RECHERCHE
Octobre 2024 : agents LLM testés, cloud chiffré fragile, données DDoS discordantes
Octobre 2024 apporte les premiers benchmarks étendus sur la sécurité des agents LLM : les attaques réussissent souvent et les défenses tiennent mal. En cryptographie appliquée, quatre services de stockage cloud chiffré sur cinq présentent des failles graves et les compilateurs annulent les protections constant-time. Une étude compare les données DDoS de l'industrie et de la recherche.
Archives : reconstitution rédigée en novembre 2026
1. Agent Security Bench (ASB): Formalizing and Benchmarking Attacks and Defenses in LLM-based Agents
arXiv · Hanrong Zhang, Jingyuan Huang, Kai Mei, Yifei Yao et al. · Sécurité de l'IA et des LLM
En bref: Un large benchmark montre que les agents LLM cèdent à de nombreuses attaques et que les défenses actuelles aident peu.
Agent Security Bench couvre 10 scénarios, dont la finance et le commerce en ligne, plus de 400 outils et 27 méthodes d'attaque et de défense, testés sur 13 modèles. Prompt injection, empoisonnement de la mémoire et une nouvelle porte dérobée dans la planification touchent chaque étape de l'agent. Le taux moyen de succès le plus élevé atteint 84,3% et les 11 défenses testées sont peu efficaces.
Pourquoi c'est important. Il fournit une mesure commune du risque des agents, utile pour évaluer les entreprises qui leur confient outils, données et mémoire.
Lire l'article · PDF · Code
2. Prompt Infection: LLM-to-LLM Prompt Injection within Multi-Agent Systems
arXiv · Donghyun Lee, Mo Tiwari · Sécurité de l'IA et des LLM
En bref: Dans les systèmes multi-agents, un prompt malveillant se réplique d'un agent à l'autre, comme un virus.
Jusqu'ici, on étudiait des LLM isolés. Prompt Infection montre une injection entre LLM : le prompt malveillant s'auto-réplique entre agents connectés et se propage en silence, avec vol de données, arnaques, désinformation et pannes. Les systèmes testés sont très exposés même si les agents ne partagent pas toutes leurs communications. La défense LLM Tagging réduit fortement la propagation.
Pourquoi c'est important. Un seul contenu malveillant peut se propager dans toute l'automatisation d'une entreprise : un risque systémique, pas ponctuel.
3. SecAlign: Defending Against Prompt Injection with Preference Optimization
ACM Conference on Computer and Communications Security · Sizhe Chen, Arman Serikuly Zharmagambetov, Saeed Mahloujifar, Kamalika Chaudhuri et al. · Sécurité de l'IA et des LLM
En bref: Entraîner le modèle à préférer la réponse sûre fait passer le succès des prompt injections sous 10%.
SecAlign construit un jeu de données d'entrées injectées, de réponses sûres suivant l'instruction légitime et de réponses non sûres suivant l'instruction injectée, puis applique une optimisation des préférences. C'est la première méthode connue ramenant plusieurs prompt injections sous 10% de succès, même face à des attaques plus avancées qu'à l'entraînement, avec une utilité similaire.
Pourquoi c'est important. La résistance à la prompt injection peut être améliorée dans le modèle lui-même : un point à vérifier auprès des fournisseurs.
Lire l'article · PDF · Code
4. End-to-End Encrypted Cloud Storage in the Wild: A Broken Ecosystem
ACM Conference on Computer and Communications Security · Jonas Hofmann, Kien Tuong Truong
En bref: Quatre services de stockage cloud chiffré de bout en bout sur cinq présentent des failles cryptographiques graves.
Les auteurs analysent Sync, pCloud, Icedrive, Seafile et Tresorit, plus de 22 millions d'utilisateurs au total, face à un serveur malveillant. Quatre ont des vulnérabilités graves : le serveur peut injecter des fichiers, altérer les données et parfois lire le contenu. Beaucoup d'attaques touchent plusieurs fournisseurs de la même façon, signe d'erreurs de conception communes.
