4 min de lecture<\/p>\n
Les agents d\u2019IA agissent de mani\u00e8re autonome : ils appellent des API, \u00e9crivent dans des bases de donn\u00e9es, envoient des e-mails et prennent des d\u00e9cisions sans validation humaine. Selon Gartner, d\u2019ici fin 2026, plus de 40 % des applications d\u2019entreprise int\u00e9greront de tels agents. En parall\u00e8le, 68 % des organisations ne disposent pas de contr\u00f4les de s\u00e9curit\u00e9 d\u2019identit\u00e9 pour leurs syst\u00e8mes d\u2019IA (CyberArk 2025). Les attaquants l\u2019ont bien compris : EchoLeak, une vuln\u00e9rabilit\u00e9 Zero-Click dans Microsoft 365 Copilot avec un score CVSS de 9,3, n\u00e9cessitait uniquement l\u2019envoi d\u2019un e-mail pour acc\u00e9der \u00e0 toutes les sources de donn\u00e9es connect\u00e9es.<\/strong><\/p>\n Les LLM classiques sont des syst\u00e8mes de type question-r\u00e9ponse. Ils g\u00e9n\u00e8rent du texte. Un agent d\u2019IA, en revanche, agit : il peut supprimer des fichiers, modifier des mots de passe, ex\u00e9cuter du code, interroger d\u2019autres syst\u00e8mes et m\u00eame commander d\u2019autres agents. Un agent compromis n\u2019est pas un chatbot qui d\u00e9bite des absurdit\u00e9s. C\u2019est un employ\u00e9 compromis dot\u00e9 d\u2019un acc\u00e8s API.<\/p>\n McKinsey documente dans son rapport State of AI 2025<\/em> : 23 % des entreprises d\u00e9ploient d\u00e9j\u00e0 au moins un cas d\u2019usage d\u2019IA agente \u00e0 grande \u00e9chelle. 39 % suppl\u00e9mentaires sont en phase d\u2019exp\u00e9rimentation. Gartner pr\u00e9voit que plus de 40 % des applications d\u2019entreprise int\u00e9greront d\u2019ici fin 2026 des agents d\u2019IA sp\u00e9cialis\u00e9s dans des t\u00e2ches sp\u00e9cifiques, contre moins de 5 % en 2025. La diffusion explose. La s\u00e9curisation, elle, ne suit pas.<\/p>\n CyberArk chiffre l\u2019\u00e9cart : 68 % des organisations n\u2019ont aucun contr\u00f4le de s\u00e9curit\u00e9 d\u2019identit\u00e9 pour leurs syst\u00e8mes d\u2019IA. 47 % ne parviennent pas \u00e0 s\u00e9curiser l\u2019IA fant\u00f4me (Shadow AI<\/em>). Les identit\u00e9s machines d\u00e9passent les identit\u00e9s humaines dans un rapport de 82 pour 1. Chaque agent constitue une identit\u00e9 machine suppl\u00e9mentaire, potentiellement dot\u00e9e d\u2019un acc\u00e8s privil\u00e9gi\u00e9.<\/p>\n Sources : CyberArk 2025, Gartner juin 2025<\/p>\n 1. Injection de prompt.<\/strong> Les attaquants manipulent l\u2019agent via des instructions cach\u00e9es ins\u00e9r\u00e9es dans des documents, des e-mails ou des pages web que l\u2019agent traite (injection de prompt indirecte). OWASP classe l\u2019injection de prompt comme risque n\u00b01 depuis deux ans. Les taux de r\u00e9ussite sont alarmants : le NIST documente 57 % sur cinq t\u00e2ches d\u2019injection diff\u00e9rentes. Sur des \u00e9diteurs de code IA comme GitHub Copilot, des frameworks sp\u00e9cialis\u00e9s atteignent jusqu\u2019\u00e0 84 %. Google Gemini affiche encore une vuln\u00e9rabilit\u00e9 de 53,6 % m\u00eame apr\u00e8s application de toutes les mesures de protection.<\/p>\n Cas r\u00e9el : EchoLeak (CVE-2025-32711).<\/strong> Microsoft 365 Copilot comportait une vuln\u00e9rabilit\u00e9 Zero-Click avec un score CVSS de 9,3. Un attaquant n\u2019avait qu\u2019\u00e0 envoyer un e-mail. Aucun clic, aucun lien de phishing. La faille combinait un contournement de CSP (Content Security Policy<\/em>) avec une violation de port\u00e9e du LLM, permettant d\u2019acc\u00e9der \u00e0 toutes les sources de donn\u00e9es connect\u00e9es \u00e0 l\u2019agent.