Malwarebytes avertit que les agents d'IA autonomes exposent les utilisateurs de messagerie aux injections de prompts

L'entreprise de logiciels de cybersécurité Malwarebytes a émis une alerte concernant les risques de sécurité structurels pesant sur les assistants automatisés d'intelligence artificielle, avertissant que la délégation de la gestion des courriels à des agents logiciels autonomes expose les utilisateurs à des attaques par injection indirecte de prompts. Selon un article publié le 17 octobre 2026 par le journaliste spécialisé en technologies Victor Tangermann, le déploiement d'agents basés sur de grands modèles de langage configurés pour analyser la correspondance électronique entrante ouvre une voie directe permettant à des acteurs malveillants de contourner à la fois les filtres anti-spam traditionnels et la vigilance humaine. Plutôt que de tromper un destinataire humain pour l'amener à cliquer sur un lien frauduleux ou à transmettre des identifiants, les attaquants conçoivent des prompts hostiles spécifiquement calibrés pour ordonner au modèle sous-jacent d'exécuter des actions non autorisées, d'extraire des données sensibles ou de contourner les garde-fous de sécurité intégrés.

## Faits clés

- L'éditeur de logiciels de cybersécurité Malwarebytes a publié un avertissement technique détaillé mettant en évidence des vulnérabilités chez les assistants d'intelligence artificielle autonomes chargés du traitement du courrier électronique. - Un compte-rendu de cette analyse a été publié le 17 octobre 2026 par le journaliste spécialisé en technologies Victor Tangermann. - Le mécanisme identifié repose sur l'injection de prompts, par laquelle des instructions cachées ou antagonistes contenues dans un message entrant prennent le pas sur les règles du système et dirigent directement le modèle d'IA chargé du traitement. - Ce schéma d'exploitation cible les outils opérationnels accordés aux agents d'IA, tels que le transfert automatique de messages, l'accès aux fichiers et la modification de calendriers, sans exiger de tromperie directe de l'utilisateur. - La vulnérabilité reflète les risques répertoriés sous l'entrée LLM01 du cadre de l'Open Worldwide Application Security Project (OWASP) pour les applications de grands modèles de langage.

## Que s'est-il passé

Dans un avis publié sur son blog technique officiel, l'éditeur de cybersécurité Malwarebytes a exposé les mécanismes opérationnels par lesquels des agents logiciels autonomes tombent sous le coup de courriels trompeurs. Comme le rapporte Victor Tangermann, le cœur du problème réside dans le double rôle que doivent assumer les modèles génératifs lorsqu'ils gèrent des communications : analyser des contenus externes pour les résumer ou les trier, tout en recevant simultanément des instructions en langage naturel régissant leur comportement.

Lorsqu'un utilisateur humain intègre un assistant d'IA au flux de travail de sa boîte de réception, l'agent reçoit généralement les autorisations requises pour lire les messages entrants, rédiger des brouillons automatiques, hiérarchiser l'urgence, accéder aux carnets d'adresses associés et, occasionnellement, déclencher des actions secondaires telles que la planification de réunions ou le déplacement de messages entre répertoires. Les attaquants exploitent cette architecture au moyen d'injections indirectes de prompts. Plutôt que d'élaborer une prose d'ingénierie sociale visant à persuader un employé d'ordonner un virement de fonds ou de saisir ses identifiants sur un faux portail, l'assaillant conçoit un courriel renfermant des instructions destinées à la machine.

Ces entrées adverses peuvent être incorporées directement au corps du message, dissimulées au sein d'un balisage HTML complexe ou logées à l'intérieur de documents joints que l'agent d'IA a pour consigne de résumer. Une fois que le système automatisé traite le texte, le modèle de langage peine à maintenir une séparation informatique stricte entre les instructions système formulées par l'opérateur de la plateforme et les données non fiables apportées par l'expéditeur. Par conséquent, l'agent interprète les instructions intégrées par l'attaquant comme des directives d'exécution légitimes. En fonction des privilèges opérationnels consentis à l'agent, le logiciel peut transférer des échanges confidentiels vers des serveurs tiers, envoyer des réponses non autorisées à des collègues en interne, supprimer des alertes de sécurité ou fouiller l'espace de stockage local en quête de documents propriétaires.

