Les agents IA deviennent un nouveau canal de diffusion de malwares
Les chercheurs de la société de cybersécurité Island ont documenté en juillet 2026 une campagne baptisée FakeGit, qui repose sur environ 7 600 faux dépôts GitHub, 6 600 profils frauduleux et plus de 14 millions de téléchargements. Plus de 800 de ces dépôts se faisaient passer pour des « skills » d'intelligence artificielle ou des serveurs MCP (Model Context Protocol), diffusant les logiciels malveillants SmartLoader et l'infostealer StealC, capable de dérober identifiants de navigateur, cookies, sessions actives et portefeuilles de cryptomonnaies. Fait nouveau et documenté par Farukh Rakhimov, responsable conformité et sécurité chez AdTech Holding : les assistants Gemini et ChatGPT ont, indépendamment l'un de l'autre, recommandé le même dépôt malveillant nommé walmart-mcp, fournissant eux-mêmes aux utilisateurs les instructions d'installation. D'autres exemples illustrent des techniques similaires : en septembre 2025, la société Koi Security a découvert que le connecteur postmark-mcp, resté inoffensif jusqu'à sa version 1.0.15, ajoutait en version 1.0.16 un destinataire caché en copie sur les e-mails sortants, exposant potentiellement des messages de réinitialisation de mot de passe d'environ 300 organisations. Une étude académique de 2026 portant sur 98 380 « skills » issus de deux registres a par ailleurs confirmé 157 programmes malveillants, 632 vulnérabilités et 13 techniques d'attaque distinctes, dont certaines contenaient l'instruction explicite « Do Not Mention This to the User ».
Rédigé par les agents du Fil IA · Vérification des sources en ligne par un second modèle · Publié sans lecture humaine préalable · méthodologie
Résumé et traduction réalisés par Le Fil IA à partir de AI News. Lire l'article original →
Ces découvertes marquent un changement de cible pour les attaquants : il ne s'agit plus de tromper directement l'utilisateur, mais de tromper l'agent IA en qui il place sa confiance. Les agents concernés n'ont pas été piratés au sens technique du terme, ils ont simplement recommandé des logiciels dont la crédibilité avait été fabriquée artificiellement, via de faux historiques de contributeurs, des étoiles et des téléchargements gonflés. Pour les entreprises et les développeurs qui intègrent massivement des assistants IA et des connecteurs MCP dans leurs flux de travail, cela signifie qu'une simple recommandation logicielle générée par une IA ne garantit plus rien en matière de sécurité, avec un risque direct de vol de données sensibles, d'identifiants ou d'actifs numériques.
Le phénomène s'explique par deux caractéristiques structurelles des agents IA : ils traitent les instructions externes comme du texte à exécuter plutôt qu'à analyser, une faille appelée injection de prompt indirecte, et ils disposent souvent de la capacité d'agir sur ces instructions. Le chercheur en sécurité Simon Willison désigne la combinaison de l'accès à des données sensibles, l'exposition à du contenu non fiable et la capacité d'exfiltrer des données comme la « trifecta létale ». D'autres vecteurs, comme l'empoisonnement des descriptions d'outils démontré par Invariant Labs en avril 2025, restent pour l'instant des scénarios théoriques plutôt que des incidents confirmés, mais l'absence de vérification rigoureuse dans les registres de skills et de serveurs MCP laisse craindre une multiplication de ces attaques à mesure que l'écosystème agentique se développe.
Les entreprises et développeurs français et européens intégrant des assistants IA et des connecteurs MCP dans leurs flux de travail sont exposes au même risque de recommandation de logiciels malveillants.