L'IA démultiplie les attaques de désinformation : les défenseurs doivent réagir à la même vitesse

Les défenseurs adoptent aussi l'injection de prompts

Des chercheurs de Tracebit ont annoncé lundi avoir découvert une méthode simple pour neutraliser les agents d'intelligence artificielle utilisés par des attaquants pour pirater des infrastructures cloud. Le principe consiste à placer des injections de prompt directement à côté des mots de passe, clés cryptographiques et autres secrets stockés sur AWS. Lorsqu'un agent LLM malveillant tente d'accéder à ces données sensibles, il tombe sur une instruction cachée qui lui ordonne d'effectuer une action interdite par ses propres garde-fous, les mécanismes de sécurité intégrés par les développeurs pour empêcher les IA de nuire. Résultat, le modèle s'arrête de lui-même, mettant fin à l'attaque en cours. Cette technique renverse une logique jusqu'ici à sens unique. Les injections de prompt sont traditionnellement l'arme favorite des attaquants: une commande habilement dissimulée dans un email, une invitation de calendrier ou un document suffit souvent à faire exécuter par un LLM des actions malveillantes, comme l'exfiltration de données confidentielles. Que des équipes de défense retournent cette même faille contre les assaillants marque un tournant. Pour les entreprises qui déploient des agents IA autonomes capables d'explorer des systèmes et de manipuler des identifiants, cela ouvre une piste de protection accessible et peu coûteuse, sans nécessiter de refonte des architectures de sécurité existantes. Cette découverte s'inscrit dans un contexte plus large où la sécurité des agents IA autonomes devient un enjeu majeur, à mesure que ces outils gagnent en autonomie et en capacité d'action sur des environnements sensibles comme le cloud. Les LLM utilisés à des fins offensives peuvent désormais scanner des systèmes, repérer des identifiants exposés et tenter de les exploiter sans supervision humaine constante. Face à cette menace grandissante, les chercheurs en sécurité explorent différentes pistes défensives, et cette méthode de piégeage par injection de prompt pourrait rapidement être adoptée par d'autres équipes de sécurité, voire intégrée nativement dans les outils de protection cloud, ouvrant la voie à une véritable course aux armements entre attaquants et défenseurs autour du contrôle des agents IA.

💬 Bonne nouvelle pour une fois côté défense: retourner l'injection de prompt contre l'attaquant, en planquant l'instruction d'arrêt à côté des secrets AWS, c'est malin et ça coûte trois fois rien à déployer. Reste que ça marche parce que l'attaquant utilise un agent avec des garde-fous actifs, un assaillant qui bricole son propre LLM sans ces limites passera au travers sans même s'en rendre compte. Le vrai signal ici, c'est que la sécurité cloud entre dans une course aux armements où le prompt lui-même devient un terrain de bataille, pas juste le code ou le réseau.

Face à l'essor des cyberattaques à 1 dollar, les défenses durables font leurs preuves

Transformer une faille logicielle nouvellement découverte en cyberattaque prenait autrefois plusieurs mois. Aujourd'hui, les modèles d'IA générative peuvent accomplir la même opération en quelques minutes, pour moins d'un dollar de temps de calcul cloud. Anthropic a récemment illustré cette réalité avec son projet Glasswing : le modèle Claude Mythos a permis de détecter de manière préventive plus de mille vulnérabilités zero-day, dont des failles présentes dans chaque grand système d'exploitation et navigateur web du marché. Anthropic a coordonné la divulgation responsable de ces failles et travaillé à leur correction avant qu'elles ne soient exploitées. Ce qui relevait jadis du travail d'une équipe de chercheurs en sécurité pendant des semaines peut désormais être accompli, en théorie, avec une simple requête textuelle adressée à un LLM. L'impact de cette évolution est profondément asymétrique. Du côté offensif, les attaquants n'ont plus besoin d'une expertise technique avancée pour exploiter des vulnérabilités : les outils d'IA font le gros du travail. Des recherches récentes montrent que des modèles capables peuvent identifier et exploiter des failles de manière autonome, comprimant drastiquement le délai entre la découverte d'un bug et la production d'un exploit fonctionnel. Du côté défensif, en revanche, des ingénieurs humains restent indispensables pour lire, évaluer et agir sur ce que les modèles remontent. La vulnérabilité Log4j en 2021 illustre l'ampleur des risques : une faille critique dans une simple bibliothèque de journalisation, maintenue par une poignée de bénévoles, a exposé des centaines de millions d'appareils à travers le monde. L'essentiel du code sur lequel repose l'infrastructure numérique mondiale est maintenu par de petites équipes sans ressources dédiées à la sécurité. La situation rappelle une vague précédente d'automatisation de la découverte de failles. Au début des années 2010, des outils de fuzzing comme American Fuzzy Lop (AFL) ont mis à nu des vulnérabilités critiques dans tous les grands navigateurs et systèmes d'exploitation. La réponse de l'industrie a été d'industrialiser la défense : Google a construit OSS-Fuzz, un système qui exécute des tests en continu sur des milliers de projets open source. L'hypothèse dominante est que la découverte de failles par IA suivra le même arc, avec une intégration progressive dans les pipelines de développement standard. Mais la comparaison a ses limites : le fuzzing exigeait une expertise technique pointue pour être déployé, là où un LLM suffit aujourd'hui d'une invite en langage naturel. La question centrale reste ouverte : l'IA profitera-t-elle davantage aux attaquants ou aux défenseurs ? Le coût de découverte et d'exploitation des bugs tend vers zéro, mais celui de leur correction, lui, ne diminue pas.

