Des chercheurs affirment avoir identifié une technique d’attaque de la chaîne d’approvisionnement dans le dépôt GitHub de l’Agent Development Kit (ADK) de Google pour Python, grâce à laquelle un agent IA moins privilégié pouvait être manipulé pour en activer un autre, plus puissant.
Le problème a été découvert dans google/adk-python, une boîte à outils open source qui aurait été téléchargée plus de 90 millions de fois. Dan Lisichkin, chercheur chez Pillar Security, a décrit cette découverte comme un exemple d’exploitation « d’agent à agent », une catégorie d’attaques apparue alors que les organisations utilisent de plus en plus les systèmes d’IA dans le développement logiciel et les processus CI/CD.
Fonctionnement de l’attaque
Le dépôt utilisait deux agents automatisés aux rôles différents. Un agent accessible au public traitait les demandes de fusion et les problèmes, tandis qu’un agent réservé aux mainteneurs avait accès à des actions plus sensibles. Selon Pillar, les flux de travail et les autorisations des systèmes avaient créé une relation de confiance involontaire.
Un attaquant pouvait d’abord soumettre une demande de fusion apparemment légitime contenant une modification malveillante, comme une dépendance altérée. Après le traitement de cette contribution par l’agent public, l’attaquant pouvait soumettre une autre demande de fusion contenant des instructions conçues pour manipuler l’agent par injection de prompt. La sortie obtenue pouvait alors déclencher un transfert vers l’agent privilégié, qui était susceptible d’effectuer une action pour le compte de l’attaquant.
La réalisation de l’attaque dans son intégralité aurait probablement exigé de l’attaquant qu’il établisse sa crédibilité au moyen de contributions antérieures. Elle n’aurait pas non plus entraîné automatiquement la fusion d’une demande malveillante : un mainteneur aurait toujours dû approuver ou fusionner la modification. Néanmoins, les chercheurs ont indiqué que cette séquence pouvait créer un historique trompeur donnant l’impression qu’un humain avait demandé une revue et qu’un agent IA l’avait approuvée.
La réponse de Google
Google a corrigé le problème sous-jacent dans le dépôt et a attribué la découverte à son auteur, mais a indiqué qu’elle ne donnait pas droit à une prime de bug bounty, car son exploitation dépendait de l’ingénierie sociale et nécessitait toujours l’intervention d’un mainteneur. L’entreprise a précisé que le jeton exposé pouvait modifier les demandes de fusion, mais pas les fusionner de manière autonome.
Selon Lisichkin, cet incident montre que séparer les agents par fonction ne suffit pas. Il a recommandé d’attribuer à chaque agent une identité distincte et de limiter explicitement les ressources et les interactions auxquelles il peut accéder. Les équipes de sécurité, a-t-il ajouté, devraient intégrer l’identité des agents, leurs autorisations et leur rayon d’impact potentiel dans les modèles de menace des systèmes de développement utilisant l’IA.