Risques de sécurité des agents IA : 94 % des LLMs vulnérables aux attaques

Une étude de l’Université de Calabre révèle une réalité inquiétante : 94,1 % des grands modèles de langage (LLMs) populaires présentent des vulnérabilités de sécurité exploitables lorsqu’ils sont déployés comme agents IA avec accès au système. Pour les organisations qui adoptent rapidement les technologies d’IA, cette recherche va bien au-delà d’une simple préoccupation académique : elle met en lumière un risque métier critique qui exige une attention immédiate. Alors que les entreprises accélèrent l’intégration d’agents IA pour gagner en productivité, elles créent sans le vouloir des vecteurs d’attaque sophistiqués que les acteurs malveillants sont déjà prêts à exploiter.

Comprendre l’étude : ce qui a été testé et pourquoi c’est important

Des chercheurs de l’Université de Calabre et de l’IMT School for Advanced Studies ont mené la première évaluation de sécurité approfondie des agents LLM en tant que vecteurs d’attaque potentiels. Contrairement aux chatbots classiques qui se contentent de générer des réponses textuelles, les agents LLM disposent de fonctions autonomes pour exécuter des commandes, accéder aux terminaux système, extraire des informations de bases de connaissances et communiquer avec d’autres agents.

L’étude a évalué 17 LLM de pointe — dont GPT-4o, Claude-4 et Gemini-2.5 — selon trois méthodologies d’attaque distinctes. Les résultats révèlent une hiérarchie de vulnérabilité alarmante : un seul modèle (Claude-4-Sonnet) a résisté à tous les vecteurs d’attaque, soit seulement 5,9 % de taux de réussite en matière de sécurité.

Cette recherche marque un changement de paradigme dans la sécurité de l’IA. Les études précédentes se concentraient principalement sur la manipulation de contenu et l’injection de prompts pour les sorties textuelles. Cette enquête démontre que des agents IA dotés d’un accès système peuvent être utilisés comme armes pour prendre le contrôle total d’un ordinateur tout en conservant une apparence de fonctionnement normal. Consultez l’étude complète pour les détails techniques.

Les implications dépassent les vulnérabilités théoriques. Plus de 70 % des déploiements IA en entreprise devraient impliquer des systèmes multi-agents ou orientés actions d’ici mi-2025. Les organisations accélèrent donc l’adoption de technologies dont les cadres de sécurité restent fondamentalement défaillants.

Résumé des points clés

1. 94 % d’échec sur les modèles IA populaires Un seul LLM sur 17 testés (Claude-4-Sonnet) a résisté à tous les vecteurs d’attaque, révélant que même les principales plateformes IA d’OpenAI, Google et Anthropic comportent des vulnérabilités exploitables lorsqu’elles sont déployées comme agents avec accès système. Les organisations ne peuvent pas supposer que les solutions IA populaires et bien financées offrent des mesures de sécurité adéquates.
2. La confiance entre agents, maillon faible 82,4 % des modèles IA exécutent des commandes malveillantes lorsqu’elles proviennent d’agents pairs — même ceux qui bloquent ces mêmes commandes émises par des utilisateurs humains. Cette vulnérabilité d’« élévation de privilèges entre agents IA » met en évidence une faille fondamentale des architectures multi-agents : les mécanismes de sécurité actuels considèrent la communication IA-à-IA comme intrinsèquement fiable, créant le vecteur d’attaque le plus dangereux pour les déploiements en entreprise.
3. Les systèmes RAG ouvrent des surfaces d’attaque cachées Les systèmes Retrieval-Augmented Generation (RAG), désormais standards dans les déploiements IA d’entreprise, peuvent être compromis via des documents empoisonnés dans les bases de connaissances. Avec un taux de vulnérabilité de 52,9 %, les attaques par backdoor RAG exploitent le « biais d’autorité documentaire » : les agents IA font confiance aux informations récupérées sans appliquer la même vigilance que pour les entrées humaines. Un seul document malveillant peut transformer toute votre infrastructure IA en vecteur d’attaque.
4. Des attaques silencieuses pendant le fonctionnement normal Les agents IA compromis installent des malwares, établissent des connexions distantes et exécutent des commandes non autorisées tout en continuant à remplir leurs tâches légitimes, sans aucun signe visible de compromission. Les utilisateurs reçoivent les résultats attendus — résumés de documents, analyses de données, tâches accomplies — tandis que des backdoors sont déployées en parallèle. Cette capacité furtive rend les attaques d’agents IA particulièrement dangereuses et difficiles à détecter avec les outils de sécurité traditionnels.
5. La gouvernance des données IA est incontournable Les organisations qui déploient l’IA sans cadre de gouvernance adapté créent d’immenses surfaces d’attaque et exposent des données réglementées sensibles. La solution n’est pas d’abandonner l’IA, mais d’appliquer un contrôle strict des accès, des passerelles IA sécurisées, des journaux d’audit détaillés et des architectures zéro trust qui vérifient chaque interaction. Avec 70 % des déploiements IA d’entreprise qui impliqueront des systèmes multi-agents d’ici mi-2025, il faut mettre en place ces cadres de gouvernance dès maintenant, et non après une violation.

