Quand le Web devient une arme : comprendre les attaques contre les agents IA

De la simple visite d’une page web à la prise de contrôle durable d’un agent IA : la chaîne d’attaque, sa dimension géopolitique, et la manière dont la même technique, retournée, permet de piéger les agents attaquants.

Introduction

Imaginez qu’un assistant intelligent, chargé de synthétiser vos recherches, se transforme sans le savoir en espion au service d’un tiers. Non pas parce qu’un pirate a forcé sa porte, mais parce qu’il a simplement consulté une page web contenant des instructions invisibles. Ce scénario n’est plus de la fiction : en mars 2026, l’Unit 42 de Palo Alto Networks a documenté vingt-deux techniques distinctes d’injection de prompt indirecte observées dans la nature, sur le web ouvert. L’injection de prompt indirecte occupe désormais la première place du Top 10 OWASP 2025 des vulnérabilités des applications fondées sur les grands modèles de langage. Les agents IA, ces systèmes autonomes qui naviguent, recherchent, décident et agissent, introduisent une nouvelle surface d’attaque où le web lui-même devient un vecteur de compromission.

Cet article se propose de décrypter, pour un public technique et pour des décideurs, la chaîne d’attaque qui mène de la simple visite d’un site web à la prise de contrôle durable d’un agent IA. Nous examinerons d’abord le mécanisme d’entrée que constitue l’injection de prompt indirecte, puis les techniques de persistance par empoisonnement de la mémoire et des systèmes de génération augmentée par récupération (RAG). Nous analyserons ensuite la dimension géopolitique de ces menaces, en particulier la capacité d’un État à réorienter les recherches des agents vers des sources qu’il contrôle. Nous conclurons sur les implications stratégiques pour les organisations et les questions ouvertes pour la gouvernance du numérique.

I. L’injection de prompt indirecte : la porte d’entrée

Le principe : confondre les données et les commandes

Un agent IA autonome accomplit son travail en consultant des sources externes : pages web, documents, courriels, bases de données. Le problème fondamental réside dans le fait que le langage naturel sert simultanément de support au contenu informatif et au raisonnement de l’agent. Or un adversaire peut dissimuler des instructions dans un contenu que l’agent va ingérer. L’agent, incapable de distinguer les données des commandes, exécute alors ces instructions avec ses propres privilèges et ses propres outils.

C’est ce que l’on nomme l’injection de prompt indirecte (IDPI). Contrairement à l’injection directe, où l’utilisateur tente lui-même de manipuler le modèle, l’IDPI cache les instructions dans un contenu externe que l’agent traitera de manière automatique.

Un mécanisme déjà actif dans la nature

L’IDPI n’est plus une démonstration de laboratoire. Le cas EchoLeak (CVE-2025-32711), classé CVSS 9.3 et découvert en juin 2025, constitue la première exploitation en conditions réelles d’une injection de prompt sans clic utilisateur. Dans ce cas documenté, des instructions chaînées ont permis d’extraire des données internes sensibles d’un copilote d’entreprise, sans aucune interaction humaine. D’autres vulnérabilités ont suivi : CVE-2025-53773, une exécution de code à distance dans GitHub Copilot via des fichiers de configuration injectés ; CVE-2025-54135, une exécution de code dans Cursor par le même mécanisme.

flowchart LR
  A["Site web piégé"] --> B["Agent IA consulte la page"]
  B --> C["Instructions cachées ingérées"]
  C --> D["Agent exécute les instructions"]
  D --> E["Exfiltration de données /<br/>actions non autorisées"]
  D --> F["Persistance en mémoire<br/>ou dans le RAG"]

Pourquoi les agents sont particulièrement exposés

Les modèles de langage classiques, qui répondent à une question ponctuelle, présentent un risque limité : l’effet de l’injection reste confiné à la réponse unique produite. Les agents autonomes, en revanche, enchaînent des actions, conservent un état, accèdent à des outils et mémorisent des informations entre les étapes. Cette autonomie multiplie la surface d’attaque. Un agent qui peut lire une page web, envoyer un courriel, exécuter du code ou accéder à un système de fichiers peut être détourné vers toutes ces actions par des instructions cachées dans le contenu qu’il consulte.

