La sécurité des agents autonomes se joue dans les outils qu'on leur confie

La bascule de 2026

Un sondage relayé par Dark Reading indique que 48 % des professionnels de la cybersécurité identifient l'IA agentique et les systèmes autonomes comme le principal vecteur d'attaque à l'approche de 2026, devant les deepfakes et les ransomwares [1]. Les attaques activées par l'IA ont augmenté de 89 % sur la même période [1]. Il ne s'agit pas d'une simple accélération: les workflows d'attaque changent de nature. Là où un opérateur humain progressait manuellement de la reconnaissance à l'exfiltration, un agent peut enchaîner ces étapes, s'adapter aux défenses et persister après un échec [1].

Ces systèmes disposent d'une autonomie orientée vers un but, d'une mémoire persistante et de la capacité d'agir via des outils, des API ou des embodiments robotiques [1]. Chaque intégration d'API, chaque accès à une base de données, chaque outil confié à un agent élargit la surface d'attaque [1]. Le risque ne vient plus seulement de l'extérieur: il peut être introduit par un contenu que l'agent ingère.

L'injection de prompt, un défaut architectural

L'injection de prompt occupe la première place du Top 10 de l'OWASP pour les applications LLM depuis la refonte de 2025, et elle y reste en 2026 [2]. Les audits de sécurité menés sur des déploiements IA en production la retrouvent dans plus de 73 % des cas [2]. Le problème est architectural: un modèle de langage reçoit tout sous la même forme, des chaînes de texte en langage naturel, sans hiérarchie de confiance native entre le prompt système, la question de l'utilisateur et le contenu d'un document récupéré [2]. Un attaquant peut donc faire passer une instruction pour une information.

On distingue l'injection directe, formulée par l'utilisateur, et l'injection indirecte, où les instructions malveillantes dorment dans un contenu externe que le système ingère de lui-même: page web, e-mail, fichier joint, document en base vectorielle [2]. L'utilisateur légitime déclenche l'attaque sans jamais la voir [2]. Le point souvent négligé: une injection n'a pas besoin d'être lisible par un humain. Du texte en caractères Unicode invisibles, du LaTeX rendu en blanc, un encodage Base64, des instructions cachées dans les métadonnées d'une image peuvent piloter le modèle [2].

Le National Cyber Security Centre du Royaume-Uni a rappelé en 2026 que l'injection de prompt n'est pas l'équivalent de l'injection SQL [3]. Une injection SQL exploite une frontière précise de l'analyseur. L'injection de prompt exploite l'ambiguïté du langage, la hiérarchie des instructions, le contexte des outils et la confiance [3]. « Il suffit de filtrer les mauvais mots » est un remède faible, car le langage naturel constitue la surface d'attaque [3].

Du chatbot défaillant à l'agent qui exécute

Un chatbot qui déraille produit une réponse embarrassante. Un agent qui déraille exécute des actions [2]. L'agent possède des tokens d'API, des accès en écriture, une mémoire persistante et la capacité d'enchaîner des appels d'outils sans repasser par un humain [2]. La gravité d'une injection réussie dépend directement de ce qu'on a mis entre ses mains. OWASP le formule sans détour: l'impact varie selon le contexte métier et selon « l'agentivité » avec laquelle le système a été architecturé [2].

Trois vecteurs propres aux agents méritent l'attention: l'injection dans les étapes de raisonnement, où l'attaquant forge de faux résultats d'outils pour orienter la suite du raisonnement, et d'autres canaux intermédiaires qui contournent la supervision humaine [2]. Quand un agent de veille lit un PDF, une ligne de texte blanc sur fond blanc peut suffire à exfiltrer des données vers un serveur inconnu. Aucune faille de code, aucun exploit: juste des mots, lus par une machine qui ne sait pas distinguer une instruction d'une information [2].

L'industrialisation de la menace

Le FBI rapporte une augmentation de 300 % des attaques utilisant l'IA générative entre 2024 et 2026, pour un coût global estimé à 10 500 milliards de dollars selon Cybersecurity Ventures [4]. L'IA a effacé les barrières de coût et de compétence: un attaquant peut générer 10 000 emails de phishing personnalisés en quelques heures, créer un deepfake vocal à partir d'une interview YouTube et analyser du code source pour identifier des vulnérabilités automatiquement [4]. 86 % des attaques de phishing sont désormais orchestrées par l'IA, et les attaques par IA sont jusqu'à sept fois plus efficaces que les méthodes traditionnelles [4].

Ces chiffres concernent surtout le phishing et les deepfakes, mais ils dessinent le même mouvement: la personnalisation et l'automatisation réduisent le coût marginal de l'attaque. L'email demeure à l'origine de neuf violations sur dix [4]. Ce n'est pas un problème de messagerie, c'est un problème de confiance dans du contenu non vérifié, exactement la même faille que l'injection indirecte exploite à l'intérieur des agents.

Sécuriser la couche applicative, pas seulement le réseau

Les outils de sécurité traditionnels, EDR et pare-feu, surveillent le réseau et les endpoints, pas l'intention d'un agent qui exécute un ordre malveillant via une injection de prompt indirecte. La défense doit se déplacer vers la couche applicative, là où les modèles exécutent des appels d'outils et manipulent des données d'entreprise.

Trois axes se dégagent des analyses disponibles. D'abord, une passerelle de contrôle des prompts qui applique des règles de séparation entre instructions et données, même si le NCSC rappelle que la correction parfaite n'existe pas [3]. Ensuite, une limitation stricte de l'agentivité: moins un agent a d'accès en écriture, moins une injection a d'impact [2]. Enfin, une gouvernance d'entreprise alignée sur l'AI Act, qui traite les déploiements d'agents comme des systèmes à risque et non comme des scripts internes. Les acheteurs d'agents IA devraient exiger des garanties sur la séparation instruction/donnée, la journalisation des appels d'outils et les permissions par tâche [2].

La bascule de 2026 n'est pas une mode: les vulnérabilités liées aux agents autonomes passent en tête des vecteurs d'attaque [1]. Les organisations qui connectent des agents à leurs systèmes sans revoir la couche applicative ne se défendent plus contre des attaquants humains, mais contre des workflows qui apprennent, persistent et itèrent plus vite que leurs équipes de sécurité [1].