Explication des trois vecteurs d’attaque

Injection directe de prompt : la porte d’entrée

L’injection directe de prompt consiste à intégrer des commandes malveillantes dans le texte fourni par l’utilisateur et traité par les agents IA. Beaucoup d’organisations pensent que les LLM modernes disposent de défenses robustes contre ce type d’attaque, mais la recherche montre que 41,2 % des modèles testés restent vulnérables.

Le constat le plus préoccupant : trois modèles ont exécuté des commandes malveillantes alors même que leur raisonnement avait identifié ces instructions comme dangereuses. Pourquoi ? Leurs prompts système privilégiaient l’exécution des tâches et l’efficacité, au détriment de la sécurité. Cela révèle une tension fondamentale dans la conception des agents IA : les mêmes fonctions qui les rendent utiles (autonomie, accomplissement des tâches) créent des failles de sécurité.

Les organisations qui déploient des agents IA sous-estiment souvent les risques d’injection directe de prompt, pensant que la formation à la sécurité et les filtres de contenu suffisent à les protéger. Cette étude prouve que cette hypothèse est dangereusement fausse.

Attaques par backdoor RAG : empoisonner la source de connaissance

Les systèmes Retrieval-Augmented Generation (RAG) renforcent les capacités des LLM en récupérant des informations pertinentes depuis des bases de connaissances externes. Cette architecture est devenue la norme pour les déploiements IA en entreprise, permettant aux agents d’accéder à des documents propriétaires, bases de données et référentiels d’informations.

Les attaques par backdoor RAG exploitent la relation de confiance entre les LLM et leurs sources de connaissance. Les attaquants injectent des instructions malveillantes dans des documents de la base de connaissances, en utilisant des techniques comme du texte blanc sur fond blanc ou des polices microscopiques. Lorsque l’agent récupère ce contenu lors d’opérations normales, il traite les commandes intégrées comme des informations légitimes.

La recherche a mis en évidence un taux de vulnérabilité de 52,9 % pour les attaques par backdoor RAG — bien supérieur à celui de l’injection directe de prompt. Plus inquiétant encore, plusieurs modèles ayant résisté aux attaques directes ont été compromis via l’exploitation RAG. Cela met en lumière ce que les chercheurs appellent le « biais d’autorité documentaire » : les LLM considèrent les informations récupérées comme fiables, contournant les mécanismes de sécurité appliqués aux entrées utilisateur.

Pour les organisations qui construisent des systèmes IA RAG avec accès à des données propriétaires sensibles, il s’agit d’une faille de sécurité majeure. Un seul document empoisonné dans la base de connaissances peut transformer votre assistant IA en vecteur d’attaque.

Exploitation de la confiance entre agents : le point de rupture

Les systèmes multi-agents — où plusieurs agents IA communiquent et se coordonnent pour accomplir des tâches complexes — représentent la nouvelle frontière du déploiement IA en entreprise. Ces architectures permettent des workflows sophistiqués en répartissant les tâches entre agents spécialisés.

