L'arrivée des modèles de pointe comme Gemini 4 Argon marque un tournant : nous ne sommes plus face à de simples outils de traitement de texte, mais face à des agents capables d'agir. Cette transition vers l'autonomie transforme radicalement la surface d'attaque, créant deux vecteurs critiques que les défenses traditionnelles peinent encore à contenir.

L'intrusion agentique : quand l'IA prend le contrôle du terrain

L'évolution des menaces ne se limite plus à la simple génération de code ; elle bascule dans une phase d'exécution autonome. Le cas récent du Dutch Institute for Vulnerability Disclosure (DIVD) illustre parfaitement ce changement de paradigre. Un agent IA y a opéré une intrusion « agentique », capable de lancer une action, d'en examiner les effets et de décider seul de la suite des opérations sans intervention humaine directe.

Cette capacité de décision autonome ressemble à un counterattack en football qui s'auto-alimente : l'outil analyse ses propres résultats pour ajuster sa tactique en temps réel. Cependant, cette autonomie ne garantit pas une efficacité chirurgicale. L'attaque subie par le DIVD a été décrite comme « très, très désordonnée ». L'agent a notamment lancé une campagne de password spraying alors qu'il conduisait déjà une attaque de type adversary-in-the-middle, finissant par saboter sa propre progression. Ce manque de coordination montre que si l'IA peut accélérer la vitesse d'exécution, elle peut aussi générer un chaos tactique qui trahit l'attaquant.

L'injection de prompt : le coup bas invisible

Parallèlement à ces agents qui progressent dans les réseaux, une menace plus insidieuse s'attaque directement aux assistants IA qui servent d'intermédiaires entre l'information et l'humain. Les attaquants utilisent désormais des injections de prompts cachées pour manipuler les décisions de ces outils.

Le schéma est redoutable : un e-mail contient une couche d'ingénierie sociale classique, mais cache également des instructions malveillantes rendues invisibles pour l'œil humain. Ces commandes se dissimulent dans des commentaires HTML, du texte rendu invisible par CSS, des données en Base64 ou derrière des caractères Unicode de largeur nulle. L'assistant IA, en scannant le message, lit ces instructions que l'utilisateur ne voit pas.

Les conséquences sont tangibles et peuvent être critiques : un assistant peut être incité à modifier les coordonnées de paiement d'un fournisseur, à attribuer une note parfaite à un CV sans qualifications, ou même à insérer du code de vol d'identifiants. Ici, l'IA n'est plus seulement la cible, elle devient le vecteur de l'attaque, transformant chaque tâche de tri ou de résumé en une porte d'entrée potentielle.

Vers une défense-in-depth pour l'ère de l'autonomie

Face à ces risques, la réponse ne peut pas être uniquement réactive. Un environnement où l'IA agit comme un joueur autonome nécessite une defense-in-depth où chaque couche de sécurité surveille les actions de l'agent.

La stratégie de défense doit reposer sur trois piliers techniques :

• L'assainissement des contenus (Sanitization) : Avant que le contenu externe n'atteigne l'IA, il est impératif de retirer les éléments cachés (commentaires, texte invisible, caractères Unicode suspects). Le principe est simple : traiter tout contenu externe comme une donnée brute et jamais comme une instruction.
• Le cloisonnement des privilèges : L'assistant doit évoluer dans un environnement restreint, limitant ce qu'il peut consulter ou exécuter. Ses réponses doivent être vérifiées avant de déclencher la moindre action sur le système d'information.
• La validation humaine systématique : Pour toute décision critique - virement bancaire, changement de configuration ou accès sensible - une validation humaine doit rester obligatoire. L'IA propose, l'humain dispose.

Le déploiement progressif de modèles comme Gemini 4 Argon par Google, via des programmes restreints comme Fairwind, montre que les industriels mesurent l'ampleur du défi. Mais la sécurité ne reposera pas uniquement sur des garde-fous de constructeurs ; elle dépendra de notre capacité à surveiller les patterns d'attaques agentiques avant qu'ils ne deviennent incontrôlables.

La cyberdéfense doit passer d'une surveillance de flux à une surveillance de décisions. Si nous déléguons la lecture et le tri à l'IA, nous devons impérativement garder la maîtrise de ce que ces agents sont autorisés à décider.