<\/p>\n 2. Empoisonnement d\u2019outils et attaques MCP.<\/strong> Le Model Context Protocol<\/em> (MCP) est le nouveau standard permettant aux agents d\u2019IA de se connecter \u00e0 des outils externes. Les attaquants cachent des instructions malveillantes dans les descriptions d\u2019outils, visibles par le LLM mais pas par l\u2019utilisateur. Invariant Labs a d\u00e9montr\u00e9 en 2025 comment un serveur MCP malveillant pouvait exfiltrer l\u2019historique WhatsApp complet d\u2019un utilisateur. Une \u00e9tude publi\u00e9e sur arXiv montre que 5 % des serveurs MCP open source sont d\u00e9j\u00e0 pr\u00e9par\u00e9s \u00e0 des attaques par empoisonnement d\u2019outils.<\/p>\n 3. Excessive Agency (autonomie excessive).<\/strong> Les agents disposent de plus de permissions qu\u2019ils n\u2019en ont besoin. OWASP d\u00e9crit trois causes : trop de fonctionnalit\u00e9s (l\u2019agent peut faire plus que n\u00e9cessaire), permissions trop larges (les outils fonctionnent avec des droits administrateur au lieu du principe du moindre privil\u00e8ge) et trop d\u2019autonomie (actions \u00e0 haut risque sans intervention humaine). Le principe du moindre privil\u00e8ge, d\u00e9sormais standard en s\u00e9curit\u00e9 cloud<\/a>, est syst\u00e9matiquement ignor\u00e9 avec les agents.<\/p>\n 4. Attaques par cha\u00eene d\u2019approvisionnement contre l\u2019infrastructure des agents.<\/strong> En ao\u00fbt 2025, des versions malveillantes du package NX ont \u00e9t\u00e9 diffus\u00e9es via NPM apr\u00e8s compromission du compte GitHub du d\u00e9veloppeur. L\u2019attaquant a utilis\u00e9 des outils d\u2019IA locaux comme Claude et Gemini pour exfiltrer des donn\u00e9es sensibles depuis les environnements de d\u00e9veloppement. Les agents d\u2019IA deviennent ainsi non seulement la cible, mais aussi l\u2019outil des attaques par cha\u00eene d\u2019approvisionnement.<\/p>\n \n\u00ab Les agents ne re\u00e7oivent qu\u2019autonomie strictement n\u00e9cessaire pour accomplir des t\u00e2ches clairement d\u00e9finies. \u00bb En d\u00e9cembre 2025, OWASP a publi\u00e9 une liste Top 10 sp\u00e9cifique aux applications agentes, distincte des Top 10 classiques pour LLM. Plus de 100 chercheurs en s\u00e9curit\u00e9 y ont travaill\u00e9 pendant plus d\u2019un an. Cette liste d\u00e9finit dix cat\u00e9gories de risques sp\u00e9cifiques aux agents autonomes : du d\u00e9tournement d\u2019objectif de l\u2019agent (Agent Goal Hijack<\/em>, via injection de prompt) au mauvais usage d\u2019outils (Tool Misuse<\/em>, utilisation involontaire d\u2019outils l\u00e9gitimes), en passant par les d\u00e9faillances en cascade (Cascading Failures<\/em>, erreurs se propageant dans des pipelines automatis\u00e9s) et l\u2019exploitation de la confiance humain-agent (Human-Agent Trust Exploitation<\/em>, les agents trompent les op\u00e9rateurs par des explications convaincantes).<\/p>\n Pour les \u00e9quipes de s\u00e9curit\u00e9 informatique, les OWASP Agentic Top 10 constituent le cadre de r\u00e9f\u00e9rence le plus important pour \u00e9valuer les d\u00e9ploiements d\u2019agents. Elles fournissent des mesures d\u2019att\u00e9nuation concr\u00e8tes pour chaque cat\u00e9gorie de risque, bas\u00e9es sur des incidents r\u00e9ellement document\u00e9s, et non sur de la th\u00e9orie.<\/p>\n 1. \u00c9tablir un inventaire des agents.