Les agents autonomes restent faciles à détourner : les chercheurs alertent

D’après plusieurs chercheurs en cybersécurité, une nouvelle vague d’attaques cible depuis quelques jours des agents numériques capables de lire des messages, de parcourir le web et d’agir à la place d’un utilisateur. Dans certains cas, un simple e-mailsuffit à faire dérailler ces outils : ils peuvent alors divulguer des informations sensibles, envoyer des messages ou suivre de fausses consignes.

Le mécanisme, lui, est assez simple. L’attaquant glisse des instructions cachées dans un contenu que l’agent a des chances de consulter : un texte écrit en très petit, des éléments invisibles sur une page, un commentaire dans un document partagé, ou encore un message tourné de façon à ressembler à une demande parfaitement légitime.

À partir du moment où il est exposé à ce contenu, l’agent peut le traiter comme prioritaire et passer à côté de l’intention réelle de son propriétaire. Dans les démonstrations publiées ces derniers jours par ces chercheurs en cybersécurité, les scénarios changent, mais l’issue se ressemble souvent : extraction d’informations, exécution d’actions non prévues ou réponses manipulées.

Certains tests menés par des spécialistes montrent qu’un agent connecté à une boîte mail, à un agenda ou à des fichiers internes peut être amené à résumer un contenu malveillant comme s’il était digne de confiance, voire à transmettre des données à la mauvaise personne. On n’est donc pas face à un risque purement théorique.

Et plus ces assistants sont branchés à des services concrets, messagerie, documents, achats, relation client, outils professionnels, plus la surface d’attaque s’ouvre. Un chatbot isolé peut au pire se tromper dans une réponse. Un agent connecté, lui, peut faire quelque chose de tangible.

C’est d’ailleurs là que se trouve toute la promesse de ces outils : automatiser des tâches comme lire, décider, cliquer, envoyer, réserver ou classer. C’est aussi ce qui les rend si vulnérables quand quelqu’un sait comment les tromper.

Dès qu’un système dispose de vraies autorisations, la moindre erreur d’interprétation peut produire des effets très concrets. Les experts en sécurité reviennent sur trois problèmes en particulier : la difficulté à faire la différence entre une instruction légitime et une consigne dissimulée dans un contenu externe, des accès parfois beaucoup trop larges accordés par défaut à certains agents, et l’absence de garde-fous solides avant l’exécution d’actions importantes.

Le plus troublant, c’est que le risque ne vient pas seulement du modèle lui-même. Il vient aussi du moment où on lui met des clés entre les mains : boîtes mail et répertoires internes, outils de paiement, tableaux de bord ou applications métier. Pour les particuliers comme pour les entreprises, le message des chercheurs en cybersécurité est limpide : réduire les droits, séparer les usages et imposer une validation humaine dès qu’une action devient sensible.

Un agent ne devrait pas pouvoir envoyer un e-mail vers l’extérieur, partager un document ou lancer une transaction sans confirmation explicite. Les chercheurs recommandent aussi d’isoler les contenus non fiables, de conserver une trace de toutes les actions et de tester ces agents comme on testerait n’importe quel logiciel exposé à Internet.

Autrement dit, il faut les regarder pour ce qu’ils sont : des systèmes puissants, oui, mais encore très naïfs face à des manipulations bien construites. L’enthousiasme autour des agents autonomes, lui, n’a pas disparu. Raison de plus pour garder la tête froide.