RECHERCHE
Septembre 2024 : agents web détournables, vishing automatisé et post-quantique attaqué
Septembre 2024 marque le passage de la sécurité de l'IA des modèles aux agents : des pages web qui volent des données personnelles aux agents et une défense fondée sur le contrôle des flux. L'ingénierie sociale s'automatise avec des appels pilotés par un LLM, et une étude de terrain relativise la formation anti-phishing. En post-quantique, des injections de fautes frappent ML-KEM et ML-DSA.
Archives : reconstitution rédigée en novembre 2026
1. EIA: Environmental Injection Attack on Generalist Web Agents for Privacy Leakage
arXiv · Zeyi Liao, Lingbo Mo, Chejian Xu, Mintong Kang et al. · Sécurité de l'IA et des LLM
En bref: Un contenu caché sur un site trompe les agents web et leur soutire les données personnelles des utilisateurs.
L'article étudie les risques pour la vie privée des agents web généralistes sur des sites compromis. L'attaque EIA insère dans la page un contenu adapté à l'environnement de l'agent. Sur 177 étapes réelles avec données personnelles, elle vole des données ciblées jusqu'à 70% du temps et la requête complète dans 16% des cas. Elle est difficile à détecter et un prompt système défensif ne suffit pas.
Pourquoi c'est important. Un agent qui réserve ou remplit des formulaires pour l'utilisateur devient un canal de fuite : il lui suffit de visiter une page manipulée.
2. System-Level Defense against Indirect Prompt Injection Attacks: An Information Flow Control Perspective
arXiv · Fangzhou Wu, Ethan Cecchetti, Chaowei Xiao · Méthodes formelles
En bref: Une défense au niveau système contre la prompt injection indirecte, fondée sur le contrôle des flux d'information.
Dans les systèmes LLM, chaque étape alimente la suivante : une entrée malveillante de n'importe quelle source peut détourner l'exécution. Le système "f-secure" produit des plans structurés exécutables et un moniteur tient les entrées non fiables hors de la planification. Modèles formels et benchmarks montrent une protection robuste sans perte de fonctionnalité. Le code est public.
Pourquoi c'est important. La défense passe du filtrage des prompts à l'architecture : c'est le contrôle à rechercher chez les agents ayant accès aux données ou aux paiements.
Lire l'article · PDF · Code
3. The Early Bird Catches the Leak: Unveiling Timing Side Channels in LLM Serving Systems
IEEE Transactions on Information Forensics and Security · Linke Song, Zixuan Pang, Wenhao Wang, Zihao Wang et al. · Sécurité des systèmes et logiciels
En bref: Les caches des services LLM partagés laissent fuir, via les temps de réponse, les prompts système et ceux d'autres utilisateurs.
Les auteurs découvrent de nouveaux canaux auxiliaires temporels dans les services LLM multi-utilisateurs, dus aux caches partagés et à la mémoire GPU. En classant les succès de cache KV et sémantique selon les temps, un attaquant déduit des prompts privés avec une grande précision. Une recherche token par token reconstruit les préfixes. Des tests black-box sur des services en ligne le confirment.
Pourquoi c'est important. Les optimisations de performance des fournisseurs de LLM deviennent un risque de confidentialité pour les clients qui partagent l'infrastructure.
4. Models Are Codes: Towards Measuring Malicious Code Poisoning Attacks on Pre-trained Model Hubs
arXiv · Jian Zhao, Shenao Wang, Yanjie Zhao, Xinyi Hou et al. · Chaîne d'approvisionnement logicielle
En bref: Première étude systématique du code malveillant caché dans les modèles et jeux de données de Hugging Face.
Les modèles pré-entraînés sont aussi du code : certains formats l'exécutent au chargement. L'article classe les formats vulnérables et propose MalHug, qui combine désérialisation, analyse de flux et motifs heuristiques. En trois mois, sur le miroir d'une grande fintech, il a examiné plus de 705 000 modèles et 176 000 jeux de données, et trouvé 91 modèles et 9 scripts de chargement malveillants.
Pourquoi c'est important. Télécharger un modèle depuis un hub public revient à exécuter du code tiers : un nouveau maillon de la chaîne d'approvisionnement logicielle.