« Attaques multi-tours : 88 % de réussite face aux IA, le testing en un tour passe à côté », alerte Cisco à VB Transform 2026

Lors du panel sur la sécurité agentique de VB Transform 2026, Amy Chang, responsable du renseignement sur les menaces IA et de la recherche en sécurité chez Cisco, a présenté des résultats préoccupants pour quiconque continue de tester ses modèles avec des attaques en un seul échange. Dans une étude menée avec Nicholas Conley, Cisco a soumis 15 modèles phares, fermés et propriétaires, à 30 090 tentatives d'attaque en un seul tour et à 6 986 attaques multi-tours, où l'assaillant adapte sa stratégie au fil de la conversation. Résultat : les taux de réussite en multi-tours vont de 7,89% à 88,3% selon les modèles, et chacun d'entre eux présente une vulnérabilité non négligeable à ce type d'attaque prolongée. Plus frappant encore, les deux méthodes de test ne classent même pas les modèles dans le même ordre, ce qui signifie qu'un modèle jugé robuste en test ponctuel peut s'effondrer face à une conversation adverse soutenue. Cisco publie désormais des signaux d'évaluation adversariale pour 105 modèles sur son LLM Security Leaderboard. Ces chiffres résonnent avec l'enquête Pulse de VentureBeat menée en juin 2026 auprès de 107 entreprises : 54% d'entre elles ont déjà connu un incident de sécurité confirmé lié à un agent IA (18%) ou évité de justesse un tel incident (36%). Seulement 32% attribuent une identité gérée et cloisonnée à chaque agent, et 30% isolent leurs agents les plus sensibles dans des environnements sandbox, tandis que 82% des entreprises s'appuient encore principalement sur les contrôles natifs des fournisseurs et des hyperscalers. Ce décalage entre la sophistication des menaces et la maturité des défenses explique la vague de rachats qui secoue le secteur. Palo Alto Networks a bouclé en février l'acquisition de CyberArk pour 25 milliards de dollars, CrowdStrike a annoncé en janvier le rachat de SGNL pour 740 millions de dollars, et Cisco a de son côté annoncé son intention d'acquérir Astrix Security pour environ 400 millions de dollars. Ces trois opérations ciblent la même brique manquante chez la plupart des entreprises : la gestion des identités et l'isolement des agents IA, un chantier que peu ont achevé alors que les déploiements agentiques se multiplient déjà en production. Forte de près de vingt ans d'expérience, dont un poste de directrice exécutive des opérations de cybersécurité chez JPMorgan Chase, un passage comme conseillère à la Chambre des représentants et un engagement dans la réserve de la marine américaine, Amy Chang insiste sur la simplicité de la réponse défensive malgré la complexité des attaques : revenir aux fondamentaux de ce que l'on cherche réellement à protéger. Elle recommande aux directeurs de la sécurité de partir du cadre Integrated AI Security and Safety Framework de Cisco, qui couvre l'ensemble du cycle de vie de l'IA, de la modalité jusqu'à la chaîne d'approvisionnement, pour remonter depuis des incidents réels vers une stratégie de couverture adaptée. Heather Ceylan, CISO de Box, partage ce constat : la majorité des exercices de red teaming sur les agents restent aujourd'hui limités à des tests en un seul tour, très éloignés de la manière dont les utilisateurs interagissent réellement avec ces systèmes.

