Réduction du rayon d'impact des agents IA : 7 patterns tactiques contre l'injection de prompt indirecte

🧭 Contexte

Publié le 12 mai 2026 par Ross McKerchar (CSO de Sophos), cet article de recherche traite des risques de sécurité liés au déploiement d’agents IA en entreprise, en particulier face à la menace d’injection de prompt indirecte (indirect prompt injection). L’article s’appuie sur des travaux de recherche récents, notamment une étude Google d’avril 2026 sur le dépôt Common Crawl.

⚠️ La menace : la « trifecta létale »

Les agents IA opèrent souvent au centre de ce que Simon Wilson nomme la « lethal trifecta » : ils accèdent à des données privées, traitent du contenu non fiable, et communiquent vers l’extérieur. Cette combinaison les rend vulnérables à l’injection de prompt indirecte, où un attaquant plante des instructions dans du contenu lu par l’agent (email, page web, document), qui les exécute avec les privilèges de l’utilisateur légitime.

L’étude Google d’avril 2026 sur Common Crawl a détecté des injections de prompt dans des pages web publiques et rapporte une augmentation de 32% des tentatives malveillantes entre novembre 2025 et février 2026.

🛡️ Trois lignes de défense

• Ligne 1 – Prévention de l’injection : filtrage d’entrée, hiérarchie d’instructions, classifieurs. Inefficace face aux attaques adaptatives (100% de bypass par des red-teamers humains selon Nasr et al.).
• Ligne 2 – Séparation architecturale : patterns Dual LLM (Wilson), CaMeL (Google DeepMind), approches IBM/ETH Zurich/Google/Microsoft. Aucune implémentation en production à ce jour.
• Ligne 3 – Assume breach du layer LLM : focus actuel recommandé. Contenir le rayon d’impact via des contrôles externes au modèle.

🔧 7 patterns tactiques

1. Agent sandboxing : isolation du processus agent (Claude Code, OpenClaw, Nono). Souvent opt-in, ne protège pas contre l’abus des outils légitimes.
2. Credential isolation : un proxy séparé résout les credentials depuis un vault ; l’agent ne voit jamais le secret (Agent Vault, 1Password, Sophos universal agent skill).
3. Sealed tool endpoints : l’agent ne peut pas construire la requête réseau ; un broker isolé détient le credential et applique un schéma fixe (Cedar, Keos, gitagent).
4. Egress restriction et network monitoring : détection de secrets dans le trafic (TruffleHog, Gitleaks), NDR/IDS, détection de gros uploads, allowlisting d’egress.
5. EDR/Endpoint Detection and Response : les agents compromis génèrent les mêmes primitives d’exécution que tout processus malveillant ; l’EDR existant s’applique directement.
6. Human-gated approval : approbation humaine cryptographique (FIDO2/passkeys, OAuth 2.0 CIBA, DJAG) pour les actions irréversibles et les modifications du plan de contrôle.
7. Injection propagation boundaries : 4 niveaux (session, mémoire persistante, cross-agent direct, cross-agent via état partagé/A2A) ; chaque frontière est un point d’interception.

🚧 Problèmes ouverts

• Aucune implémentation production de CaMeL
• Détection de memory poisoning uniquement heuristique
• Identité des agents non standardisée (dépendance aux API keys long-lived)
• Fatigue d’approbation humaine
• Absence de protocole standard pour la délégation de confiance inter-agents

📋 Type d’article

Il s’agit d’une recommandation de sécurité à destination des équipes sécurité et CISO, visant à fournir des patterns tactiques immédiatement déployables pour réduire le risque lié aux agents IA, avant que les harnesses et outils du marché ne maturent.

🧠 TTPs et IOCs détectés

TTP

• T1059 — Command and Scripting Interpreter (Execution)
• T1552 — Unsecured Credentials (Credential Access)
• T1041 — Exfiltration Over C2 Channel (Exfiltration)
• T1190 — Exploit Public-Facing Application (Initial Access)
• T1565 — Data Manipulation (Impact)

Malware / Outils

• TruffleHog (tool)
• Gitleaks (tool)

🟡 Indice de vérification factuelle : 60/100 (moyenne)

• ✅ sophos.com — source reconnue (liste interne) (20pts)
• ✅ 31482 chars — texte complet (fulltext extrait) (15pts)
• ⬜ aucun IOC extrait (0pts)
• ⬜ pas d’IOC à vérifier (0pts)
• ✅ 5 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://www.sophos.com/en-gb/blog/inside-the-lethal-trifecta-blast-radius-reduction-in-ai-agent-deployments