## Pourquoi c'est important

Ces constatations mettent en lumière une profonde rupture d'architecture dans la cybersécurité des entreprises, ébranlant fondamentalement la doctrine défensive établie depuis longtemps autour de la sensibilisation des utilisateurs et du filtrage sur passerelle de messagerie. Depuis près de trois décennies, les défenses d'entreprise face au hameçonnage s'appuient sur la conjonction d'une détection automatisée par signatures — à l'instar des protocoles SPF, DKIM et DMARC — et de sessions de formation apprenant aux employés à déceler les noms de domaine anormaux, les tournures pressantes et les extensions de fichiers suspectes. Lorsqu'un agent d'intelligence artificielle intercepte, résume et traite les messages à la place de l'utilisateur, ce niveau de validation humaine est entièrement court-circuité.

Les retombées sur la sécurité opérationnelle et la conformité en matière de confidentialité des données sont lourdes. De nombreuses entreprises de la finance, de la santé et des infrastructures critiques ont massivement adopté des outils d'IA générative afin d'accélérer le traitement des documents, la gestion de la relation client et les tâches de tri administratif. Dans nombre de ces déploiements, les agents sont connectés par des interfaces de programmation d'applications (API) aux bases de données internes, aux registres clients et aux systèmes de gestion des identités de l'entreprise. Si un courriel externe peut, de manière reproductible, détourner l'environnement décisionnel d'un agent d'IA interne, la surface d'attaque s'accroît de façon exponentielle.

En outre, l'injection indirecte de prompts efface la distinction entre lecture de données et exécution de code. Dans les environnements informatiques traditionnels, les systèmes d'exploitation imposent un cloisonnement rigoureux entre les données et le code exécutable afin de prémunir le système contre les dépassements de tampon et la corruption de mémoire. Au sein des modèles de langage neuronaux, en revanche, le langage naturel sert à la fois de donnée d'entrée et de jeu d'instructions de programmation. Tant que les développeurs ne parviendront pas à isoler de façon fiable les données textuelles de tiers de la hiérarchie d'instructions interne de l'agent, déployer des agents autonomes pour traiter les flux de courriels externes laissera une brèche ouverte sur l'ensemble du périmètre de l'entreprise.

## Contexte

Les attaques par injection de prompts ont commencé à attirer largement l'attention des chercheurs en sécurité peu après la diffusion publique des grands modèles de langage fondateurs à la fin de 2022. Les premières démonstrations se focalisaient sur l'injection directe de prompts — couramment qualifiée de « jailbreaking » ou débridage —, par laquelle un utilisateur direct soumettait des requêtes ciblées pour inciter un agent conversationnel à enfreindre ses filtres de modération, à générer des contenus toxiques ou à exposer ses instructions système sous-jacentes. Toutefois, dès le milieu de 2023, les professionnels de la sécurité ont identifié la menace bien plus aiguë de l'injection indirecte de prompts, où des instructions hostiles sont disséminées dans des sources de données passives, telles que des sites web, des rapports PDF ou des courriels entrants, qu'un système d'IA extrait puis interprète.

Conscient de la dimension structurelle de ce péril, l'Open Worldwide Application Security Project (OWASP) a inscrit dès 2023 l'injection de prompts en tête de son classement Top 10 pour les applications de grands modèles de langage, sous la désignation LLM01. Des organismes de sécurité de premier plan, parmi lesquels la Cybersecurity and Infrastructure Security Agency (CISA) aux États-Unis et le National Cyber Security Centre (NCSC) au Royaume-Uni, ont ultérieurement publié des directives communes rappelant aux administrateurs de réseaux d'entreprise que les modèles de langage naturel ne disposent d'aucun procédé déterministe pour dissocier les signaux de commande des flux de données.

En parallèle, l'industrie logicielle a rapidement basculé des simples agents conversationnels vers des flux de travail agentiques. Les suites bureautiques de référence éditées par Microsoft, Google ou diverses jeunes pousses ont intégré des agents autonomes capables d'examiner des messages, d'interroger des intranets d'entreprise et d'accomplir des démarches en plusieurs étapes à travers des applications interconnectées. Si cette automatisation procure d'importants gains de productivité, elle confère également aux modèles grand public et professionnels des privilèges d'écriture et d'exécution au cœur des plateformes administratives.

Les éditeurs classiques de solutions anti-hameçonnage éprouvent des difficultés à suivre le rythme. Les relevés de l'Anti-Phishing Working Group (APWG) mettent en évidence des hausses trimestrielles régulières des campagnes de hameçonnage inédites ces dernières années, de plus en plus souvent appuyées par des contenus synthétiques et des méthodes d'acheminement automatisées. Le vecteur d'injection documenté par Malwarebytes capitalise sur cette dynamique, prenant pour cible les intermédiaires automatisés mis en place par les entreprises pour soulager la charge administrative de leurs équipes.

