RECHERCHE
Février 2025 : agents LLM à portes dérobées chiffrées, booters qui reviennent, Dilithium
Février 2025 est dominé par les agents LLM : portes dérobées chiffrées qui échappent aux audits, une défense contre l'injection indirecte de prompts, des moteurs IA citant des sites malveillants et un agent qui compromet seul un réseau Active Directory. Hors IA, la saisie des services DDoS à louer a des effets brefs et la signature post-quantique Dilithium cède à un canal auxiliaire.
Archives : reconstitution rédigée en novembre 2026
1. DemonAgent: Dynamically Encrypted Multi-Backdoor Implantation Attack on LLM-based Agent
arXiv · Pengyu Zhu, Zhenhong Zhou, Yuanhe Zhang, Shilinlu Yan et al. · Sécurité de l'IA et des LLM
En bref: Des portes dérobées chiffrées et fragmentées dans les agents LLM atteignent près de 100% de succès sans détection.
Des portes dérobées peuvent être implantées dans les agents LLM via les requêtes des utilisateurs ou les retours de l'environnement, mais les audits du raisonnement les repèrent souvent. DemonAgent chiffre dynamiquement la porte dérobée en contenu anodin et la découpe en fragments. Sur plusieurs jeux de données, dont AgentBackdoorEval, le succès frôle 100% pour 0% de détection.
Pourquoi c'est important. Les audits du raisonnement ne suffisent pas à certifier un agent : l'utilisateur reste exposé à des comportements cachés difficiles à prouver après un incident.
Lire l'article · PDF · Code
2. MELON: Provable Defense Against Indirect Prompt Injection Attacks in AI Agents
arXiv · Kaijie Zhu, Xianjun Yang, Jindong Wang, Wenbo Guo et al. · Sécurité de l'IA et des LLM
En bref: MELON détecte l'injection indirecte de prompts en réexécutant l'agent avec la requête de l'utilisateur masquée.
Dans les agents LLM, des instructions cachées dans les données lues par les outils peuvent détourner les actions. MELON part d'un constat : si l'attaque réussit, l'action suivante dépend plus de la tâche malveillante que de celle de l'utilisateur. Il réexécute la trajectoire avec la requête masquée et signale l'attaque si les actions coïncident. Sur AgentDojo, il bat les défenses existantes.
Pourquoi c'est important. Une défense sans réentraînement qui préserve l'utilité est plus simple à adopter pour qui relie des agents à l'e-mail, aux documents ou aux paiements.
Lire l'article · PDF · Code
3. Unsafe LLM-Based Search: Quantitative Analysis and Mitigation of Safety Risks in AI Web Search
USENIX Security Symposium · Zeren Luo, Zifan Peng, Yule Liu, Zhen Sun et al. · Sécurité de l'IA et des LLM
En bref: Sept moteurs de recherche LLM en production citent souvent des sites malveillants, même pour des requêtes anodines.
Première mesure du risque sur sept moteurs de recherche IA, avec des données de PhishTank, ThreatBook et LevelBlue. Les réponses contiennent souvent des URL malveillantes même avec des mots-clés anodins, et interroger directement une URL accroît le risque. Deux cas réels montrent qu'on les trompe aisément. Une défense par agents réduit le risque pour environ 10,7% d'information en moins.
Pourquoi c'est important. Les réponses des moteurs IA paraissent vérifiées et baissent la garde : elles deviennent un nouveau canal de diffusion du phishing et des escroqueries.
4. Riddle Me This! Stealthy Membership Inference for Retrieval-Augmented Generation
ACM Conference on Computer and Communications Security · Ali Naseh, Yuefeng Peng, Anshuman Suri, Harsh Chaudhari et al. · Sécurité de l'IA et des LLM
En bref: Trente questions naturelles révèlent si un document est dans la base d'un système RAG, sans se faire repérer.
