Comment les pirates transforment les agents IA en armes contre leurs utilisateurs

Chaque fois que l'industrie de l'intelligence artificielle avance d'un pas, les attaquants font de même. Une nouvelle analyse publiée sur Habr retrace l'évolution des systèmes d'IA, des premiers modèles de langage aux agents multimodaux, et montre comment, à chaque étape, des menaces de cybersécurité radicalement nouvelles sont apparues. La thèse centrale des auteurs est inquiétante, mais prévisible : plus l'IA gagne en autonomie, plus ses vulnérabilités deviennent dangereuses.

L'histoire a commencé de façon relativement anodine. Lorsque les grands modèles de langage sont apparus, les principaux problèmes étaient les hallucinations et les fuites de données issues des jeux d'entraînement. Les utilisateurs craignaient qu'un chatbot divulgue les informations personnelles d'autrui ou génère du code malveillant. Ces risques n'ont pas disparu, mais un danger bien plus sérieux a grandi à leurs côtés. Les systèmes d'IA actuels ne sont plus de simples générateurs de texte. Ils traitent images et voix, interagissent avec des services externes, prennent des décisions et exécutent des chaînes d'actions sans intervention humaine. C'est précisément cette autonomie qui en a fait une cible attrayante pour une nouvelle génération de cyberattaques.

Les auteurs de l'étude donnent des exemples concrets qui font réfléchir. L'agent Deep Research d'OpenAI, conçu pour l'analyse approfondie d'informations sur internet, s'est révélé vulnérable à des attaques permettant d'accéder discrètement à la messagerie de l'utilisateur. Le mécanisme exploite la nature même de l'agent : il sait suivre des liens, traiter le contenu de pages web et interagir avec des services. Il suffit à l'attaquant de préparer une page spécialement conçue, dont le contenu dissimule des instructions malveillantes, et l'agent, en la traitant, peut exécuter des actions qui servent l'attaquant plutôt que l'utilisateur.

La situation des navigateurs IA est encore plus préoccupante. Ces systèmes sont capables de naviguer seuls sur internet, de remplir des formulaires et d'effectuer des transactions. Les chercheurs démontrent qu'ils sont exposés à des vulnérabilités permettant d'exécuter des actions arbitraires sur des pages web au nom de l'utilisateur. Concrètement, un attaquant peut obliger un navigateur IA à ouvrir un lien de phishing, à saisir des données sur un faux site, voire à payer dans une fausse boutique en ligne. L'utilisateur peut ne rien soupçonner : s'il a confié les tâches routinières à l'agent, c'est justement pour ne pas contrôler chaque étape.

La racine du problème se trouve dans l'architecture des transformers et dans la manière dont les modèles actuels traitent leurs données d'entrée. Les transformers ne distinguent pas les sources d'information fiables des sources non fiables. Pour le modèle, une instruction de l'utilisateur et le texte d'une page web malveillante passent par le même mécanisme d'attention. Cela rend possibles les attaques dites de prompt injection, où l'attaquant intègre des instructions malveillantes dans le contenu que l'agent traite pendant sa tâche. Le modèle les juge légitimes et les suit, ce qui revient à céder le contrôle de l'agent à l'attaquant.

Les conséquences pour l'industrie sont difficiles à surestimer. Les entreprises déploient massivement des agents IA dans leurs processus métier, en leur donnant accès à la messagerie d'entreprise, aux systèmes CRM et aux outils financiers. Si un agent peut être compromis par le traitement de contenu externe, la menace ne pèse pas seulement sur des utilisateurs isolés, mais sur des organisations entières. De plus, les défenses traditionnelles, comme les antivirus et les pare-feu, ne sont pas conçues pour cette catégorie d'attaques, car l'activité malveillante ne provient pas d'un logiciel externe, mais d'un outil d'IA de confiance agissant dans le cadre de ses prérogatives habituelles.

Les développeurs de systèmes d'IA ont bien sûr conscience de ces risques. OpenAI, Google et Anthropic investissent dans des mécanismes de protection : filtrage des prompts, séparation des niveaux d'accès, confirmation des actions critiques par l'utilisateur. Mais la course entre les capacités des agents et les méthodes pour les protéger ne tourne pas, pour l'instant, en faveur de la sécurité. Le marché réclame des agents toujours plus autonomes et fonctionnels, et chaque nouvelle capacité est un vecteur d'attaque potentiel.

L'industrie est arrivée à un moment décisif. Avant de confier aux agents IA les clés de notre vie numérique, mieux vaut s'assurer que les serrures sont solides. Pour l'instant, cette assurance n'existe ni chez les chercheurs, ni chez les développeurs, et encore moins chez les utilisateurs, qui, par souci de commodité, risquent d'être victimes d'attaques dont ils ignorent jusqu'à l'existence.