La recherche a révélé que l’exploitation de la confiance entre agents est la vulnérabilité la plus dangereuse, avec un taux de compromission de 82,4 %. Les modèles ayant résisté à l’injection directe et aux attaques RAG ont immédiatement cédé lorsque les requêtes malveillantes venaient d’agents pairs.

Ce phénomène — appelé « élévation de privilèges entre agents IA » — met en évidence une faille fondamentale des architectures de sécurité multi-agents actuelles. Les LLM appliquent des politiques de sécurité beaucoup plus laxistes à la communication IA-à-IA qu’aux interactions humain-IA. L’hypothèse implicite selon laquelle les agents pairs sont fiables crée une immense zone aveugle.

Des modèles comme Llama3.3:70b et Llama4:16x17b ont montré des défenses robustes contre les attaques d’origine humaine, mais ont exécuté des charges malveillantes identiques lorsqu’elles étaient demandées par un autre agent. Les mécanismes de sécurité ne s’activaient tout simplement pas pour la communication entre agents.

Impact réel : de la vulnérabilité à la compromission

Il ne s’agit pas de préoccupations théoriques. Les chercheurs ont démontré la prise de contrôle totale d’un ordinateur à l’aide de charges utiles Meterpreter basées sur des shells inversés qui :

• Installent des malwares fonctionnant entièrement en mémoire, échappant ainsi aux systèmes de détection sur disque
• Établissent des connexions distantes persistantes vers des serveurs contrôlés par l’attaquant
• Exécutent des commandes arbitraires sur les machines victimes à l’insu des utilisateurs
• Maintiennent l’accès pendant que l’agent poursuit ses opérations normales

L’attaque réussit pendant que les utilisateurs interagissent avec l’agent pour des tâches légitimes. Vous demandez un résumé de document ; l’agent le génère et installe une backdoor. Aucun message d’erreur, aucune baisse de performance, aucun signe visible de compromission.

Deux catégories particulièrement exposées :

• Utilisateurs individuels : Toute personne téléchargeant des implémentations open source d’agents IA depuis des plateformes comme GitHub. Ces utilisateurs interagissent en toute bonne foi, sans savoir que le traitement de certains documents ou requêtes spécifiques peut déclencher un comportement malveillant caché. La démocratisation de l’IA entraîne celle de la vulnérabilité.
• Organisations : Entreprises intégrant des agents IA dans leurs opérations, notamment celles utilisant des systèmes RAG permettant le dépôt de documents par les utilisateurs. Un agent compromis, non isolé correctement, offre aux attaquants des possibilités de déplacement latéral dans les réseaux internes. Un seul document empoisonné dans la base de connaissances transforme l’infrastructure IA en menace interne.

Les secteurs des services financiers, de la santé et du juridique — qui traitent des données réglementées hautement sensibles et adoptent rapidement les agents IA — sont particulièrement exposés. Une fuite de données causée par des agents IA compromis peut entraîner des sanctions réglementaires, des frais de contentieux, une atteinte à la réputation et un désavantage concurrentiel.

Pourquoi les défenses actuelles en sécurité IA échouent

La recherche met en lumière des failles critiques dans l’approche de la sécurité IA :

• Modèles de sécurité centrés sur l’humain : La formation à la sécurité se concentre presque exclusivement sur les interactions humain-IA. Les organisations qui déploient des systèmes multi-agents découvrent trop tard que leurs cadres de sécurité ne couvrent pas la communication IA-à-IA, là où résident de nombreuses vulnérabilités.
• Confiance mal placée dans les données externes : Les systèmes RAG considèrent par défaut les informations récupérées comme factuelles et fiables. Le contenu des bases de connaissances est peu scruté par rapport aux entrées utilisateur. Ce « biais d’autorité documentaire » crée des angles morts exploitables.
• Protection dépendante du contexte : Les modèles présentent des comportements de sécurité très incohérents selon le vecteur d’attaque. Un système qui bloque avec succès des prompts malveillants directs peut exécuter des commandes identiques transmises via RAG ou par des requêtes d’agents pairs. La sécurité n’est pas globale, elle dépend du contexte.
• Hiérarchie des vulnérabilités : La recherche établit un gradient clair montrant que les défenses s’affaiblissent à mesure que les attaques gagnent en sophistication : injection directe de prompt (41,2 % de réussite) < attaques backdoor RAG (52,9 %) < exploitation de la confiance entre agents (82,4 %).
• Pression du déploiement rapide : Les organisations qui déploient l’IA privilégient la fonctionnalité à la sécurité. Le mantra « avancer vite et casser des choses » appliqué à des systèmes IA avec accès système a des conséquences prévisibles — et dangereuses.

