En 2026, la partie la plus sensible des agents IA n’est plus seulement le modèle. C’est la couche logicielle qui le relie aux outils, aux fichiers, aux API, aux prompts, au contexte, puis à l’exécution d’actions. C’est elle qui, en pratique, peut faire passer une simple sortie texte vers une commande shell, une écriture dans un fichier, un appel réseau ou une tâche automatisée.
Les chercheurs la décrivent chacun à leur façon, mais ils parlent de la même chose. Pour les uns, ce sont les « mains, jambes et yeux » du modèle. D’autres parlent de son « châssis ». D’autres encore, de son « système d’exploitation ».
Au fond, peu importe l’image choisie.
C’est bien ce logiciel d’orchestration qui tranche sur l’essentiel : ce que l’agent IA peut voir, ce qu’il peut utiliser, et ce qu’il est autorisé à exécuter.
Le vrai problème part de là. Plusieurs démonstrations récentes montrent qu’on peut compromettre un agent sans toucher à son comportement de base.
Le modèle, lui, ne devient pas malveillant et ne part pas hors de contrôle. Ce qui casse, c’est le logiciel autour : trop de confiance accordée, trop d’accès ouverts, trop d’automatisation laissée sans garde-fou.
Un résultat a particulièrement de quoi faire tiquer. D’après une étude de Lasso Security, il suffit de remplacer un seul composant présenté comme neutre dans l’infrastructure d’un agent pour faire grimper le taux de réussite d’une attaque de 1 % à 24 %. Le modèle ne change pas. Le prompt non plus. Les outils exposés restent les mêmes.
Le signal est d’autant plus difficile à ignorer que les attaques ne s’arrêtent pas aux implémentations artisanales. Elles touchent aussi les frameworks officiels. Le chercheur Elad Meged dit avoir compromis des dépôts d’automatisation publiés par Anthropic, Google et OpenAI, en passant uniquement par des issues GitHub.
Le point commun entre ces intrusions est assez net : une relation de confiance mal cadrée dans la couche d’orchestration.
Dès qu’un agent traite trop facilement un contenu externe comme s’il était fiable, ou dès que sa couche logicielle exécute des sorties sans validation sérieuse, une interaction banale peut suffire à ouvrir la porte.
Dans un registre proche, Zenity affirme avoir identifié des extensions malveillantes capables de voler des identifiants.
Et selon les chercheurs de Zenity, ces modules sont passés sous le radar de tous les scanners qu’ils ont testés, y compris des outils officiels fournis par Anthropic et Cisco.
Le contexte ne rassure pas.
Toujours d’après les chiffres repris dans ces travaux, 61 % des nouvelles applications d’entreprise, en 2026, avaient été conçues avec des composants de génération intégrés. Dans le même temps, les incidents de sécurité signalés publiquement ont augmenté de 56,4 % entre 2023 et 2024.
Une autre enquête citée dans ces mêmes travaux raconte à peu près la même histoire : 76 % des entreprises disent avoir subi au moins un incident de type injection de prompt, et 66 % font état de problèmes liés à du code vulnérable autour des grands modèles de langage.
Il faut donc garder la tête froide.
Pour les équipes de défense, protéger le modèle ne suffit plus. Il faut aussi fermer ce qui l’entoure : les permissions, les connecteurs, l’exécution d’actions, la validation des sorties, la provenance des données. Les travaux de Lasso Security, de Zenity et du chercheur Elad Meged pointent tous dans cette direction : c’est très souvent à cet endroit précis que l’attaque cesse d’être théorique et devient possible.
Suivez-moi sur Twitter : @pierrevitre
