Cybersécurité : quand les agents IA accélèrent les attaques et mémorisent le danger

Une page web, un document partagé, un ancien compte rendu : pour un agent IA, chacun de ces contenus peut alimenter une décision. Le danger apparaît lorsqu’une information extérieure est interprétée comme une consigne, puis conservée pour guider les actions suivantes. La cybersécurité doit alors protéger les données, les accès et la manière dont les systèmes réutilisent ce qu’ils ont lu.

Deux phénomènes se croisent. Des attaquants emploient des agents pour accélérer leurs opérations. Parallèlement, les agents déployés par les entreprises peuvent eux-mêmes être manipulés. Les confondre sous l’expression « essaims autonomes » masque des mécanismes distincts, qui appellent des réponses différentes.

L’industrialisation des attaques, au-delà des nouvelles failles

Dans son rapport de septembre 2026, Anthropic décrit des opérations observées entre décembre 2025 et août 2026 dans lesquelles l’IA intervient dans l’exécution ou la coordination de tâches offensives. L’entreprise rapporte l’usage de dispositifs multi-agents et souligne que des humains continuent de fixer les cibles et de superviser certaines étapes. Ces observations proviennent du fournisseur lui-même ; elles ne constituent pas une mesure exhaustive de la cybercriminalité mondiale.

Le changement tient notamment à l’organisation du travail : plusieurs agents peuvent se répartir des tâches et réduire certains délais. Une vulnérabilité déjà connue mais non corrigée conserve ainsi toute sa valeur pour un attaquant. Le risque n’exige pas systématiquement l’invention d’une faille inédite. Cela ne signifie pas que l’IA serait incapable de contribuer à la recherche de nouvelles vulnérabilités.

Le mot « essaim » décrit ici une coordination de logiciels. Il ne prouve ni une intelligence collective incontrôlable, ni la capacité universelle d’attaquer des centaines de cibles à coût négligeable. Les ressources, les outils, les autorisations disponibles et les erreurs des modèles restent déterminants.

Autre distinction : adapter une tentative après un échec n’est pas nécessairement de l’apprentissage par renforcement. Un agent peut simplement réviser son plan dans une boucle d’exécution, sans modifier les paramètres du modèle. La méthode d’apprentissage doit être documentée avant d’employer cette expression.

Quand la mémoire conserve une mauvaise consigne

La mémoire persistante permet à un assistant de retrouver une préférence ou le contexte d’une mission. Mais que se passe-t-il lorsqu’il enregistre comme règle une instruction provenant d’une source non fiable ?

L’étude « Poison Once, Exploit Forever », déposée sur arXiv en avril 2026, examine cette possibilité sur des agents web. Les chercheurs décrivent une contamination introduite par l’environnement consulté, sans accès direct à la mémoire. Dans leurs expériences, son influence peut réapparaître lors de tâches ultérieures et sur d’autres sites.

Il s’agit de résultats expérimentaux, dépendants des agents et des environnements évalués. Ils ne démontrent pas que tous les assistants seraient vulnérables de la même manière, ni qu’une contamination serait irréversible.

L’expression « contamination héréditaire » peut aider à imaginer la persistance. Elle reste une métaphore : une consigne ne se transmet pas magiquement. Il faut qu’elle soit enregistrée, récupérée ou partagée, puis qu’un système lui accorde assez de poids pour influencer son comportement.

Les « virus mentaux » ne sont pas une maladie des machines

Les agents n’ont pas besoin d’avoir une conscience pour reproduire un texte dangereux. Le problème est technique : une application peut prendre une instruction contenue dans un document pour une instruction qu’elle doit exécuter.

Le travail Morris-II, présenté en 2024 puis révisé en 2025, a démontré une propagation d’instructions auto-réplicantes entre applications d’IA générative dans un environnement expérimental d’assistants de messagerie. Les auteurs étudient notamment des chaînes d’injections indirectes et de compromission de données.

Cette preuve de concept justifie de surveiller les échanges entre systèmes. Elle ne suffit pas à annoncer une épidémie généralisée. Quant à l’idée d’un agent convaincu « par obstination », elle doit être reliée à un protocole précis pour devenir une affirmation scientifique vérifiable.

Penser la propagation sans abandonner les protections classiques

L’analogie épidémiologique offre une grille de lecture utile : repérer une entrée contaminée, limiter les échanges à risque et empêcher qu’une erreur locale se diffuse. Mais elle complète la cybersécurité existante. Les correctifs, l’authentification, les sauvegardes et la séparation des environnements restent indispensables.

Microsoft recommande de gouverner la mémoire comme un élément sensible du système : contrôler les écritures, conserver la provenance des informations, suivre les changements et permettre un retour à une version saine. La séparation des mémoires entre agents et entre utilisateurs peut également limiter la propagation.

Une observation mémorisée ne devrait donc pas devenir, à elle seule, une autorisation. Qu’un agent ait retenu une habitude de travail ne lui donne pas le droit d’envoyer des fichiers, de modifier des accès ou d’engager une dépense. Ces décisions doivent rester soumises à des règles d’autorisation distinctes de son texte de travail.

Pour les organisations, définir le pouvoir avant de déléguer

Prenons un exemple fictif : un agent aide une PME à traiter ses demandes clients. Il consulte des messages externes et prépare des réponses. Lui donner également accès à l’ensemble des dossiers internes et la possibilité de partager librement des documents augmenterait les conséquences d’une instruction mal interprétée.

L’enjeu de gouvernance est concret : préciser ce que l’agent peut lire, ce qu’il peut conserver, ce qu’il peut transmettre et ce qui exige une validation. Prévoir un arrêt et une restauration de sa mémoire compte autant que mesurer sa productivité.

La question centrale devient alors : quelle action un contenu non fiable pourrait-il déclencher ? C’est à cette frontière entre lecture, mémoire et pouvoir d’agir que se joue une part de la sécurité des agents.

Sources et méthode

Article élaboré à partir du sujet et du résumé vidéo transmis à la rédaction, puis recoupé avec les sources ci-dessous. Le lien de la vidéo n’a pas été fourni : son auteur, ses citations et ses repères temporels n’ont pas pu être vérifiés directement. Les observations de fournisseurs et les résultats expérimentaux sont présentés comme tels.

Anthropic — Detecting and countering misuse of AI, septembre 2026

Zou et collaborateurs — Poison Once, Exploit Forever, arXiv, avril 2026

Cohen, Bitton et Nassi — Here Comes The AI Worm, arXiv, 2024, révision 2025

Microsoft Learn — AI Memory / Context Poisoning, mécanismes et contrôles recommandés