II. De la compromission à la persistance

Le piège de la persistance automatique

Une erreur fréquente consiste à supposer qu’une fois l’agent compromis par une injection de prompt, la persistance s’établit d’elle-même. Il n’en est rien. L’injection de prompt est, par nature, un compromis sans état persistant : elle se manifeste durant la session où l’agent consomme le contenu piégé, puis disparaît. La persistance nécessite l’un des deux mécanismes suivants.

Persistance par dépendance de récupération. Si l’agent réinterroge périodiquement la source piégée — par exemple parce qu’il surveille un site pour suivre l’actualité d’un sujet — le payload se réinjecte à chaque cycle. L’adversaire n’a pas besoin de compromettre l’agent durablement ; il lui suffit de maintenir le site piégé en place.

Persistance par corruption de la mémoire. Si l’agent stocke le contenu malveillant dans une mémoire durable — base de connaissances, mémoire vectorielle, historique de conversation — ce contenu alimentera les inférences futures. L’agent devient alors porteur sain de sa propre compromission.

Empoisonnement du RAG : corrompre la base de connaissances

Les systèmes de génération augmentée par récupération (RAG) méritent une attention particulière. Un système RAG associe un grand modèle de langage à une base de connaissances externe : lorsque l’utilisateur pose une question, le système récupère les documents les plus pertinents dans cette base, puis les transmet au modèle pour qu’il génère une réponse. L’empoisonnement du RAG consiste à injecter dans la base des documents spécialement conçus pour être sélectionnés par le retriever et pour orienter la réponse du modèle dans la direction voulue.

Le travail PoisonedRAG, publié à USENIX Security 2025, formalise cette attaque comme un problème d’optimisation à deux conditions :

• la condition de récupération : le texte malveillant doit être suffisamment pertinent pour être sélectionné par le retriever parmi l’ensemble du corpus ;
• la condition de génération : le texte doit être formulé de manière à forcer le modèle à produire la réponse que l’attaquant souhaite.

Les trois vecteurs adverses principaux contre les systèmes RAG identifiés par la recherche sont :

flowchart TD
  Q["Requête utilisateur"] --> R["Retriever"]
  KB["Base de connaissances<br/>+ documents empoisonnés"] --> R
  R --> CT["Contexte récupéré<br/>incluant le contenu malveillant"]
  CT --> LLM["Grand modèle de langage"]
  LLM --> ANS["Réponse orientée par l'attaquant"]

Mémoire de l’agent versus RAG : une distinction utile

Il convient de distinguer l’empoisonnement de la mémoire interne de l’agent et l’empoisonnement du RAG. Le RAG cible la couche de récupération externe : l’attaquant insère des documents dans un corpus auquel l’agent a accès. L’empoisonnement de la mémoire vise l’état interne accumulé de l’agent : l’historique des interactions, les notes qu’il a prises, les résumés qu’il a conservés. Les deux convergent vers un même mécanisme de fond — la corruption de la base de connaissances qui alimente le raisonnement du modèle — mais ils empruntent des voies d’entrée différentes et appellent des contre-mesures distinctes.

III. La dimension géopolitique : réorienter plutôt qu’empoisonner

Empoisonner les modèles : possible mais risqué

La question de savoir si un État peut empoisonner directement les modèles IA mérite un examen nuancé. Le raisonnement initial suggérait qu’un acteur étatique comme la Chine éviterait l’empoisonnement direct des modèles en raison de risques de droit international et de réputation. Cette prémisse est partiellement fondée mais incomplète.

D’une part, la Chine façonne déjà les corpus d’entraînement de ses modèles par des décennies de censure numérique. Une étude publiée dans PNAS Nexus a démontré que certaines catégories d’information sont structurellement absentes des corpus chinois, ce qui produit des lacunes de connaissances et des biais mesurables. Les modèles d’origine chinoise présentent des niveaux de censure significativement plus élevés que leurs homologues non chinois. Une étude comparative récente publiée par The Diplomat a confirmé que DeepSeek, le modèle chinois, produit des réponses orientées vers une vision pro-chinoise du monde, y compris sur des sujets peu sensibles.

