L’exploitation de la confiance, ce concept fondamental, est en train de devenir une vulnérabilité majeure dans l’écosystème des agents IA. Les chercheurs de Pillar Security ont documenté une campagne active baptisée « Deadbugz ». Celle-ci distribue un serveur malveillant via des requêtes pull publiques sur GitHub, déguisé en outil de mise en forme de texte bénin. Ce mécanisme, qualifié de « runtime-gated », ne révèle sa fonction hostile qu’après que l’agent connecté ait effectué trois appels d’outils normaux. À ce moment précis, le serveur modifie silencieusement ses métadonnées pour orienter l’agent vers la recherche de clés SSH, de jetons AWS ou de fichiers de configuration Kubernetes, sans que l’utilisateur ne s’en aperçoive.

Cette technique est conçue pour échapper aux revues de sécurité statiques. Le Protocole de Contexte de Modèle (MCP), introduit par Anthropic en novembre 2024, permet aux assistants IA de se connecter à des outils externes. Le problème, c’est que le protocole fait confiance au contenu des descriptions d’outils, considérant ces métadonnées comme du contexte exécutable. C’est une version automatisée du modèle de « rug-pull » déjà observé, comme l’incident d’un paquet npm contrefait en septembre 2025 qui a commencé à copier des e-mails vers une adresse contrôlée par un attaquant après avoir gagné la confiance.

Le dilemme de la gouvernance des proxys non humains

L’explosion des agents autonomes dans les processus critiques d’entreprise pose un dilemme de gouvernance que les systèmes d’identité, conçus pour les humains, ne peuvent pas gérer. Chaque agent déployé est un proxy d’identité opérant à l’intérieur du périmètre, hérité des permissions d’un employé autorisé. Or, comme le souligne SecurityWeek, lorsque l’agent agit, le journal système enregistre une action légitime de l’humain, masquant l’intrusion réelle. L’architecture actuelle n’est pas faite pour répondre à une question simple : « Qui est l’entité qui pilote cette session ? »

Face à cette accélération, les entreprises sont en retard sur la gouvernance. Selon une étude de SailPoint, 89 % des entreprises en zone EMEA ont déployé des agents IA, mais 99 % d’entre elles manquent des outils de sécurité d’identité nécessaires pour les réguler. Mark McClain, PDG de SailPoint, a insisté sur le fait que « l’autonomie sans responsabilité conduit au chaos ».

Cadres pour contenir les risques

Pour tenter de contenir ce flux d’opérations rapides, plusieurs approches émergent. Meta propose le cadre « Agents Rule of Two ». Il stipule qu’un agent ne doit satisfaire que deux des trois propriétés suivantes au cours d’une session : pouvoir traiter des entrées non fiables, avoir accès à des données sensibles, ou communiquer extérieurement. Ce cadre vise à réduire de manière déterministe la sévérité des risques liés à l’injection de prompt.

En parallèle, des mesures techniques plus fondamentales sont exigées. Pour éviter que les agents ne deviennent des « Agent Smith » organisationnels, les experts préconisent l’adoption d’un « AI Bill of Materials » (AIBOM). Ce dernier étend la discipline du Software Bill of Materials pour vérifier la lignée du code, l’intégrité du prompt et les permissions sous-jacentes avant tout accès. Il est aussi essentiel d’instaurer une « identité de charge de travail » stricte, donnant à chaque agent des jetons à courte durée de vie, afin de contenir le périmètre de l’attaque si l’agent est compromis.

Il faut surveiller comment ces cadres, qu’ils soient basés sur la limitation des capacités ou sur la traçabilité rigoureuse, seront intégrés dans les systèmes d’IAM existants, car le temps de réponse de la sécurité ne suit plus les cycles humains.

Sources

• Deadbugz: Active MCP Campaign Poisons Agents After Trust, labs.cloudsecurityalliance.org
• Agents Rule of Two: A Practical Approach to AI Agent Security, ai.meta.com
• The Agent Smith Dilemma: Governing Agentic Identities, SecurityWeek, 5 novembre 2026
• Agents aren’t humans (but they kinda are), Cloudflare, 5 novembre 2026
• SailPoint: Anarchy reigns over enterprise agentic AI, Computer Weekly, 5 novembre 2026