Comme le souligne Crystal Morin, senior cybersecurity strategist chez Sysdig, dans son analyse des menaces IA malveillantes : « La cybersécurité a toujours été une course aux armements, et l’IA vient d’en relever les enjeux. » Les cadres de sécurité traditionnels conçus pour des systèmes statiques sont obsolètes à l’ère des agents IA autonomes.

Solution Kiteworks : gouverner l’accès aux données IA

Cette étude valide des préoccupations majeures sur l’adoption incontrôlée de l’IA. Les organisations qui déploient des agents IA sans cadre de gouvernance adéquat créent d’immenses surfaces d’attaque et exposent des informations sensibles à des systèmes non sécurisés.

Lacune dans la gouvernance des données IA

La plupart des organisations manquent de visibilité sur :

• Les outils IA utilisés par les collaborateurs pour traiter les données professionnelles
• Les informations sensibles qui alimentent les LLM publics
• La présence éventuelle de données propriétaires dans les jeux d’entraînement IA
• Les moyens d’éviter une exposition accidentelle des données via les interactions IA
• La conformité des systèmes IA aux exigences réglementaires

Cette lacune existe parce que les outils de sécurité des données traditionnels n’ont pas été conçus pour les menaces de l’ère IA. La sécurité périmétrique, le chiffrement et le contrôle d’accès protègent les données au repos et en transit — mais pas celles activement traitées par des agents IA potentiellement compromis.

Approche Réseau de données privé Kiteworks

La plateforme Kiteworks répond aux vulnérabilités IA via un cadre de gouvernance structuré :

• Contrôle des accès aux données : Le Réseau de données privé empêche les données sensibles de circuler vers des LLM publics ou des systèmes IA non sécurisés. Les organisations gardent la main sur les informations accessibles aux agents IA, évitant l’exposition de données réglementées telles que les informations médicales protégées HIPAA, les données personnelles RGPD ou les données techniques contrôlées ITAR.
• Passerelle de données IA : Propose des voies sécurisées et conformes pour innover avec l’IA sans exposer d’informations sensibles. Les organisations bénéficient des fonctions IA tout en préservant la souveraineté des données et la conformité réglementaire. La passerelle agit comme un intermédiaire sécurisé, autorisant les fonctions IA tout en appliquant les règles de protection des données.
• Cadre de gouvernance avancé : Le contrôle d’accès basé sur les rôles (RBAC) et sur les attributs (ABAC) empêche l’ingestion non autorisée de données dans les systèmes IA. Les organisations définissent des règles granulaires précisant quelles catégories de données, types de documents et classifications d’informations les agents IA peuvent consulter selon le rôle utilisateur, la sensibilité des données et le contexte métier.
• Journaux d’audit détaillés : Chaque accès aux données — y compris les requêtes des systèmes IA — génère des logs d’audit détaillés indiquant précisément quelles informations ont été consultées, par quels systèmes, dans quel but et avec quel résultat. Cette visibilité permet de détecter les comportements IA anormaux, d’enquêter sur d’éventuelles compromissions et de prouver la conformité réglementaire.
• Architecture zéro trust : La plateforme vérifie chaque point d’accès, éliminant les hypothèses de confiance implicite qui créent des vulnérabilités. Cela répond directement à la faille d’exploitation de la confiance entre agents — aucun système, y compris les agents IA, n’obtient d’accès privilégié sans authentification et autorisation.
• Capacités d’intégration : Kiteworks s’intègre à l’infrastructure de sécurité existante, notamment les systèmes SIEM, les outils de prévention des pertes de données et les plateformes de gestion des identités. Les organisations peuvent ainsi intégrer la gouvernance des données IA à l’ensemble de leurs opérations de sécurité, sans créer de contrôles isolés.