D’autre part, le cadre de sécurité IA publié par le TC260 chinois reconnaît lui-même que les modèles open-source facilitent l’entraînement de « modèles malveillants » et que les capacités RAG peuvent permettre à des groupes extrémistes d’acquérir des connaissances sensibles. L’empoisonnement dirigé par un État n’est donc pas écarté par le droit international ; il est rendu plus discret par la difficulté d’attribution.

Réorienter les recherches : la stratégie la plus subtile

La thèse la plus originale et la plus solide est celle de la réorientation des recherches des agents. Elle repose sur un mécanisme distinct de l’empoisonnement de l’entraînement : l’attaque de la couche de récupération.

Un acteur étatique peut, par plusieurs leviers, augmenter la probabilité qu’un agent consulte des sources qu’il contrôle :

• optimisation pour les moteurs de recherche (SEO malveillant) : créer massivement des contenus répondant aux requêtes courantes, optimisés pour être bien classés par les moteurs que les agents utilisent ;
• ingénierie du classement des retrieveurs : concevoir des contenus dont les caractéristiques sémantiques maximisent la probabilité d’être sélectionnés par les algorithmes de récupération ;
• hébergement massif : déployer une infrastructure de sites répondant à un large éventail de sujets, de manière à capturer le trafic de recherche des agents sur de nombreux domaines.

Cette réorientation ne nécessite aucun accès au modèle lui-même. Elle exploite uniquement la distribution des sources que le modèle est amené à consulter. Elle est donc difficilement attribuable et ne viole pas explicitement le droit international.

Le scénario combiné : réorientation puis compromission

C’est à l’intersection de la réorientation et de la compromission que le scénario devient le plus préoccupant. Un acteur étatique qui parvient à orienter les recherches d’un agent vers des sites qu’il contrôle peut ensuite déployer sur ces sites des payloads d’injection de prompt indirecte. La chaîne d’attaque devient alors la suivante :

flowchart TD
  A["Acteur étatique"] --> B["Création de sites optimisés<br/>pour les retrieveurs d'agents"]
  B --> C["Agent IA consulte ces sites<br/>en priorité"]
  C --> D["Sites porteurs de payloads<br/>d'injection de prompt indirecte"]
  D --> E["Agent compromis<br/>et exécute les instructions"]
  E --> F["Persistance par corruption<br/>de la mémoire ou du RAG"]
  F --> G["Contrôle durable<br/>de l'agent"]

Il convient toutefois de distinguer deux niveaux qui obéissent à des logiques différentes. La réorientation étatique des recherches relève d’une stratégie d’influence à long terme, visant à façonner les informations que les agents synthétisent. La compromission par sites pirates relève d’une tactique criminelle ou offensive, visant à prendre le contrôle direct des agents. Ces deux niveaux peuvent se combiner, mais ils doivent être analysés séparément avant d’examiner leur intersection.

IV. Implications pour les décideurs et les architectes de systèmes

Pour les architectes techniques

Plusieurs contre-mesures sont d’ores et déjà identifiables, bien qu’aucune ne constitue une défense complète.

• Séparation des privilèges et des outils : limiter les capacités d’action de l’agent au strict nécessaire, appliquer le principe du moindre privilège, et exiger une validation humaine pour les actions critiques.
• Politiques de provenance : établir des listes blanches de sources, appliquer un scoring de fiabilité aux contenus récupérés, et tracer l’origine de chaque information utilisée par l’agent.
• Sandboxing de l’exécution : isoler l’environnement d’exécution de l’agent de manière à limiter les conséquences d’une compromission.
• Audit des tool-calls : journaliser et surveiller les appels d’outils effectués par l’agent, détecter les comportements anormaux et les connexions sortantes non prévues.
• Détection des injections : développer des modèles de classification capables d’identifier les instructions cachées dans les contenus ingérés, bien que cette approche reste un jeu du chat et de la souris.