## Réactions

L'alerte émise par Malwarebytes a recentré le débat industriel sur le décalage existant entre le rythme des déploiements commerciaux et la solidité des cadres de sécurité encadrant les agents. Bien que les premiers comptes-rendus ne mentionnent aucune réponse officielle des grands développeurs d'agents grand public, les spécialistes de la cybersécurité d'entreprise et les ingénieurs en sûreté de l'intelligence artificielle débattent activement de méthodes de remédiation dans les conférences spécialisées et auprès des organismes de normalisation.

Au sein des forums de développeurs, les échanges portent avant tout sur la viabilité d'un cloisonnement architectural (sandboxing). De nombreux ingénieurs logiciels font valoir que les agents autonomes ne devraient pas disposer d'un accès API universel leur permettant à la fois de lire du contenu externe non vérifié et d'écrire sur des systèmes internes privilégiés au sein du même environnement d'exécution. Les analystes du secteur s'attendent à ce que les directions des achats informatiques imposent des tests d'intrusion rigoureux par des équipes tierces (red teaming) avant d'autoriser les assistants d'IA à se connecter aux infrastructures de messagerie de l'entreprise.

Les autorités de régulation chargées des normes de cybersécurité et d'intelligence artificielle — notamment le Bureau européen de l'IA (EU AI Office), dans le cadre du calendrier de mise en application de l'EU AI Act, et le National Institute of Standards and Technology (NIST) aux États-Unis — devraient fixer des limites aux privilèges des agents dans les prochaines révisions de leurs référentiels de sécurité numérique. Des collectifs indépendants de protection des consommateurs ont également réclamé des avertissements plus explicites de la part des éditeurs de logiciels sur les risques de manipulation des assistants automatisés par des données externes hostiles.

## Ce que l'on ignore encore

En dépit de la démonstration rigoureuse des mécanismes de cette vulnérabilité, plusieurs aspects opérationnels restent à élucider. Plus précisément, l'analyse technique ne quantifie pas la fréquence réelle de ces attaques dans des environnements d'entreprise en production. Il reste à déterminer si des groupes de cybermenaces avancés ou des réseaux cybercriminels ont d'ores et déjà exploité ces injections automatisées de prompts dans la nature à des fins de fraude financière, ou si les constats publiés découlent d'expérimentations contrôlées de preuve de concept menées par des chercheurs en sécurité défensive.

De plus, les éléments divulgués n'indiquent pas quels modèles de langage propriétaires ou open source sont les plus exposés à ces attaques ciblant les boîtes de réception, ni si les mécanismes de défense propriétaires — tels que les architectures de vérification à double modèle de langage (dual-LLM), les couches d'assainissement des entrées ou les garde-fous constitutionnels d'entraînement — affichent une réelle efficacité pour intercepter ces tentatives. On ignore également dans quelle mesure les principaux hébergeurs de messagerie déploient d'ores et déjà des filtres d'apprentissage automatique paramétrés pour purger les charges utiles d'injection de prompts avant qu'elles n'atteignent les agents des utilisateurs.

## Les éléments à surveiller

Au cours des prochains mois, plusieurs étapes charnières viendront préciser la réponse de l'industrie technologique face à ces vulnérabilités d'injection de prompts dans les agents de communication :

- Les publications techniques et livres blancs des grands fournisseurs de plateformes collaboratives, dont Microsoft, Google et les éditeurs spécialisés, qui préciseront s'ils introduisent des garde-fous structurels comme l'approbation humaine systématique (human-in-the-loop) pour les opérations sensibles confiées aux agents. - Les actualisations du Top 10 de l'OWASP pour les grands modèles de langage ainsi que les documents d'orientation du National Institute of Standards and Technology (NIST) consacrés au périmètre d'exécution des agents et aux normes d'isolation des entrées-sorties. - Les rapports de renseignement sur les menaces publiés par les équipes de réponse à incident, indiquant si des groupes de menaces persistantes avancées (APT) ou des opérateurs de rançongiciels ont intégré l'injection automatisée de prompts comme vecteur d'accès initial. - Les lancements commerciaux attendus chez les spécialistes de la sécurité des messageries, portant sur des modules d'inspection à l'exécution conçus pour assainir le texte avant qu'il ne soit soumis aux agents autonomes.

Ce compte-rendu repose sur des informations publiées le 17 octobre 2026 par le journaliste spécialisé en technologies Victor Tangermann, détaillant les analyses de vulnérabilités menées par l'éditeur de logiciels de cybersécurité Malwarebytes.