« Les garde-fous de sécurité ont bloqué les défenseurs de Hugging Face, pas l'attaquant, lors du piratage de ses systèmes par un agent IA »

Fin de semaine dernière, Hugging Face a découvert qu'un agent d'intelligence artificielle autonome avait compromis son infrastructure de production, avec des conséquences aggravées par le fait que les modèles d'IA censés aider l'équipe de sécurité à enquêter ont refusé de traiter les preuves de l'attaque. L'entreprise a révélé le 16 juillet qu'un système agentique autonome, fonctionnant sans intervention humaine du début à la fin, avait obtenu un accès non autorisé à un ensemble limité de jeux de données internes ainsi qu'à plusieurs identifiants de service. Le point d'entrée était un jeu de données malveillant : une fois ingéré par le pipeline de traitement de données de Hugging Face, il a déclenché une exécution de code par deux voies distinctes, un chargeur de code à distance et une faille d'injection de gabarit dans les fichiers de configuration. Aucune barrière de contrôle ne filtrait le fichier avant qu'il n'atteigne le poste de calcul chargé de le traiter. Depuis ce premier point d'appui, l'agent est sorti de l'environnement isolé du poste de travail, a récupéré des identifiants cloud et de cluster à large portée, et s'est déplacé latéralement à travers l'infrastructure pendant tout un week-end, sans être détecté ni stoppé. Hugging Face a décrit un cadre agentique exécutant des milliers d'actions individuelles via un essaim de bacs à sable éphémères, avec un système de commande et de contrôle capable de migrer lui-même vers des services publics ; l'entreprise a assuré que sa chaîne logistique logicielle restait intacte, sans trace d'altération de ses modèles, jeux de données ou Spaces publics, tout en poursuivant son évaluation d'un éventuel impact sur des données de partenaires ou clients. L'épisode expose une faille opérationnelle largement sous-estimée dans les dispositifs de cybersécurité qui reposent sur l'IA : les mêmes garde-fous conçus pour empêcher les attaquants d'exploiter les modèles bloquent aussi les défenseurs qui tentent d'analyser une intrusion réelle. Lorsque l'équipe de réponse aux incidents de Hugging Face a soumis des commandes shell, des charges utiles d'exploitation et des artefacts de commande et contrôle authentiques à des modèles frontières via des API commerciales, les systèmes de sécurité ont catégoriquement refusé de les traiter, incapables de distinguer un enquêteur légitime d'un auteur de malware. Merritt Baer, conseillère senior chez Andesite, G2I et AppOmni et ancienne directrice adjointe de la sécurité chez AWS, souligne que ce problème dépasse largement le cas Hugging Face : les modèles commerciaux n'ont aucun moyen cryptographique ou organisationnel de vérifier l'intention derrière une requête d'analyse. Pour les équipes de sécurité d'entreprise qui intègrent de plus en plus l'IA dans leurs opérations, cela transforme un simple choix de politique de modèle en un véritable enjeu de résilience opérationnelle, capable de retarder une investigation critique au moment où chaque heure compte. Cet incident illustre aussi une angle mort commun aux équipes de sécurité : les données qui alimentent les pipelines sont généralement traitées comme des entrées de confiance plutôt que comme une surface d'attaque à part entière, ce qui a permis à ce jeu de données piégé de passer inaperçu. Le fait que le cadre attaquant semble avoir été construit à partir d'un outil de recherche en sécurité agentique, normalement destiné aux exercices d'équipe rouge, ajoute une dimension préoccupante : des outils conçus pour tester la sécurité peuvent être détournés pour mener une intrusion réelle. Faute de pouvoir s'appuyer sur les modèles frontières commerciaux, les enquêteurs de Hugging Face ont dû reconstituer plus de 17 000 événements à l'aide de leurs propres agents d'analyse pilotés par IA, l'analyse forensique aboutissant finalement grâce à un autre modèle, GLM. À mesure que les agents autonomes gagnent en autonomie et en capacité d'action sur les infrastructures critiques, cet épisode pourrait pousser les fournisseurs de modèles et les équipes de sécurité à repenser conjointement la manière de distinguer, en temps réel, une requête défensive légitime d'une tentative malveillante.