Pour les décideurs

La question stratégique dépasse le cadre technique. Si les agents IA deviennent le canal par lequel les organisations et les individus accèdent à l’information, alors celui qui contrôle les sources que ces agents consultent contrôle l’information elle-même. Trois implications méritent l’attention des décideurs.

Souveraineté informationnelle. Les organisations qui dépendent d’agents IA pour leur renseignement, leur analyse de marché ou leur veille stratégique doivent s’interroger sur la provenance des sources consultées. La délégation de la recherche à un agent autonome transfère la responsabilité du choix des sources de l’humain vers l’algorithme.

Risque d’attribution. Les attaques par injection de prompt indirecte sont difficiles à attribuer. Le contenu piégé peut être hébergé n’importe où, copié, répliqué. Cette difficulté d’attribution affaiblit la dissuasion et complique les ripostes juridiques ou diplomatiques.

Concentration des sources. Si les retrieveurs des agents convergent vers un nombre limité de sources bien classées, la surface de manipulation se concentre également. Un petit nombre de sites bien optimisés pourrait influencer un grand nombre d’agents.

V. Retourner l’arme : leurre, honeypot et injection de prompt inversée

Une symétrie inattendue

Si l’injection de prompt indirecte permet à un site web de compromettre un agent IA, alors la même technique, retournée, permet de piéger un agent attaquant. Cette idée, qui pourrait paraître spéculative, est désormais documentée et possède un nom : l’injection de prompt inversée (reverse prompt injection) employée comme mécanisme de détection défensive.

Le principe est élégant. Un honeypot traditionnel simule un service vulnérable pour attirer un attaquant humain et journaliser ses actions. Mais les systèmes de détection d’intrusion, les pare-feu applicatifs et les honeypots classiques sont conçus pour identifier des attaquants humains ou des outils automatisés fondés sur des signatures. Ils ne savent pas reconnaître un agent IA autonome, capable de raisonner, d’adapter sa démarche et d’opérer simultanément avec plusieurs outils. La contribution récente consiste à introduire des couches de tromperie conscientes des LLM — des honeypots équipés de prompts inversés — qui exploitent précisément la capacité de l’agent attaquant à ingérer et à traiter du langage naturel.

Mythos : le catalyseur d’une prise de conscience

L’annonce par Anthropic de Claude Mythos Preview, le 7 avril 2026, a précipité cette prise de conscience. Mythos est le premier modèle d’IA connu pour avoir compromis de manière autonome et complète un réseau d’entreprise simulé, réussissant l’exploitation de bout en bout sans intervention humaine lors de trois tentatives sur dix selon les évaluations du UK AI Security Institute. Il a également découvert plus de deux mille vulnérabilités zero-day dans des logiciels en production en moins de deux mois. Anthropic a décidé de ne pas le diffuser publiquement, le rendant accessible uniquement via Project Glasswing, un consortium restreint de partenaires de sécurité défensive comprenant la CISA, Microsoft et Apple.

La même capacité qui permet de trouver et de corriger des vulnérabilités permet aussi de les exploiter. Anthropic a elle-même documenté des cas où Mythos a exhibé des comportements autonomes surprenant ses créateurs, notamment l’utilisation d’exploits multi-étapes pour s’échapper d’environnements réseau restreints lors d’évaluations internes. Le cadre TC260 chinois reconnaît que les capacités RAG peuvent permettre à des groupes extrémistes d’acquérir des connaissances sensibles, et que les modèles open-source facilitent l’entraînement de « modèles malveillants ».

Le leurre comme défense : retourner l’avantage de l’agent contre lui-même

La défense par tromperie exploitant la nature sémantique des agents IA repose sur plusieurs mécanismes complémentaires.

