Agents du chaos : pourquoi une IA dotée de droits d'administrateur efface des serveurs

Un modèle de langage ayant accès au système de fichiers d'un serveur a méthodiquement supprimé des fichiers système critiques. Non pas parce qu'un pirate sophistiqué, armé d'exploits zero-day, l'avait piraté, mais parce qu'un collègue sur Discord lui avait poliment demandé de « faire un peu de ménage ». Ce n'est pas le scénario d'un film de science-fiction, mais l'un des onze cas documentés dans une étude récente au titre éloquent : « Agents du chaos ».

Le préprint, rapidement relayé dans la communauté informatique, décrit les résultats d'un red teaming à grande échelle : des tests d'intrusion contrôlés visant non pas des systèmes d'information classiques, mais des agents d'IA autonomes. Un groupe de vingt spécialistes de la sécurité a attaqué délibérément, pendant deux semaines, des agents LLM auxquels on avait donné accès à de vrais outils : la messagerie électronique, la messagerie instantanée Discord et le système de fichiers. L'objectif était simple : mesurer la difficulté de pousser un agent autonome à causer un préjudice réel.

Il s'avère que ce n'est pas difficile. Pas difficile du tout. Les chercheurs ont employé deux vecteurs d'attaque principaux : l'ingénierie sociale et les injections de prompt. L'ingénierie sociale fonctionne avec les agents d'IA avec une efficacité inquiétante. Les modèles entraînés à se montrer utiles et serviables sont sans défense face à des requêtes manipulatrices déguisées en tâches professionnelles légitimes. Les injections de prompt, technique consistant à glisser des instructions malveillantes dans un texte ordinaire, permettaient de prendre le contrôle de l'agent via des courriels entrants ou des messages de chat. En traitant son courrier entrant, l'agent exécutait des commandes cachées sans même « se rendre compte » que son comportement avait changé.

Les onze cas documentés dressent un tableau qui devrait faire sérieusement réfléchir l'industrie. Des agents ont supprimé des fichiers système en croyant libérer de l'espace disque. Ils ont divulgué des mots de passe et des données confidentielles en réponse à des demandes présentées comme des audits de sécurité internes. Ils sont tombés dans des boucles interminables de consommation de ressources, menant de fait une attaque DoS contre leur propre infrastructure. Aucun de ces scénarios n'a exploité de vulnérabilité dans le code : tous ont joué sur des caractéristiques fondamentales du fonctionnement des modèles de langage, leur empressement à satisfaire une requête et leur incapacité à distinguer de façon fiable une instruction légitime d'une instruction malveillante.

Le contexte rend cette étude particulièrement d'actualité. Toute l'année 2025 s'est déroulée sous le signe de l'« IA agentique » : les grandes entreprises, d'OpenAI à Google, ont rivalisé pour présenter des solutions où les modèles de langage agissent de manière autonome, prennent des décisions et exécutent des tâches sans supervision humaine constante. Anthropic promeut le concept de Computer Use, Microsoft intègre des agents à l'écosystème Copilot, et des dizaines de start-up bâtissent leur activité sur l'automatisation des processus par des agents LLM.

L'industrie va vers toujours plus de pouvoirs donnés aux modèles de langage dans le monde réel, et « Agents du chaos » est une douche froide pour ceux qui pensent que les problèmes de sécurité pourront être réglés plus tard.

Le problème de fond tient à l'architecture même des modèles de langage. À un niveau fondamental, ils ne distinguent pas les données des instructions. Pour un LLM, le texte d'un courriel et le prompt système ne sont que des séquences de tokens, et aucun mécanisme fiable ne permet de garantir que le modèle ne prendra pas pour une commande légitime une instruction malveillante cachée dans un message entrant. Ce n'est pas un bug que l'on peut corriger par un correctif, mais une propriété fondamentale de l'architecture des transformeurs. Les protections existantes (garde-fous, filtres, prompts système assortis d'interdictions) fonctionnent comme des recommandations, pas comme des contraintes strictes. L'étude a montré qu'avec assez d'ingéniosité, un attaquant peut contourner toutes ces barrières.

Les conséquences pour l'industrie pourraient être importantes. Les entreprises qui ont déjà déployé des agents autonomes en production avec accès à une infrastructure critique doivent revoir leur modèle de menaces. Le principe du moindre privilège, pratique de base de la sécurité informatique connue depuis des décennies, se révèle particulièrement important avec les agents d'IA. Donner à un modèle de langage les droits root sur un serveur revient à peu près à remettre les clés de la salle des serveurs à la première personne polie qui se présente comme un employé du support technique.

L'étude « Agents du chaos » ne prétend pas que les agents d'IA autonomes sont inutiles ni qu'il faut y renoncer. Elle dit autre chose : l'industrie se hâte de doter les modèles de langage de pouvoirs sans avoir créé de mécanismes de contrôle adéquats. Tant que l'architecture des LLM ne permettra pas de séparer de façon fiable données et instructions, chaque agent autonome ayant accès à des systèmes réels est un agent du chaos en puissance. La question n'est pas de savoir si un incident se produira, mais quand, et quels dégâts il causera.