Les risques liés à la sécurité des agents IA deviennent un sujet de moins en moins théorique et de plus en plus urgent. Ronghui Gu, co-fondateur et PDG de CertiK, a tiré la sonnette d'alarme, selon lequel le déploiement à grande échelle d'agents d'IA autonomes sans contrôles préventifs pourrait se transformer en un désastre sécuritaire.
Le point, explique Gu, est simple : ces systèmes ne se limitent plus à répondre aux questions dans un chat. De plus en plus, ils lisent des fichiers locaux, invoquent des outils externes, activent des flux de travail et interagissent avec les e-mails, les informations d'identification et même les infrastructures financières. S’ils ne sont pas analysés et isolés au préalable, ils ont accès à des données et des comptes sensibles dans un état trop fragile.
C’est là que la course mondiale aux agents IA change de sens. Nous ne parlons pas seulement de productivité ou d'automatisation, mais d'une nouvelle surface d'attaque qui, selon CertiK, croît plus vite que les défenses.
Pourquoi CertiK considère les agents IA comme un problème de sécurité imminent
Ronghui Gu met en garde contre le déploiement massif d’agents d’IA sans contrôles adéquats. Son message est clair : avant d'accorder un quelconque accès, ces systèmes doivent être scannés, testés et surtout isolés.
Selon Gu, le modèle de confiance adopté aujourd’hui par de nombreux projets constitue le véritable point faible. De nombreuses applications d'IA, même celles open source, sont traitées comme si elles étaient sûres simplement parce qu'elles s'exécutent localement sur l'ordinateur de l'utilisateur ou parce qu'elles se connectent via des applications de chat classiques. Pour CertiK, c'est le contraire : dès qu'un agent obtient l'autorisation de lire le stockage local, de consulter les historiques d'exécution ou de gérer les e-mails et les informations d'identification de l'entreprise, il devient une menace interne potentielle.
Cela explique pourquoi les risques de sécurité des agents IA attirent l’attention même en dehors du monde technique. Si un système autonome compromis peut accéder à des fichiers, des mots de passe, des sessions et des flux opérationnels, l’impact ne se fait pas seulement sentir sur l’utilisateur final, mais également sur les entreprises, les équipes et les infrastructures numériques connectées.
Comment les agents IA peuvent être détournés
CertiK décrit un cadre dans lequel les agents d'IA compromis et piratés ne dépendent pas nécessairement des logiciels malveillants traditionnels. Dans de nombreux cas, il suffit de manipuler le niveau de raisonnement de l’agent.
Injection rapide dans les agents IA via des fichiers apparemment inoffensifs
L’un des vecteurs les plus insidieux est l’injection rapide dans les agents d’IA. Gu explique qu'un acteur malveillant peut cacher des instructions en langage naturel dans un contenu apparemment inoffensif, comme une page Web normale, un PDF ou un e-mail entrant.
Lorsque l'agent n'est pas isolé et lit ce contenu pour effectuer une tâche, il peut confondre les commandes approuvées avec des données externes non fiables. À ce stade, ses règles d'origine sont écrasées en silence et le système peut exfiltrer des données ou même lancer des transferts de fonds non autorisés.
C’est l’un des enjeux centraux des attaques par injection rapide : il n’est pas nécessaire de violer le logiciel au sens classique du terme, car l’attaquant agit en convainquant l’agent de changer de comportement.
Plugins malveillants, faux installateurs et dépendances imitées
L'analyse de CertiK a également identifié des centaines de compétences malveillantes, de faux installateurs et de packages de dépendances similaires présents dans les hubs d'utilitaires d'agents. Le problème, selon Gu, est que ces outils ne se comportent pas comme des logiciels malveillants traditionnels et peuvent donc contourner les contrôles antivirus basés sur les signatures.
En pratique ils utilisent le langage naturel pour influencer l’agent et détourner ses objectifs. Cela rend la protection des agents IA plus complexe que les modèles de défense classiques, car la menace ne vient pas seulement du code exécutable mais aussi des instructions que le système interprète comme valides.
Les vulnérabilités trouvées par CertiK
CertiK affirme avoir détecté une forte accumulation de problèmes de sécurité dans les structures initiales des agents. Parmi les éléments qui ont émergé figuraient des centaines d’avis de sécurité critiques, des CVE incorrects et des expositions d’informations d’identification locales et de mémoires de session.
Les données sont importantes pour une raison précise : elles montrent que le problème ne concerne pas un seul bug ou un cas isolé. Selon le cadre décrit par CertiK, la dette de sécurité découle de l'architecture même avec laquelle de nombreux agents sont conçus et déployés.
La combinaison de l'accès aux fichiers locaux, de la gestion des informations d'identification, de l'automatisation des tâches et des contrôles opérationnels incohérents des limites crée un environnement dans lequel l'agent peut devenir le point d'entrée idéal pour une attaque.
Des escroqueries en chaîne aux attaques machine sur machine
CertiK signale également un autre phénomène : la croissance des escroqueries automatisées en chaîne, très rapides et conçues pour cibler les robots de trading IA et les systèmes d'agents automatisés. Gu parle de schémas qui restent actifs aussi peu que 10 minutes ou quelques heures avant de disparaître.
Cet aspect est particulièrement pertinent pour le secteur de la cryptographie. Si les escroqueries deviennent suffisamment rapides pour cibler directement d’autres systèmes automatisés avant même qu’un humain ne remarque le problème, le risque passe à un nouveau niveau : non plus seulement utilisateur contre escroc, mais machine contre machine.
Pour ceux qui investissent ou créent des services automatisés, le message est clair. Les risques de sécurité des agents IA ne concernent pas seulement la vie privée ou la sécurité des systèmes internes, mais aussi la protection du capital, des stratégies et des opérations exécutées en temps réel.
La réponse proposée : isolement, audit et Zero Trust
Pour Gu, la contre-mesure la plus efficace consiste à abandonner le modèle de confiance implicite et à passer à une architecture Zero Trust. Concrètement, cela signifie traiter chaque commande, chaque dépendance et chaque accès comme quelque chose à vérifier en permanence.
La ligne indiquée par CertiK s'articule autour de trois principes :
- analyse et audit du code, ainsi que vérification préventive des outils et des dépendances
- isolement de l'environnement d'exécution avant d'accorder l'accès aux données, aux e-mails, aux fichiers ou aux comptes financiers
- vérification continue de chaque interaction, conformément au Zero Trust pour l'IA et les agents
Il s’agit d’une position qui vise à inspirer une approche Zero Trust pour l’IA et les agents, où l’autonomie n’équivaut jamais à une confiance automatique. Plus un agent peut faire, plus il doit être contenu et contrôlé.
C’est là que réside la signification stratégique de l’avertissement. La tendance à l’adoption d’agents IA s’accélère, mais pour CertiK, la sécurité ne peut pas rester une étape suivante. Si l’industrie continue de déployer des systèmes autonomes sans isolation, analyse et vérification continues, les coûts risquent d’apparaître seulement plus tard, lorsque l’accès, les fonds et les données auront déjà été exposés.