<\/strong> Quels agents d\u2019IA sont d\u00e9ploy\u00e9s dans l\u2019organisation ? Quels outils peuvent-ils appeler ? Quelles donn\u00e9es peuvent-ils lire et \u00e9crire ? 47 % des organisations ne parviennent pas \u00e0 s\u00e9curiser l\u2019IA fant\u00f4me. Avant de pouvoir prot\u00e9ger, il faut savoir ce qui existe.<\/p>\n 2. Appliquer le principe du \u00ab Least Agency \u00bb.<\/strong> Chaque agent ne re\u00e7oit que les permissions strictement n\u00e9cessaires \u00e0 sa t\u00e2che sp\u00e9cifique. Pas de jetons administrateur, pas de cl\u00e9s API \u00e0 acc\u00e8s complet, pas d\u2019acc\u00e8s illimit\u00e9 au syst\u00e8me de fichiers. Pour toute action \u00e0 haut risque : imposer une validation humaine (Human-in-the-Loop<\/em>).<\/p>\n 3. Auditer les serveurs MCP.<\/strong> Quels outils externes sont connect\u00e9s via MCP ? Qui les exploite ? Les descriptions d\u2019outils ont-elles \u00e9t\u00e9 v\u00e9rifi\u00e9es ? 5 % des serveurs MCP open source sont d\u00e9j\u00e0 compromis. N\u2019utiliser que des serveurs MCP v\u00e9rifi\u00e9s, auto-h\u00e9berg\u00e9s ou audit\u00e9.<\/p>\n 4. Mettrer en \u0153uvre des contr\u00f4les d\u2019identit\u00e9<\/a> pour les agents.<\/strong> Traiter chaque agent comme une identit\u00e9 machine : identifiants propres, rotation propre, surveillance d\u00e9di\u00e9e. Ne jamais transmettre les identifiants de l\u2019utilisateur humain.<\/p>\n 5. D\u00e9finir une proc\u00e9dure de r\u00e9ponse aux incidents en cas de compromission d\u2019agent.<\/strong> Que se passe-t-il si un agent est manipul\u00e9 ? Comment l\u2019isoler ? Quelles actions doivent \u00eatre annul\u00e9es ? Les incidents li\u00e9s aux agents s\u2019aggravent plus vite que ceux impliquant des humains, car les agents agissent plus vite que les humains ne r\u00e9agissent.<\/p>\n Les agents d\u2019IA ne sont pas des chatbots. Ce sont des acteurs autonomes dot\u00e9s d\u2019un acc\u00e8s syst\u00e8me. Chaque agent n\u00e9cessite le m\u00eame niveau de s\u00e9curit\u00e9 qu\u2019un employ\u00e9 privil\u00e9gi\u00e9 : contr\u00f4le d\u2019identit\u00e9, permissions minimales, surveillance et plans de r\u00e9ponse aux incidents. Celui qui d\u00e9ploie des agents en 2026 sans ces fondamentaux ne construit pas de l\u2019innovation, mais une surface d\u2019attaque.<\/p>\n Chaque question est verrouill\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n Un chatbot g\u00e9n\u00e8re du texte. Un agent agit : il appelle des API, \u00e9crit dans des bases de donn\u00e9es, envoie des e-mails et prend des d\u00e9cisions de mani\u00e8re autonome. Un agent compromis peut causer des dommages r\u00e9els, et non simplement produire du texte erron\u00e9.<\/p>\n<\/details>\n Les attaquants ins\u00e8rent des instructions dans des donn\u00e9es que l\u2019agent traite (documents, e-mails, pages web). L\u2019agent ex\u00e9cute ces instructions comme s\u2019il s\u2019agissait d\u2019ordres de l\u2019utilisateur. Les taux de r\u00e9ussite varient entre 57 et 84 % selon le syst\u00e8me et la m\u00e9thode utilis\u00e9e.<\/p>\n<\/details>\n Un standard permettant aux agents d\u2019IA de se connecter \u00e0 des outils externes. Les attaquants peuvent y cacher des instructions malveillantes dans les descriptions d\u2019outils MCP. 5 % des serveurs MCP open source sont d\u00e9j\u00e0 compromis.<\/p>\n<\/details>\n OWASP a publi\u00e9 en d\u00e9cembre 2025 les Top 10 for Agentic Applications. Le NIST travaille sur le Cybersecurity AI Profile (IR 8596). Ces deux documents constituent actuellement les meilleurs cadres de r\u00e9f\u00e9rence pour s\u00e9curiser les d\u00e9ploiements d\u2019agents.