Pourquoi c'est important. Le chiffrement de bout en bout annoncé par un fournisseur ne suffit pas comme garantie : les promesses commerciales ne résistent pas toujours à l'analyse.
5. Breaking Bad: How Compilers Break Constant-Time Implementations
arXiv · Moritz Schneider, Daniele Lain, Ivan Puddu, Nicolas Dutly et al. · Matériel et canaux auxiliaires
En bref: Les optimisations des compilateurs cassent les défenses constant-time même dans les bibliothèques cryptographiques les plus durcies.
Le code constant-time évite les opérations dépendant des secrets pour résister aux attaques temporelles, mais la protection ne vaut que si elle survit à la compilation. Un nouvel outil analyse dynamiquement 44 604 cibles sur six architectures, de x86-64 à RISC-V. Résultat : des opérations dépendant des secrets, introduites par le compilateur, dans des bibliothèques parmi les plus réputées.
Pourquoi c'est important. La sécurité annoncée d'une bibliothèque dépend aussi de sa compilation : un maillon souvent négligé.
6. The Age of DDoScovery: An Empirical Comparison of Industry and Academic DDoS Assessments
arXiv · Raphael Hiesgen, Marcin Nawrocki, Marinho Pilla Barcellos, Daniel Kopp et al. · Sécurité réseau
En bref: Industrie et recherche voient des tendances DDoS différentes selon les sources, les points d'observation et les méthodes.
Une étude conjointe analyse 24 rapports sectoriels de 2022 et dix jeux de données industriels et académiques de 2019 à 2023, sur les attaques directes et par réflexion-amplification. Une méthode nouvelle croise une liste de cibles avec les données privées des entreprises, révélant les angles morts des sources académiques. Les écarts tiennent aux sources, points de vue, méthodes et paramètres.
Pourquoi c'est important. Les statistiques DDoS servant à estimer fréquence et gravité ne sont pas neutres : il faut savoir de quel observatoire elles viennent.
7. Characterizing the MrDeepFakes Sexual Deepfake Marketplace
arXiv · Catherine Han, Anne Li, Deepak Kumar, Zakir Durumeric · Politiques, droit et société
En bref: Le principal marché de deepfakes sexuels analysé : règles peu appliquées et nouvelles tactiques pour obtenir des ressources.
L'article décrit systématiquement MrDeepFakes, le marché le plus connu d'achat et de vente de deepfakes sexuels : son économie, les personnes visées et les discussions sur leur création, qui reflètent l'état de l'art. Il relève une faible application des règles, comme la limite aux célébrités, des motivations non documentées et de nouvelles tactiques pour obtenir des ressources de calcul.
Pourquoi c'est important. Pour les garanties réputation et responsabilité, les deepfakes sont un marché organisé, pas un phénomène marginal.
8. Persistent Pre-Training Poisoning of LLMs
arXiv · Yiming Zhang, Javier Rando, Ivan Evtimov, Jianfeng Chi et al.
En bref: Empoisonner 0,1% des données de pré-entraînement suffit à laisser des effets qui survivent au fine-tuning.
Les LLM apprennent sur du texte collecté sur le web, qu'un attaquant peut empoisonner. Les auteurs pré-entraînent des modèles de 600 millions à 7 milliards de paramètres avec quatre objectifs : déni de service, manipulation des croyances, jailbreak et vol de prompt. Avec 0,1% de données empoisonnées, trois attaques sur quatre persistent après l'alignement ; le déni de service n'exige que 0,001%.
Pourquoi c'est important. La provenance des données d'entraînement devient un sujet de risque pour qui intègre des modèles tiers dans ses processus.
9. OT-PCA: New Key-Recovery Plaintext-Checking Oracle Based Side-Channel Attacks on HQC with Offline Templates
IACR Transactions on Cryptographic Hardware and Embedded Systems · Haiyue Dong, Qian Guo · Matériel et canaux auxiliaires
En bref: Une nouvelle attaque par canal auxiliaire sur HQC récupère la clé avec bien moins de requêtes.
