Depuis l’arrivée des chatbots grand public, les débats sur la sécurité de l’IA se concentrent sur l’injection de prompt, cette technique qui consiste à glisser des instructions dans un contenu que le modèle lit ensuite. Deux chercheurs de Check Point soutiennent que l’industrie fixe la mauvaise couche. Dans une étude menée sur un an et présentée à Black Hat USA le 5 août, Yarden Porat et Shahar Tal ont divulgué 11 vulnérabilités dans les frameworks que les entreprises utilisent pour connecter leurs agents IA à leurs systèmes, et leur conclusion centrale est que les dégâts se produisent dans les frameworks eux-mêmes, et non dans les modèles qu’ils contiennent.
Les logiciels concernés couvrent l’essentiel des outils d’agents les plus populaires : LangChain et son équivalent orienté graphe, LangGraph, CrewAI, AutoGen, l’Agent Framework de Microsoft, l’Agent Development Kit de Google et Semantic Kernel. Les chercheurs ont trouvé une logique exploitable dans les composants qui font des agents ce qu’ils sont, à savoir les mémoires, les boucles de planification, les couches de sérialisation et la logique d’orchestration. Dans plusieurs cas, un contenu contrôlé par l’attaquant a pu franchir la frontière entre le plan des données et la logique de framework de confiance, influençant la manière dont l’agent gère son état, achemine le travail et applique les instructions système.
L’aspect le plus frappant de cette recherche est le peu de nouveauté qu’elle contient. Les vulnérabilités relevaient de classes de bogues anciennes et bien connues : la désérialisation non sécurisée, la falsification de requête côté serveur (server-side request forgery), la traversée de répertoire (path traversal) et l’utilisation après libération (use-after-free). Ce sont le genre de failles que l’industrie a appris à corriger il y a deux décennies, désormais logées sous des systèmes qui lisent les boîtes de réception et mettent à jour des bases de données. Comme les attaques opèrent à l’intérieur des mécanismes internes du framework, un agent n’a pas besoin d’outils dangereux pour que l’attaquant en tire profit ; dans un scénario décrit par les chercheurs, un seul document hostile rencontré par un agent a suffi à le compromettre.
Deux études de cas illustrent le schéma. Dans l’Agent Framework de Microsoft, les chercheurs ont découvert une faille critique de désérialisation dans les checkpoints des agents, les instantanés sérialisés qui enregistrent l’état d’un agent et la progression de ses tâches. Microsoft a versé une prime de 10 000 dollars et corrigé la faille ; aucun CVE n’a été attribué, le framework n’étant pas encore en disponibilité générale. Dans l’attaque qu’ils ont démontrée, une charge utile placée dans le message d’une personne s’est déclenchée lorsqu’un autre utilisateur a rembobiné sa propre session, offrant à l’attaquant un shell sur le serveur.
L’Agent Development Kit de Google a débouché sur une issue plus confuse. Un assistant de développement intégré, capable d’écrire des fichiers, est resté accessible via l’API HTTP du kit alors même qu’il était masqué dans la liste des applications, et l’API ne comporte aucune authentification par défaut. Un déploiement effectué avec la commande cloud du kit expose la même API, ce qui signifie qu’un déploiement Cloud Run standard peut être atteint sans identifiants, remettant à l’attaquant les clés API de l’environnement d’exécution et son compte de service cloud. Google a d’abord classé le problème comme n’étant pas un bogue ; il a ensuite versé 3 133,70 dollars et publié une correction partielle seulement, là encore sans CVE.
Sur l’ensemble de ces divulgations, les chercheurs ont collecté 17 133,70 dollars de primes. Ils se sont attachés à souligner qu’aucun éditeur ne faisait figure d’exception : les mêmes classes de bogues sont apparues dans tous les frameworks, ce qui renvoie à un problème systémique plutôt qu’à un défaut corrigeable propre à un éditeur. Environ un tiers du programme Black Hat de cette année était consacré à la sécurité de l’IA, signe que la pile d’agents est devenue une surface d’attaque de premier plan. Le conseil pratique à l’attention des défenseurs est de considérer l’injection de prompt comme une certitude et de concevoir l’architecture des agents de manière que le contenu contrôlé par le prompt reste isolé de la logique de confiance qui gère l’état, l’acheminement et l’orchestration, plutôt que de chercher à éliminer entièrement l’injection.
Traduit par Lydie
Sources : Prompt injection isn’t the bug, AI agent frameworks are (The Register, 5 août 2026); Black Hat Day 1 Briefings Reveal the Agent Stack Is the Attack Surface (Forkast, 5 août 2026); Black Hat USA 2026, No Tools Required: Post-Injection Exploitation Across AI Agent Frameworks (Black Hat Events, 5 août 2026)