En résumé
- Des chercheurs de quatre institutions ont découvert que les attaques par injection directe directe ont réussi dans plus de 79 % des cas évalués avec GPT-5 et Gemini 2.5-Flash.
- L'étude a identifié un « parasitisme furtif », dans lequel un agent exécute la tâche de l'utilisateur et exécute simultanément l'objectif de l'attaquant sans signaux visibles.
- Les résultats font suite aux récents avertissements de Microsoft et de Google concernant des vulnérabilités similaires dans les agents Web et les outils comme Claude Code d'Anthropic.
Alors que les développeurs se précipitent pour déployer des agents d’IA capables de naviguer de manière autonome sur Internet, d’effectuer des recherches, d’acheter en ligne et d’échanger des crypto-monnaies, de nouvelles recherches suggèrent que ces systèmes restent très vulnérables aux attaques par injection rapide.
Dans une nouvelle étude publiée jeudi, des chercheurs de l'Université technologique de Nanyang, de ST Engineering, d'IBM Research et de l'Université de l'Illinois à Urbana-Champaign ont découvert qu'aucun des agents d'IA testés n'avait systématiquement résisté aux attaques par injection rapide.
« Les critères de sécurité existants adoptent une perspective centrée sur les attaques, se concentrant sur la faisabilité technique des injections mais négligeant la répartition nuancée des dommages qui en résultent », ont noté les chercheurs. « En pratique, cependant, le risque d'injection rapide dépend de la victime : un seul exploit peut générer des conséquences asymétriques pour différentes parties, et le même modèle d'attaque peut montrer une efficacité sensiblement différente selon la personne touchée. »
L'injection d'invites se produit lorsque des attaquants insèrent des invites cachées dans le contenu rencontré par un agent IA, l'obligeant à suivre les commandes de l'attaquant plutôt que celles de l'utilisateur. Pour combler les lacunes des évaluations existantes des agents d'IA, les chercheurs ont développé StakeBench, un benchmark qui teste la réponse des agents d'IA aux attaques par injection dans des environnements en ligne réalistes.
« Nous utilisons désormais StakeBench pour caractériser les conditions dans lesquelles cette vulnérabilité est amplifiée ou supprimée, en nous concentrant sur les [Inyección Indirecta de Prompt] comme principal canal pertinent pour le déploiement », ont déclaré les chercheurs. « StakeBench examine trois facteurs : la distance sémantique entre la cible injectée et l'intention initiale de l'utilisateur, la cohérence des signaux provenant de l'environnement et la position dans la trajectoire d'exécution de l'agent à laquelle le benchmark l'expose pour la première fois au contenu injecté. »
L'équipe a réalisé 3 168 simulations d'attaques à l'aide de NanoBrowser et BrowserUse avec GPT-5 et Gemini 2.5-Flash. Les chercheurs ont constaté que les attaques par injection directe directe réussissaient dans plus de 79 % des cas dans toutes les configurations testées, tandis que les attaques indirectes atteignaient des taux de réussite compris entre 41,67 % et 68,16 %.
L’étude intervient à un moment où les attaques par injection rapide deviennent plus courantes et où les agents d’IA prolifèrent.
En février, des chercheurs de Microsoft ont averti que les invites cachées intégrées dans les liens récapitulatifs de l’IA pourraient influencer le comportement des chatbots. En avril, Google a documenté des attaques cachées par injection d'invite sur des pages Web qui tentaient de manipuler des agents d'IA pour qu'ils divulguent des informations d'identification ou effectuent des paiements. Récemment, Microsoft a divulgué une vulnérabilité d'injection rapide dans l'action GitHub d'Anthropic Claude Code qui aurait pu exposer les informations d'identification de l'utilisateur.
L'étude a également identifié ce que les chercheurs ont appelé le « parasitisme furtif », dans lequel un agent IA accomplit la tâche de l'utilisateur tout en faisant avancer simultanément la cible de l'attaquant. Par exemple, un parasitisme furtif provoqué par une attaque par injection rapide pourrait influencer subtilement les recommandations de produits, dirigeant les utilisateurs vers un article spécifique sans signe évident que le système a été compromis.
« Ces résultats indiquent que la sécurité contre une injection rapide dans les agents Web déployables n'est pas une propriété scalaire du modèle de base, mais plutôt une répartition des dommages dont la matérialisation est déterminée conjointement par la partie affectée, l'alignement sémantique entre la cible injectée et la tâche de l'utilisateur, et le contexte architectural dans lequel le modèle de base est déployé », ont-ils conclu.
Débriefing quotidien Bulletin
Commencez chaque journée avec les principales actualités du moment, ainsi que des fonctionnalités originales, un podcast, des vidéos et bien plus encore.
Voir l’article original en espagnol
