Les chercheurs en sécurité de Check Point affirment que le principal risque de nombreux systèmes d’agents IA ne réside pas uniquement dans l’injection de prompts, mais dans la manière dont les frameworks d’agents traitent les contenus qu’un attaquant peut influencer. Leurs découvertes, présentées lors de Black Hat, portent sur 11 vulnérabilités touchant plusieurs plateformes de développement largement utilisées.
Cette étude, menée pendant un an, a examiné LangChain, LangGraph, CrewAI, AutoGen, Microsoft Agent Framework et l’Agent Development Kit (ADK) de Google. Selon les chercheurs, les produits concernés peuvent permettre à des textes ou fichiers non fiables de parvenir jusqu’à des fonctions de confiance responsables de l’orchestration, de la mémoire, du routage et de la gestion de l’état.
Yarden Porat et Shahar Tal ont déclaré que les vulnérabilités concernaient principalement des problèmes de sécurité connus plutôt que des techniques inédites propres à l’IA. Les catégories signalées incluaient la désérialisation non sécurisée, la falsification de requêtes côté serveur, la traversée de répertoires et les problèmes d’utilisation après libération. Leur inquiétude tient au fait que ces faiblesses apparaissent désormais dans des logiciels capables de lire des documents professionnels, d’accéder à des identifiants cloud ou de modifier des données d’entreprise.
Une faille de Checkpoint permettait l’exécution de code
Un problème critique dans Microsoft Agent Framework concernait les points de contrôle. Ceux-ci préservent la progression et l’historique des conversations d’un agent afin de pouvoir reprendre une session ultérieurement. Check Point a indiqué qu’un attaquant pouvait utiliser du contenu contrôlé par un prompt pour intégrer une charge malveillante dans un point de contrôle, laquelle pouvait ensuite être activée lorsqu’une autre session restaurait cet état.
Microsoft a reconnu le signalement, versé une prime de 10 000 dollars et publié des protections destinées à bloquer le vecteur d’attaque démontré. L’entreprise a également ajouté une formulation clarifiant la limite de sécurité applicable au fichier de point de contrôle concerné. Aucun identifiant CVE n’a été attribué, car le framework n’était pas encore généralement disponible au moment du signalement.
Exposition de Google ADK
Check Point a également signalé une faiblesse dans l’assistant de développement intégré à Google ADK. Les chercheurs ont déclaré qu’une interface HTTP non authentifiée pouvait être utilisée pour créer et exécuter un agent contenant du code Python qui s’exécute lors de l’importation. Dans un déploiement Cloud Run par défaut, ont-ils affirmé, le processus ainsi créé pouvait accéder aux clés d’environnement et au compte de service Google Cloud du conteneur.
Selon Check Point, Google a d’abord contesté la qualification du problème, avant de verser une prime de 3 133,70 dollars et d’appliquer un correctif partiel. Les chercheurs ont indiqué que le montant total de leurs récompenses s’élevait à 17 133,70 dollars.
La conclusion générale de Check Point est que les organisations doivent partir du principe que des tentatives d’injection de prompts se produiront et veiller à ce que le contenu injecté reste une donnée non fiable, plutôt que d’influencer la logique de contrôle du framework.