Une étude montre que des compétences malveillantes pour agents IA peuvent échapper aux scanners statiques grâce à des techniques de compression

Des chercheurs de l’Université des sciences et technologies de Hong Kong affirment que des modules complémentaires malveillants, ou « compétences », pour agents IA de codage peuvent être modifiés afin de contourner les scanners de sécurité statiques sans altérer leur comportement. Dans un article en prépublication intitulé Cloak and Detonate, l’équipe décrit un système appelé SKILLCLOAK, qui dissimule des compétences dangereuses afin qu’elles paraissent inoffensives lors de l’inspection, tout en continuant à s’exécuter normalement lorsqu’elles sont chargées par un agent.

Comment fonctionne le contournement

Les compétences des agents IA sont de petits ensembles d’instructions et de scripts utilisés par des outils tels que Claude Code, OpenAI Codex et OpenClaw. Comme elles peuvent s’exécuter avec les propres privilèges de l’agent, une compétence malveillante peut être en mesure de voler des identifiants, de copier du code ou d’installer des portes dérobées.

Les chercheurs ont testé deux principales techniques de contournement. La première consiste à apporter de petites modifications au texte tout en préservant les fonctionnalités, par exemple en remplaçant des caractères par des caractères visuellement similaires provenant d’autres alphabets ou en répartissant des commandes suspectes sur plusieurs lignes. La méthode la plus efficace, appelée compression auto-extractible, dissimule la charge utile dans des dossiers que les scanners ignorent souvent, comme .git/, puis la reconstruit uniquement au moment de l’exécution à l’aide d’un décodeur apparemment inoffensif.

Sur huit scanners et 1 613 compétences malveillantes issues d’une place de marché publique, la méthode de compression a contourné chaque scanner dans plus de 90 % des cas et, souvent, dans plus de 99 % des cas. La méthode de réécriture, plus légère, a également atteint des taux élevés de contournement, souvent supérieurs à 80 %.

La détection à l’exécution est plus efficace

Pour remédier aux limites de l’analyse statique, l’équipe a créé SKILLDETONATE, un outil de vérification basé sur un bac à sable qui surveille les actions d’une compétence après son lancement. Au lieu de s’appuyer uniquement sur le contenu des fichiers, il suit les accès aux fichiers, les écritures et l’activité réseau au niveau du système d’exploitation. Lors des tests des auteurs, l’outil d’exécution a détecté 97 % des attaques dans un environnement contrôlé, avec un taux de faux positifs de 2 %, et est resté efficace contre les compétences dissimulées.

Ces conclusions interviennent alors que les inquiétudes concernant les contenus malveillants présents sur les places de marché d’outils IA se multiplient. Des entreprises de sécurité ont déjà signalé la présence de code dissimulé, de vols d’identifiants et d’autres abus dans des référentiels publics et des écosystèmes d’agents. L’article n’a pas encore été évalué par des pairs et le détecteur à l’exécution reste un prototype de recherche, mais les auteurs estiment que ces résultats montrent pourquoi la mention « analyse statique réussie » ne doit pas être considérée comme une garantie de sécurité.

• Les scanners statiques peuvent ne pas détecter les compétences malveillantes qui ont été reconditionnées ou artificiellement gonflées.
• Le comportement à l’exécution constitue un indicateur plus fiable que la seule apparence.
• Les équipes de sécurité doivent surveiller les comportements de décompression, les emplacements de fichiers inhabituels et le remplissage excessif des fichiers.