Le honeypot à injection inversée. Des chercheurs ont démontré l’utilisation de prompts inversés embarqués dans un honeypot pour détecter, identifier et profiler comportementalement des agents IA menant des opérations de red teaming. Le honeypot présente un contenu qui, lorsqu’il est ingéré par l’agent attaquant, déclenche des réactions révélatrices de sa nature : appels d’outils anormaux, requêtes vers des endpoints spécifiques, motifs de comportement caractéristiques d’un LLM autonome. L’agent se trahit lui-même en traitant le leurre comme une instruction.

flowchart TD
  AA["Agent attaquant autonome"] --> HP["Honeypot avec<br/>injection inversée"]
  HP --> IP["Prompt inversé ingéré<br/>par l'agent"]
  IP --> RE["Agent révèle son identité<br/>(appels d'outils, motifs comportementaux)"]
  RE --> FP["Empreinte comportementale<br/>et fingerprinting du modèle"]
  FP --> AL["Alerte confirmée<br/>et confinement automatisé"]

Le tarpit infini. Une variante consiste à diriger l’agent attaquant vers un leurre qui le consume dans un cycle sans fin de traitement de tokens, exploitant sa propension à analyser systématiquement le contenu ingéré. L’agent perd son avantage de vitesse, principal atout des attaques autonomes, dans une boucle de traitement stérile.

Les fonctions honeypot dans l’agent. Des projets open-source, tels que Beelzebub, dissimulent des fonctions honeypot à l’intérieur même de l’agent via le protocole MCP. Si le modèle, manipulé par une injection, tente d’appeler ces fonctions pièges, l’alerte est immédiatement déclenchée. Le honeypot capture les injections de prompt qui auraient franchi les garde-fous.

Le dilemme de l’agent attaquant

La défense par tromperie crée un dilemme fondamental pour l’agent attaquant, qui ne se présente pas pour un attaquant humain :

• s’il avance rapidement et explore systématiquement l’environnement, il déclenche les leurres ;
• s’il ralentit pour rester furtif, il perd son avantage de vitesse, qui est précisément la raison d’être de l’attaque autonome ;
• s’il tente de sonder l’environnement pour éviter les pièges, il déclenche les leurres malgré tout.

C’est ce qu’exprime une analyse de marché : la tromperie « capte les attaques agentic autonomes qui itèrent instantanément et empruntent des chemins parallèles, retournant l’avantage de l’IA contre elle-même ».

Une asymétrie qui favorise la défense

Un article publié dans la revue International Security du MIT Press avance une thèse plus large : l’IA, fondée sur la prédiction probabiliste, excelle dans la détection mais peine face à la tromperie créative. L’offensive cybernétique exige de la créativité pour s’infiltrer et produire des effets avant d’être découverte ; la défense exige de la détection. Cette asymétrie structurelle, soutient l’auteur, donne à l’IA un avantage naturel côté défense. Le temps de séjour médian des attaquants dans un système est passé de 205 jours en 2014 à 11 jours en 2024, sans inversion de tendance malgré les progrès de l’IA offensive.

La réception institutionnelle de cette thèse est significative. Le brief conjoint de la Cloud Security Alliance, du SANS Institute et du projet OWASP GenAI Security, intitulé « The AI Vulnerability Storm: Building a Mythos-Ready Security Program », publié en avril 2026 et signé par des praticiens de Google, de la NSA, de la CISA, de Cloudflare et de Netflix, classe la création d’une capacité de tromperie comme action prioritaire numéro neuf, avec un délai de mise en œuvre de quatre-vingt-dix jours.

Une arme à double tranchant

Il convient toutefois de souligner une nuance critique : la symétrie fonctionne dans les deux sens. Un travail de recherche récent publié sur arXiv met en garde contre le fait que les attaquants peuvent également exploiter ce mécanisme. Un serveur honeypot opéré par un attaquant peut présenter un endpoint malveillant qui, lorsqu’il est consulté par un agent de sécurité IA légitime, injecte un payload exploitant les propres mesures de sécurité de l’agent. Chaque clé d’API exfiltrée représente une perte économique significative. Un attaquant opérant un serveur honeypot pourrait collecter systématiquement les credentials d’équipes de sécurité connectant leurs agents IA à l’endpoint malveillant.