5. DarkGram: A Large-Scale Analysis of Cybercriminal Activity Channels on Telegram
USENIX Security Symposium · Sayak Saha Roy, Elham Pourabbas Vafa, Kobra Khanmohammadi, Shirin Nilizadeh · Sécurité des systèmes et logiciels
En bref: 339 canaux Telegram de cybercriminalité, suivis par 23,8 millions d'utilisateurs, analysés à grande échelle.
DarkGram, un classifieur fondé sur BERT précis à 96%, analyse 53 605 publications de février à mai 2024. Y circulent identifiants compromis, malwares, kits d'exploits et arnaques, souvent gratuits pour attirer des acheteurs. Les canaux visent aussi leurs abonnés : 28,1% des liens sont du phishing et 38% des exécutables contiennent un malware. Après fermeture, ils migrent vite.
Pourquoi c'est important. L'étude montre la facilité et la rentabilité du marché des identifiants et outils d'attaque, et le peu d'effet des fermetures de canaux.
6. On the Feasibility of Fully AI-automated Vishing Attacks
arXiv · João Figueiredo, Afonso Carvalho, Daniel Castro, Daniel Gonçalves et al. · Sécurité des systèmes et logiciels
En bref: Un système de vishing entièrement automatisé, piloté par un LLM, convainc de nombreuses personnes de révéler des données sensibles.
ViKing associe un LLM à la synthèse et à la reconnaissance vocales, avec des technologies publiques, pour mener des appels frauduleux. Dans une expérience contrôlée avec 240 participants, il en a persuadé beaucoup de divulguer des informations sensibles, y compris des personnes explicitement prévenues. Les conversations ont été jugées globalement réalistes.
Pourquoi c'est important. Le coût d'une campagne de fraude téléphonique s'effondre : plus de tentatives de vol d'identifiants et de fraude aux paiements à nombre d'attaquants égal.
7. Content, Nudges and Incentives: A Study on the Effectiveness and Perception of Embedded Phishing Training
ACM Conference on Computer and Communications Security · Daniele Lain, Tarek Jost, Siniša Matetić, Kari Kostiainen et al.
En bref: La formation anti-phishing intégrée agit comme un rappel, pas par son contenu, que presque personne ne lit.
Une étude à grande échelle auprès des salariés d'une entreprise partenaire décompose la formation envoyée à ceux qui échouent à une simulation de phishing. L'effet vient du rappel périodique de la menace, pas du contenu, peu consulté faute de temps et d'utilité perçue. Différer la formation est aussi efficace que la pratique actuelle et les récompenses n'améliorent rien.
Pourquoi c'est important. La simple existence d'un programme de formation dit peu : comptent la fréquence des simulations et les résultats mesurés.
8. Mind the Faulty Keccak: A Practical Fault Injection Attack Scheme Apply to All Phases of ML-KEM and ML-DSA
IACR Cryptology ePrint Archive · Yuxuan Wang, Jintong Yu, Shipei Qu, Xiaolin Zhang et al. · Cryptographie post-quantique
En bref: Des fautes induites dans Keccak permettent de récupérer des clés et de forger des signatures dans ML-KEM et ML-DSA.
Keccak, le hachage de ML-KEM et ML-DSA, dérive des valeurs sensibles. En interrompant ses boucles par injection de fautes, les auteurs bâtissent six attaques contre ML-KEM et cinq contre ML-DSA : récupération de clé, falsification de signatures et contournement de la vérification, à chaque phase. Sur Cortex-M0+, M3, M4 et M33, la faute réussit à 89,5% avec un équipement bon marché.
Pourquoi c'est important. La migration post-quantique sur équipements embarqués exige des contre-mesures physiques, pas seulement l'adoption des standards du NIST.
9. The Impact of SBOM Generators on Vulnerability Assessment in Python: A Comparison and a Novel Approach
arXiv · Giacomo Benedetti, Serena Cofano, Alessandro Brighente, Mauro Conti · Chaîne d'approvisionnement logicielle
En bref: Les SBOM des outils actuels sont souvent incomplets et laissent passer des vulnérabilités connues dans les projets Python.