<\/p>\n<\/details>\n \u00c9tablir un inventaire des agents (quels agents sont d\u00e9ploy\u00e9s, quels outils utilisent-ils), appliquer ensuite le principe du \u00ab Least Agency \u00bb (permissions minimales) et auditer les serveurs MCP. Sans inventaire, aucune s\u00e9curisation n\u2019est possible.<\/p>\n<\/details>\n Plus d\u2019informations sur le r\u00e9seau MBF Media<\/p>\n Source de l’image : Pexels \/ Tara Winstead<\/p>\n","protected":false},"excerpt":{"rendered":"Les agents d\u2019IA agissent de mani\u00e8re autonome : ils appellent des API, \u00e9crivent dans des bases de donn\u00e9es, envoient des e-mails et prennent des d\u00e9cisions sans validation humaine. Selon Gartner, d\u2019ici fin 2026, plus de 40 % des applications d\u2019entreprise int\u00e9greront de tels agents. En parall\u00e8le, 68 % des organisations ne […]","protected":false},"author":55,"featured_media":5487,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"s\u00e9curit\u00e9 de l\u2019ia","_yoast_wpseo_title":"S\u00e9curit\u00e9 de l\u2019IA agente : quand les agents d\u2019IA deviennent eux-m\u00eames une cible d","_yoast_wpseo_metadesc":"S\u00e9curit\u00e9 de l\u2019IA agente : prot\u00e9gez vos syst\u00e8mes autonomes contre les cyberattaques ciblant les agents d\u2019IA. D\u00e9couvrez les risques et agissez maintenant.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":["post_id-5458"],"footnotes":""},"categories":[256,260],"tags":[],"class_list":["post-7313","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung-fr","category-strategie-governance-fr"],"evm_reading_time_minutes":10,"wpml_language":"fr","wpml_translation_of":5458,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/7313","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/55"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=7313"}],"version-history":[{"count":5,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/7313\/revisions"}],"predecessor-version":[{"id":19954,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/7313\/revisions\/19954"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/5487"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=7313"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=7313"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=7313"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}L’essentiel<\/h2>\n
\n
Pourquoi les agents pr\u00e9sentent un profil de risque diff\u00e9rent<\/h2>\n
Les quatre vecteurs d\u2019attaque les plus dangereux<\/h2>\n
\nOWASP Top 10 for Agentic Applications, principe fondamental du \u00ab Least Agency \u00bb (d\u00e9cembre 2025)<\/cite>\n<\/p><\/blockquote>\nOWASP Agentic Top 10 : le nouveau cadre de r\u00e9f\u00e9rence<\/h2>\n
Ce que les \u00e9quipes de s\u00e9curit\u00e9 informatique doivent faire maintenant<\/h2>\n
Conclusion : les agents sont des employ\u00e9s dot\u00e9s d\u2019un acc\u00e8s API<\/h2>\n
Questions fr\u00e9quentes<\/h2>\n
Quelle est la diff\u00e9rence entre un agent d\u2019IA et un chatbot ?<\/strong><\/summary>\n
Qu\u2019est-ce que l\u2019injection de prompt ?<\/strong><\/summary>\n
Qu\u2019est-ce que le Model Context Protocol (MCP) ?<\/strong><\/summary>\n
Existe-t-il une norme de s\u00e9curit\u00e9 pour les agents d\u2019IA ?<\/strong><\/summary>\n
Quelle est la premi\u00e8re chose \u00e0 faire ?<\/strong><\/summary>\n
Lectures recommand\u00e9es par la r\u00e9daction<\/h2>\n
\n