Cette boucle est un canal d’injection. Un modèle de menace en deux phases : construire une backdoor conforme à la charte sur un sujet rare, puis l’exploiter pour du jailbreak — et pourquoi l’échelle rend la première phase presque indétectable.

Les SOC évoluent vers des architectures agentiques où plusieurs IA assurent triage, investigation, corrélation et réponse. Le système de décision devient alors lui-même une cible. Nous défendons la monotonie des capacités (Lock-Monotone/TGMC) comme invariant architectural pour limiter une compromission du raisonnement.

Deux mouvements liés : le SOC bascule d’un modèle humain artisanal vers un modèle agentique automatisé — et ces mêmes agents défensifs deviennent une nouvelle surface d’attaque. La défense qu’on déploie est aussi la brèche qu’on ouvre.