Le SBOM, la liste des composants d'un logiciel, doit rendre la chaîne d'approvisionnement transparente. L'article analyse pour la première fois comment les erreurs des générateurs de SBOM empêchent les outils en aval de trouver des vulnérabilités. Les causes tiennent surtout à l'identification des composants et des dépendances ; la proposition, PIP-sbom, est plus précise que les meilleurs outils.
Pourquoi c'est important. Un SBOM n'est pas une garantie en soi : sa qualité décide si les vulnérabilités des composants sont réellement vues.
10. You Might Have Known It Earlier: Analyzing the Role of Underground Forums in Threat Intelligence
Research in Attacks, Intrusions and Defenses · Tommaso Paladini, Lara Ferro, Mario Polino, Stefano Zanero et al. · Malware et menaces
En bref: En vingt ans, les forums underground ont devancé les rapports de sécurité pour plus de 60% des menaces, mais l'avance se réduit.
Les auteurs analysent 88 millions de messages de forums de hackers et 75 000 articles sur vingt ans, en comparant les dates des entités extraites. Les discussions des forums précèdent les rapports officiels pour plus de 60% des entités. Depuis 2012, l'avance diminue, peut-être par une surveillance accrue ou un passage vers d'autres canaux, tandis que de nouveaux malwares y circulent encore.
Pourquoi c'est important. Le renseignement sur les menaces doit suivre les acteurs là où ils migrent, par exemple vers les messageries, pour alerter à temps.
Les tendances du mois
Sécurité de l'IA et des LLM
134 articles du mois sur ce thème
La sécurité de l'IA est déjà l'un des thèmes les plus fréquents du mois. Le centre de gravité passe des modèles isolés aux systèmes qui les entourent : agents web agissant sur des sites, pipelines enchaînant des étapes, infrastructures partagées entre clients. Les attaques exploitent l'environnement, pages manipulées et caches communs, plus que le modèle lui-même. Pour les assureurs, la question utile porte sur l'usage des agents par l'entreprise et leurs permissions, pas seulement sur le modèle adopté.
Articles cités:
- EIA: Environmental Injection Attack on Generalist Web Agents for Privacy Leakage
- System-Level Defense against Indirect Prompt Injection Attacks: An Information Flow Control Perspective
- The Early Bird Catches the Leak: Unveiling Timing Side Channels in LLM Serving Systems
Facteur humain
27 articles du mois sur ce thème
Deux travaux regardent le facteur humain sous des angles opposés. Côté attaque, des appels frauduleux pilotés par un LLM convainquent même des personnes prévenues. Côté défense, la formation anti-phishing intégrée agit comme un rappel périodique plus que comme un enseignement. Ensemble, ils indiquent que l'ingénierie sociale devient moins chère et plus massive, tandis que les contrôles fondés sur la sensibilisation ont des limites mesurables. Les contrôles de processus, comme la double validation des paiements, restent décisifs.
Articles cités:
- On the Feasibility of Fully AI-automated Vishing Attacks
- Content, Nudges and Incentives: A Study on the Effectiveness and Perception of Embedded Phishing Training
Cryptographie post-quantique
27 articles du mois sur ce thème
En août 2024, le NIST a publié les standards ML-KEM et ML-DSA, et dès septembre la recherche se concentre sur leurs implémentations. Les attaques par injection de fautes sur Keccak, le hachage utilisé par les deux schémas, montrent qu'on peut récupérer des clés et forger des signatures sur des microcontrôleurs bon marché. Leçon pour la migration : choisir l'algorithme n'est qu'une première étape, la protection physique des équipements pèse autant que le standard.
Articles cités:
Comment ce digest est réalisé
Ce numéro fait partie des archives du digest, reconstituées a posteriori. Les articles du mois ont été collectés depuis arXiv, l'archive IACR ePrint et les principales conférences et revues de sécurité ; la sélection tient aussi compte des citations reçues depuis la publication. Un modèle d'intelligence artificielle a évalué les candidats et rédigé les synthèses, qui reposent sur les abstracts : pour les détails, l'article original fait foi.
Articles du mois évalués : 1213.