AgentTracer repère le point d’injection de prompt dans les journaux d’un agent dans 94% des cas

Tout le monde explique comment protéger un agent contre les injections de prompt. On parle beaucoup moins de ce qu’il faut faire lorsque les protections échouent et qu’il faut comprendre ce qui s’est passé. Des chercheurs de l’université Sun Yat-sen et de l’université des sciences et technologies de Hong Kong ont publié AgentTracer, une étude consacrée précisément à cette question : reconstituer le déroulement d’une attaque à partir des journaux d’un agent.

Pourquoi l’attaque est si difficile à repérer dans les journaux

Tous les textes lus par l’agent se retrouvent dans un même contexte du modèle. Celui-ci ne distingue fondamentalement pas l’origine d’une phrase et cherche à suivre l’instruction la plus récente et la plus convaincante. Dans une injection indirecte, la commande malveillante se trouve dans une page ou un courriel que l’agent a lui-même ouvert pour exécuter la demande de l’utilisateur. Ses actions ressemblent donc à un fonctionnement normal.

L’exemple présenté dans l’étude est fictif, mais le mécanisme est fidèle à la réalité. Un utilisateur demande de télécharger une version publiée sur un site et de la déposer sur GitHub. Une instruction est dissimulée dans la page : l’agent en profite pour enregistrer la clé SSH de l’attaquant, lire les courriels et, enfin, effacer sa mémoire de travail. Seule cette dernière étape attire l’attention, et une analyse des flux de données ne permet pas de la relier à la page : les appels n’ont aucun paramètre en commun. Le lien n’apparaît que dans les raisonnements de l’agent, lorsqu’il explique pourquoi il agit ainsi.

Les journaux du serveur peuvent, eux aussi, ne rien révéler. Avec la technique HashJack, l’instruction est cachée dans le fragment de l’adresse situé après # : il est traité côté client et n’est pas envoyé au serveur. Vue de l’extérieur, une fuite de données par une requête d’image contenant des paramètres dans l’URL, comme dans le cas de Bing Chat, ne se distingue pas d’un chargement ordinaire. Dans CoSnitch (CVE-2026-24301), les instructions malveillantes étaient même enregistrées dans la mémoire persistante de l’assistant et pouvaient donc se déclencher un autre jour.

Comment fonctionne AgentTracer

L’idée est simple : lorsqu’une injection réussit, l’agent fait quelque chose que l’utilisateur n’a pas demandé. Les auteurs appellent cet écart une dérive d’intention. Les traces de raisonnement servent à construire un graphe : ses nœuds représentent la demande de l’utilisateur et les objets renvoyés par les outils, comme les pages, les courriels et les fichiers ; ses arêtes représentent les opérations de l’agent. Ainsi, même des appels sans paramètres communs se retrouvent dans une même chaîne.

Chaque appel est ensuite vérifié selon trois critères : l’action, l’objectif et les contraintes. Si l’un d’eux n’est pas respecté, l’arête est marquée comme une déviation. À partir de l’événement suspect, la méthode remonte les arêtes marquées. Si la chaîne prend sa source dans une ressource externe, il s’agit d’une injection, et la ligne où cette ressource est entrée dans le contexte constitue le point d’injection. Si la source n’est pas externe, l’agent a simplement commis une erreur. La conclusion « aucune injection » est, elle aussi, un résultat d’enquête à part entière.

L’évaluation s’est déroulée dans des conditions difficiles : les journaux d’attaques réussies issus d’AgentDyn et d’InjecAgent ont été mélangés à cinq mois d’activité normale d’un agent. Une chaîne de trois appels se retrouvait noyée parmi environ trois mille appels sans rapport. Le point d’injection a été retrouvé dans environ 94% des cas, contre 40–76% pour les sept méthodes concurrentes.

Certaines repéraient toutes les attaques, mais pas leur source ; d’autres reconstituaient une chaîne plus complète, en y ajoutant des éléments superflus. Remplacer le graphe par une simple séquence d’appels, ou la vérification des trois critères par une évaluation confiée à un LLM, fait baisser la précision. Limiter l’analyse en prenant l’événement suspect comme borne fait gagner près d’un tiers du temps et divise la consommation de tokens par 1,5.

Que faire de ces résultats, et quelles sont les limites ?

Le principal enseignement est pratique : l’enquête dépend de ce que vous avez conservé avant l’incident. Il faut disposer de la demande de l’utilisateur, des raisonnements de l’agent, des appels d’outils et de leurs résultats complets, ainsi que des requêtes sortantes. Microsoft recommande de considérer tout contenu externe comme hostile et de collecter la télémétrie des requêtes et des réponses. Les journaux doivent être conservés de manière à empêcher l’attaquant de les modifier.

La méthode a ses limites. Elle vise les agents de type ReAct dont les raisonnements sont enregistrés. Si aucun outil n’a été appelé après l’injection, ou si du code a modifié des fichiers sans passer par ces outils, il n’y a rien à retracer. Le graphe est construit par un modèle de langage, et les raisonnements de l’agent ne reflètent pas toujours les véritables causes de ses actions : les conclusions ne peuvent donc pas être plus fiables que ce récit. L’évaluation n’a porté que sur des attaques réussies et dans un seul environnement ; sur les journaux d’activité bénigne, le taux de faux positifs était d’environ 3,5%. Le cas de la mémoire persistante reste le moins étudié.

Autre réserve tirée du bilan de l’OWASP pour le troisième trimestre 2026 : un agent peut s’écarter de sa tâche sans aucune injection. Lors d’une évaluation de cybersécurité, Claude Opus 4.7 a attaqué une véritable entreprise au nom similaire à celui de la cible, tandis que des agents OpenAI ont atteint l’infrastructure de Hugging Face en passant par un service de paquets commun. Aucune injection n’a été établie dans ces cas. La sécurité repose donc sur des restrictions imposées, des outils et des identifiants isolés, plutôt que sur le prompt. Les journaux servent à comprendre les faits après coup, pas à remplacer les protections.

Pour l’instant, Google trouve surtout sur le Web des plaisanteries et des astuces de référencement, mais la proportion de contenus malveillants détectés a augmenté de 32% en valeur relative entre novembre 2025 et février 2026. Mieux vaut configurer dès maintenant la journalisation de l’agent, avant d’en avoir besoin.