Actions à mener pour les organisations

Évaluation immédiate des risques :

1. Recensez tous les outils et agents IA actuellement déployés ou en phase pilote
2. Identifiez les systèmes disposant d’un accès terminal ou de droits système
3. Répertoriez les données sensibles accessibles par ces systèmes
4. Évaluez si vos bases de connaissances RAG pourraient contenir des documents empoisonnés
5. Analysez vos architectures multi-agents pour détecter les failles d’exploitation de la confiance

Questions critiques à se poser :

• Avez-vous une visibilité sur l’utilisation des outils IA par les collaborateurs ?
• Pouvez-vous empêcher le partage de données sensibles avec des LLM publics ?
• Disposez-vous de cadres de gouvernance pour l’accès aux données IA ?
• Pouvez-vous auditer et contrôler les flux de données vers les systèmes IA ?
• Vos déploiements IA sont-ils correctement isolés des environnements de production ?
• Les contrats fournisseurs intègrent-ils des exigences de sécurité spécifiques à l’IA ?

Construire un cadre de sécurité IA :

1. Mettez en place des politiques de classification des données pour restreindre l’accès IA aux informations sensibles
2. Déployez des passerelles de données IA entre les systèmes IA et les référentiels de données
3. Établissez des workflows d’approbation pour l’adoption d’outils IA
4. Rendez obligatoires les évaluations de sécurité pour chaque agent IA avant déploiement
5. Créez des procédures de réponse aux incidents spécifiquement pour les violations liées à l’IA
6. Formez les collaborateurs aux risques de sécurité IA et aux bonnes pratiques d’utilisation

Les organisations qui mettent en œuvre ces cadres de gouvernance peuvent innover avec l’IA tout en maîtrisant les risques de sécurité. Celles qui déploient sans contrôle s’exposent aux vulnérabilités que cette recherche a clairement démontrées.

Conclusion : concilier innovation et sécurité

L’étude de l’Université de Calabre délivre un message sans équivoque : la sécurité des agents IA actuels est fondamentalement insuffisante. Avec 94,1 % des modèles testés présentant des vulnérabilités exploitables, les organisations ne peuvent pas supposer que les plateformes IA populaires et bien financées ont résolu ces problèmes.

Les conséquences sont particulièrement graves pour les secteurs réglementés manipulant des données sensibles. Un agent IA compromis ayant accès à des dossiers financiers clients, des informations médicales protégées ou de la propriété intellectuelle expose l’organisation à des risques qui dépassent la simple technologie : conformité réglementaire, responsabilité fiduciaire, positionnement concurrentiel.

La bonne réponse n’est pas d’abandonner l’IA, mais de mettre en place des cadres de gouvernance qui permettent d’innover tout en gérant les risques. Le Réseau de données privé Kiteworks offre aux organisations la visibilité, le contrôle et les fonctions d’audit nécessaires pour déployer des agents IA en toute sécurité.

L’IA redéfinit la cybersécurité. Les organisations qui prennent la mesure de ces menaces et mettent en place des cadres de gouvernance des données gagneront un avantage concurrentiel grâce à une adoption sûre de l’IA. Celles qui ignorent ces alertes apprendront à leurs dépens lorsque leurs assistants IA deviendront des vecteurs d’attaque.

Agissez dès maintenant : évaluez la posture de sécurité IA de votre organisation, mettez en place des contrôles de gouvernance des données et créez des voies sécurisées pour l’innovation IA. La recherche est claire : les vulnérabilités existent, elles sont activement exploitées, et la sécurité de vos données dépend de votre capacité à les traiter avant que les acteurs malveillants ne le fassent.

Pour les détails techniques de l’étude de l’Université de Calabre — méthodologie, modèles testés, scénarios d’attaque — consultez l’article complet : « The Dark Side of LLMs: Agent-based Attacks for Complete Computer Takeover » sur arXiv.