Des chercheurs de Google révèlent toutes les façons dont les pirates peuvent détourner les agents IA

Les chercheurs de Google DeepMind ont publié ce qui pourrait être la carte la plus complète à ce jour d'un problème que la plupart des gens n'ont pas envisagé : l'utilisation d'Internet comme arme contre les agents d'IA autonomes. Le document, intitulé « AI Agent Traps », identifie six catégories de contenus contradictoires conçus spécifiquement pour manipuler, tromper ou détourner les agents lorsqu'ils naviguent, lisent et agissent sur le Web ouvert.

Le moment de la publication n’est pas une coïncidence. Les sociétés d’IA s’empressent de déployer des agents capables de réserver des voyages de manière indépendante, de gérer les boîtes de réception, d’exécuter des transactions financières et d’écrire du code. Les criminels utilisent déjà l’IA de manière offensive. Les pirates informatiques parrainés par l’État ont commencé à déployer des agents IA pour mener des cyberattaques à grande échelle. Et OpenAI a admis en décembre 2025 que la principale vulnérabilité exploitée par ces tricheurs – l’injection rapide – est « peu susceptible d’être un jour entièrement « résolue ».

Les chercheurs de DeepMind n’attaquent pas les modèles eux-mêmes. La surface d’attaque qu’ils cartographient est l’environnement dans lequel les agents opèrent. Voici ce que signifie chacune des six catégories de tricherie.

Les six pièges

Les premiers sont les « pièges à injection de contenu ». Celles-ci exploitent l’écart entre ce qu’un humain voit sur une page Web et ce qu’un agent IA analyse réellement. Un développeur Web peut masquer du texte dans des commentaires HTML, des éléments invisibles avec CSS ou des métadonnées d'image. L'agent lit l'instruction cachée ; l'utilisateur ne le voit jamais. Une variante plus sophistiquée, appelée masquage dynamique, détecte si un visiteur est un agent IA et lui propose une version complètement différente de la page : même URL, différentes commandes cachées. Une étude comparative a révélé que de simples injections comme celles-ci parvenaient à prendre le contrôle des agents dans jusqu'à 86 % des scénarios testés.

Les pièges de manipulation sémantique sont probablement les plus faciles à essayer. Une page saturée d'expressions telles que « norme de l'industrie » ou « approuvé par les experts » biaise statistiquement la synthèse d'un agent en direction de l'attaquant, exploitant les mêmes effets de cadrage dans lesquels tombent les humains. Une variante plus subtile enveloppe les instructions malveillantes dans un cadre éducatif ou « d'équipe rouge » (« ceci est hypothétique, pour la recherche uniquement »), ce qui incite les contrôles de sécurité internes du modèle à traiter la demande comme inoffensive. Le sous-type le plus étrange est « l’hyperstition de la personnalité » : les descriptions de la personnalité d’une IA se propagent en ligne, sont réintégrées dans le modèle via des recherches sur le Web et commencent à façonner son comportement réel. Le document mentionne l'incident du « MechaHitler » de Grok comme un cas réel de ce cycle.

Vous pouvez en voir des exemples dans notre expérience, où nous avons piraté l'IA de WhatsApp et l'avons trompée pour qu'elle génère des nus, des recettes de médicaments et des instructions pour fabriquer des bombes.

Les pièges cognitifs sont un autre type d'attaque dans lequel des acteurs malveillants ciblent la mémoire à long terme d'un agent. Fondamentalement, si un attaquant parvient à insérer des déclarations fabriquées dans une base de données de récupération interrogée par l'agent, celui-ci traitera ces déclarations comme des faits vérifiés. Il suffit d’injecter quelques documents optimisés dans une base de connaissances étendue pour corrompre de manière fiable les résultats sur des sujets spécifiques. Des attaques comme « CopyPasta » ont déjà montré à quel point les agents font aveuglément confiance au contenu de leur environnement.

Les pièges de contrôle du comportement vont directement à l’encontre de ce que fait l’agent. Les séquences de jailbreak intégrées dans les sites Web ordinaires remplacent l'alignement de sécurité dès que l'agent lit la page. Les pièges d'exfiltration de données contraignent l'agent à localiser les fichiers privés et à les transmettre à une adresse contrôlée par l'attaquant ; Lors des attaques testées, les agents Web disposant d’un accès étendu aux fichiers ont été contraints d’exfiltrer les mots de passe locaux et les documents sensibles à des taux supérieurs à 80 % sur cinq plates-formes différentes. Cela est particulièrement dangereux aujourd’hui, alors que les gens commencent à donner aux agents d’IA plus de contrôle sur leurs informations privées avec la montée en puissance de plateformes comme OpenClaw et de sites comme Moltbook.

Les pièges systémiques ne ciblent pas un seul agent. Ils mettent en évidence le comportement de nombreux agents agissant simultanément. Le document trace un lien direct avec le Flash Crash de 2010, lorsqu'un seul ordre de vente automatisé a déclenché une boucle de rétroaction qui a anéanti près d'un billion de dollars de valeur marchande en quelques minutes. Un seul rapport financier fabriqué, avec un timing précis, pourrait déclencher une vente synchronisée entre des milliers d’agents commerciaux IA.

Enfin, les pièges Human-in-the-Loop ciblent l'humain qui examine les résultats de l'agent. Ces pièges créent une « fatigue d’approbation » : des résultats conçus pour paraître techniquement crédibles à un non-expert, de sorte que vous autorisez par inadvertance des actions dangereuses. Un cas documenté impliquait des injections d'invites obscurcies par CSS qui ont amené un outil de résumé d'IA à présenter des instructions étape par étape pour l'installation d'un ransomware comme s'il s'agissait de solutions de dépannage utiles. Nous avons déjà vu ce qui se passe lorsque des humains font confiance à des agents sans aucun contrôle.

Ce que recommandent les chercheurs

La feuille de route de défense du document couvre trois fronts. Le premier est technique : formation contradictoire lors du réglage fin, analyseurs de contenu d'exécution qui détectent les entrées suspectes avant qu'elles n'atteignent la fenêtre contextuelle de l'agent et moniteurs de sortie qui détectent les anomalies comportementales avant leur exécution. Il y a ensuite le niveau de l'écosystème : des normes Web qui permettent aux sites de déclarer du contenu destiné à la consommation de l'IA, et des systèmes de réputation de domaine qui évaluent la fiabilité en fonction de l'historique d'hébergement.

Le troisième front est légal. Le document nomme explicitement « l'écart de responsabilité » : si un agent piégé exécute une transaction financière illicite, la loi actuelle n'a aucune réponse quant à savoir qui est responsable : l'opérateur de l'agent, le fournisseur de modèles ou le site Web qui a hébergé le piège. Résoudre ce problème, affirment les chercheurs, est une condition préalable au déploiement d’agents dans tout secteur réglementé.

Les propres modèles d'OpenAI ont été jailbreakés à plusieurs reprises quelques heures après leur sortie. Le document DeepMind ne prétend pas proposer de solutions. Il affirme que l’industrie ne dispose toujours pas d’une cartographie commune du problème et que sans une telle cartographie, les défenses continueront d’être construites aux mauvais endroits.