OT-PCA exploite le décodeur public de HQC pour bâtir des modèles hors ligne qui extraient des informations sur des centaines de positions secrètes en une seule requête. Les appels nécessaires baissent de 2,4 fois pour hqc-128, davantage aux niveaux supérieurs ; avec un oracle fiable à 95%, la réduction atteint 7,6. Une analyse de consommation sur Cortex-M4 confirme sa faisabilité.
Pourquoi c'est important. Les schémas post-quantiques en voie de standardisation doivent eux aussi être protégés contre les canaux auxiliaires avant leur déploiement.
10. Zero day ransomware detection with Pulse: Function classification with Transformer models and assembly language
Computers & Security · Matthew Gaber, Mohiuddin Ahmed, Helge Janicke · Malware et menaces
En bref: Un modèle Transformer reconnaît des ransomwares inédits à partir de leur code assembleur.
Pulse exploite les instructions assembleur de ransomwares capturées par Peekaboo, un outil qui déjoue l'évasion. Ces instructions suivent la loi de Zipf comme le langage naturel, ce qui convient aux Transformers. En supprimant toute fonction commune aux échantillons de test et d'entraînement, le modèle reconnaît le comportement malveillant par le seul contexte, avec une grande précision.
Pourquoi c'est important. Détecter un ransomware nouveau avant le chiffrement, c'est là qu'un contrôle réduit vraiment le sinistre.
Les tendances du mois
Sécurité de l'IA et des LLM
254 articles du mois sur ce thème
Avec 254 articles classés, la sécurité de l'IA est le thème le plus vaste du mois, presque le double de septembre. Arrivent les premiers outils de mesure communs, comme Agent Security Bench, et les premiers scénarios systémiques, avec des prompts qui se propagent entre agents comme un virus. Les défenses les plus prometteuses agissent sur l'entraînement, mais l'empoisonnement du pré-entraînement montre que le risque peut entrer dès la source.
Articles cités:
- Agent Security Bench (ASB): Formalizing and Benchmarking Attacks and Defenses in LLM-based Agents
- Prompt Infection: LLM-to-LLM Prompt Injection within Multi-Agent Systems
- SecAlign: Defending Against Prompt Injection with Preference Optimization
- Persistent Pre-Training Poisoning of LLMs
Cryptographie
196 articles du mois sur ce thème
Le fil commun de la cryptographie appliquée est l'écart entre promesse et réalité. Des services cloud chiffrés comptant des millions d'utilisateurs ne résistent pas à un serveur malveillant, et des défenses constant-time soigneusement écrites sont annulées par le compilateur. Dans les deux cas, l'algorithme est solide, pas l'implémentation. Pour qui évalue un risque, une déclaration de chiffrement dit peu sans vérification indépendante.
Articles cités:
- End-to-End Encrypted Cloud Storage in the Wild: A Broken Ecosystem
- Breaking Bad: How Compilers Break Constant-Time Implementations
Cryptographie post-quantique
37 articles du mois sur ce thème
Après ML-KEM et ML-DSA, l'attention s'étend à HQC, le schéma fondé sur les codes que le NIST a ensuite retenu en mars 2025 comme second mécanisme d'encapsulation. Une attaque par canal auxiliaire réduit fortement l'effort pour récupérer sa clé sur microcontrôleur. La recherche devance ainsi les implémentations : qui planifie la migration peut exiger des contre-mesures dès les premières versions.
Articles cités:
Comment ce digest est réalisé
Ce numéro fait partie des archives du digest, reconstituées a posteriori. Les articles du mois ont été collectés depuis arXiv, l'archive IACR ePrint et les principales conférences et revues de sécurité ; la sélection tient aussi compte des citations reçues depuis la publication. Un modèle d'intelligence artificielle a évalué les candidats et rédigé les synthèses, qui reposent sur les abstracts : pour les détails, l'article original fait foi.
Articles du mois évalués : 1491.