Un agent d’intelligence artificielle ne communique pas toujours directement avec OpenAI, Anthropic ou un autre fournisseur. Il peut passer par un routeur d’API, c’est-à-dire un intermédiaire qui choisit le modèle, gère les coûts ou assure le basculement entre plusieurs fournisseurs.
Cet intermédiaire termine la connexion chiffrée du client puis en ouvre une nouvelle vers le fournisseur. Il peut donc voir en clair les requêtes, les réponses, les clés d’API, les instructions système et les appels d’outils. Surtout, aucun mécanisme généralisé ne garantit aujourd’hui que l’action reçue par l’agent correspond exactement à celle produite par le modèle.
Imaginez que vous demandiez à un assistant d’envoyer un colis. Le transporteur reçoit l’adresse correcte, mais un centre de tri intermédiaire remplace discrètement l’étiquette. Le transporteur n’a pas été trompé : sa réponse a été modifiée après coup.
Un routeur d’IA malveillant peut faire la même chose avec un appel d’outil. Le modèle peut demander l’installation d’une dépendance légitime, tandis que l’agent reçoit une commande presque identique contenant un paquet contrôlé par l’attaquant.
| Attaque | Fonctionnement | Conséquence possible |
|---|---|---|
| Injection de charge utile (AC-1) | Le routeur réécrit les arguments d’un appel d’outil après la réponse du modèle | Exécution d’une commande ou d’un script contrôlé par l’attaquant |
| Exfiltration passive (AC-2) | Le routeur copie les secrets visibles dans le trafic sans modifier la réponse | Vol de clés d’API, identifiants cloud, code ou données sensibles |
| Substitution de dépendance (AC-1.a) | Un paquet légitime est remplacé par un paquet malveillant ou typosquatté | Compromission persistante de la chaîne logicielle |
| Livraison conditionnelle (AC-1.b) | L’attaque ne s’active qu’après un certain nombre de requêtes ou dans un contexte précis | Contournement des tests courts et des audits en boîte noire |
Ces attaques se produisent au niveau du transport applicatif et des objets JSON. Elles sont donc distinctes de l’injection de prompt : même un modèle qui raisonne correctement ne peut pas détecter qu’un intermédiaire modifie sa réponse après l’inférence.
L’étude porte sur 428 routeurs tiers : 28 services payants et 400 services gratuits. Les chercheurs déclarent avoir identifié neuf routeurs injectant activement du code malveillant, deux utilisant des mécanismes d’évasion adaptative, 17 ayant déclenché l’utilisation de leurres AWS et un ayant vidé les fonds associés à une clé Ethereum de recherche.
| Observation de terrain | Résultat publié |
|---|---|
| Routeurs payants testés | 28 |
| Routeurs gratuits testés | 400 |
| Routeurs injectant du code | 9, dont 1 payant et 8 gratuits |
| Routeurs avec déclenchement adaptatif | 2 |
| Routeurs ayant touché des identifiants AWS leurres | 17 |
| Clé Ethereum de recherche vidée | 1 |
Les auteurs ont aussi étudié le détournement de routeurs apparemment légitimes à partir de clés divulguées ou de relais faiblement configurés. Ils rapportent 99 identifiants exposés dans 440 sessions Codex observées ; 401 de ces sessions fonctionnaient déjà en mode autonome avec approbation automatique des outils.
Cette frontière de confiance n’est pas seulement théorique. En mars 2026, les versions PyPI 1.82.7 et 1.82.8 de LiteLLM ont été publiées avec du code malveillant à la suite d’une compromission de la chaîne de publication. LiteLLM indique que les paquets ont été disponibles environ 40 minutes avant leur mise en quarantaine ; les images Docker officielles n’étaient pas concernées, car leurs dépendances étaient épinglées.
Datadog recommande de traiter tout hôte ou pipeline ayant installé ces versions comme un événement d’exposition complète des identifiants et de rechercher également des signes de persistance et d’activité Kubernetes.
Sources : LiteLLM Security Update, Datadog
Les chercheurs ont testé trois familles de protection côté client. Dans leur corpus expérimental, une politique bloquant par défaut les appels d’outils à haut risque a arrêté toutes les injections AC-1 et AC-1.a testées avec 1 % de faux positifs, tandis qu’un détecteur d’anomalies a repéré 89 % des injections AC-1, mais seulement environ la moitié des variantes adaptatives. Un journal append-only facilite l’enquête après incident, sans empêcher l’attaque.
Aucune de ces mesures n’apporte une preuve cryptographique de provenance. Les auteurs proposent à plus long terme que les fournisseurs signent les réponses ou des enveloppes contenant les appels d’outils, afin que le client puisse vérifier que l’action exécutée correspond bien à celle produite en amont.
La règle opérationnelle est simple : plus un agent dispose d’autonomie, moins son chemin réseau et sa chaîne d’approvisionnement peuvent être traités comme de simples détails techniques.
Les risques de l’IA ne se limitent pas aux agents et aux API. L’AI Incident Database recense les dommages ou quasi-dommages liés à des systèmes d’IA.
Son incident n° 1421 décrit un candidat ayant prétendument utilisé un deepfake pour usurper l’identité du dirigeant informatique japonais Kenbun Yoshii lors d’un entretien à distance à Tokyo. L’attribution à un acteur étatique reste incertaine ; l’intérêt pédagogique de ce cas est surtout de montrer comment l’IA peut déplacer la frontière de confiance jusque dans le recrutement.
Pour approfondir : AI Incident Database — incident 1421.
Les principaux travaux (AI Risk Repository, taxonomies MIT/IEEE, OWASP, MITRE ATLAS) identifient quatre grandes familles :
Sources : AI Risk Repository (arxiv), arxiv 2412.07780
L'IA amplifie des risques deja connus en cybersecurite :
Membership inference, inversion de donnees d'entrainement (training data extraction) permettent de retrouver des informations sensibles a partir du modele lui-meme.
Ref : arxiv 2510.02357
Dependance a des modeles tiers, a des API, a des jeux de donnees non maitrises. Un modele pre-entraine telecharge depuis un hub public peut contenir des backdoors.
Ref : arxiv 2504.00091
Adversarial traffic et surcout GPU sur les pipelines IA peuvent provoquer un deni de service cible.
Ref : arxiv 2506.04133
Le OWASP Top 10 for LLM documente en detail ces attaques.
Enchainement d'actions sur des systemes reels (RPA, outils API) et escalade d'impact. Un agent compromis peut executer des actions irreversibles sur des systemes de production. Voir aussi la section routeurs d’IA ci-dessus.
Ref : Semantic Scholar
Impacts sur la fraude, la desinformation et la confiance dans les systemes. Les deepfakes audio et video permettent des attaques d'ingenierie sociale a grande echelle.
Ref : arxiv 2502.05324