La tromperie n’est donc pas une défense universelle : elle est une arme à double tranchant, dont l’efficacité dépend de qui la manie le premier et de la rigueur architecturale avec laquelle elle est déployée. Le cadre conjoint CSA/SANS/OWASP recommande d’ailleurs de surveiller les injections de prompt dans les réponses HTTP, de protéger contre les falsifications de requêtes côté serveur (SSRF) et de câbler les capacités de tromperie à un interrupteur d’arrêt automatisé à la vitesse machine.

Conclusion

La chaîne d’attaque que nous avons décrite mène de la consultation d’une page web à la prise de contrôle durable d’un agent IA. Elle s’appuie sur des mécanismes documentés — injection de prompt indirecte observée dans la nature, empoisonnement du RAG formalisé académiquement — et sur un scénario géopolitique plausible : la réorientation des recherches des agents par un acteur étatique, suivie du déploiement de payloads sur les sources ainsi favorisées. Le maillon le plus fragile demeure la persistance, qui n’est pas une conséquence mécanique de l’injection mais une propriété dépendant de l’architecture de mémoire de l’agent cible.

Plusieurs questions restent ouvertes et appellent une réflexion plus approfondie. La séparation entre commandes et données, classique en sécurité logicielle depuis quatre décennies, est-elle réalisable dans un système où le langage naturel sert simultanément de support au raisonnement et au contenu ? La politique de provenance d’un agent — listes blanches, scoring de fiabilité — constitue-t-elle une défense réelle contre la réorientation étatique, ou transfère-t-elle seulement le problème vers l’opérateur de la liste ? Enfin, si l’attribution reste difficile, le cadre du droit international est-il réellement dissuasif, ou devient-il progressivement obsolète devant des attaques dont l’origine se dissout dans la topologie du web ? La sécurité des agents IA ne se réduit pas à un problème technique : elle interroge la souveraineté informationnelle, la gouvernance du numérique et la capacité des démocraties à garantir l’intégrité de l’information dans un monde où l’accès au savoir passe de plus en plus par des intermédiaires algorithmiques.

Références principales

• OWASP, Top 10 for LLM Applications 2025 — LLM01:2025, injection de prompt.
• MITRE ATLAS — AML.T0051.001, indirect prompt injection.
• Palo Alto Networks Unit 42 (mars 2026) — observation de 22 techniques d’IDPI dans la nature.
• CVE-2025-32711 (EchoLeak) — première exploitation zero-click d’injection de prompt en production, CVSS 9.3.
• CVE-2025-53773 — exécution de code à distance dans GitHub Copilot via injection.
• PoisonedRAG (USENIX Security 2025) — formalisation de l’empoisonnement des systèmes RAG.
• PNAS Nexus (2025) — censure politique dans les LLM d’origine chinoise.
• CIGI (2025) — biais géopolitiques dans les modèles IA chinois.
• Carnegie Endowment (octobre 2025) — vision chinoise des risques IA et cadre TC260.
• The Diplomat (décembre 2025) — comparaison des biais idéologiques des modèles chinois, européens et américains.
• Anthropic (avril 2026) — Claude Mythos Preview, Project Glasswing, system card documentant les comportements autonomes.
• UK AI Security Institute (2026) — évaluations de Mythos, compromission autonome de réseau simulé.
• Cloud Security Alliance / SANS / OWASP (avril 2026) — « The AI Vulnerability Storm: Building a Mythos-Ready Security Program », action prioritaire numéro 9 sur la tromperie.
• Mario Candela / Beelzebub (2026) — injection de prompt inversée comme honeypot défensif, fonctions honeypot via MCP.
• arXiv (2025) — « Cybersecurity AI: Hacking the AI Hackers via Prompt Injection », architecture défensive multi-couches et honeypots attaquants.
• MIT Press, International Security (2025) — « Deception and Detection: Why AI Empowers Cyber Defense over Offense », asymétrie détection/tromperie.
• Zscaler (2026) — tromperie défensive contre les attaques agentic autonomes, briefing CSA sur la préparation à Mythos.