Les systèmes RAG ne modifient pas les poids du modèle, mais les documents récupérés entrent dans le contexte et peuvent fuir. L'Interrogation Attack pose des questions naturelles auxquelles on ne répond que si le document visé est présent : 30 requêtes suffisent, pour moins de 0,02 dollar par document. Des détecteurs simples repèrent les attaques antérieures jusqu'à 76 fois plus souvent.
Pourquoi c'est important. Savoir qu'un document figure dans la base d'un assistant d'entreprise peut déjà constituer une fuite d'information confidentielle, pour un coût négligeable.
5. Can LLMs Hack Enterprise Networks? Autonomous Assumed Breach Penetration-Testing Active Directory Networks
arXiv · Andreas Happe, Jürgen Cito · Identité et authentification
En bref: Un système autonome à base de LLM compromet des comptes dans un réseau Active Directory de test.
Le test d'intrusion en entreprise coûte cher et manque d'experts. Un prototype utilise des LLM pour mener seul des simulations d'Assumed Breach et compromet des comptes dans le banc d'essai Active Directory GOAD. Sur cinq modèles, le système adapte ses stratégies, audite apps web et données non structurées, génère des mots de passe plausibles et corrige ses erreurs, moins cher qu'un professionnel.
Pourquoi c'est important. Le coût d'une attaque interne sur un réseau Windows baisse : le scénario de compromission d'Active Directory est à réévaluer en fréquence, pas seulement en gravité.
6. Assessing the Aftermath: the Effects of a Global Takedown against DDoS-for-hire Services
USENIX Security Symposium · Anh V. Vu, Ben Collier, Daniel R. Thomas, John Kristoff et al. · Sécurité réseau
En bref: La saisie mondiale des services DDoS à louer réduit les attaques, mais les sites reviennent en un ou deux jours.
Depuis décembre 2022, les polices de plusieurs pays visent les services DDoS à louer avec deux vagues de saisies et des domaines trompeurs. Plus de la moitié des sites de la première vague revient en un jour médian, tous ceux de la seconde en deux, mais avec 80-90% de visites en moins. La première vague réduit le volume mondial d'attaques de 20-40%, la seconde à peine.
Pourquoi c'est important. Les opérations de police ne réduisent le risque DDoS que brièvement : la fréquence attendue ne doit pas être abaissée durablement après une saisie annoncée.
7. MANTIS: Detection of Zero-Day Malicious Domains Leveraging Low Reputed Hosting Infrastructure
IEEE Symposium on Security and Privacy · Fatih Deniz, Mohamed Nabeel, Ting Yu, Issa M. Khalil
En bref: MANTIS repère les domaines malveillants fraîchement enregistrés en surveillant l'hébergement réutilisé.
Les attaquants utilisent des domaines jetables, souvent disparus avant détection ou protégés par cloaking et captcha. Comme ils réutilisent la même infrastructure d'hébergement, MANTIS construit un graphe réseau qui la relie et repère les nouveaux domaines malveillants sans analyser leur contenu. Il atteint 99,7% de précision et 86,9% de rappel, pour 0,1% de faux positifs.
Pourquoi c'est important. Bloquer les domaines dès leurs premières heures réduit l'exposition au phishing et aux malwares quand les listes classiques sont encore vides.
8. URL Inspection Tasks: Helping Users Detect Phishing Links in Emails
USENIX Security Symposium · Daniele Lain, Yoshimichi Nakatsuka, Kari Kostiainen, Gene Tsudik et al. · Facteur humain
En bref: De petites tâches sur l'URL avant d'ouvrir un lien réduisent le succès du phishing par e-mail.
Le phishing réussit surtout par inattention plutôt que par manque de formation. L'étude ajoute de courtes tâches inspirées des CAPTCHA avant l'ouverture d'un lien : choisir la bonne URL dans une liste, surligner le nom de domaine ou le retaper. Dans une étude en ligne avec 2 673 participants de trois cultures et alphabets, les tâches réduisent nettement le phishing réussi.
Pourquoi c'est important. Freiner l'utilisateur au moment du clic marche mieux que plus de formation : un contrôle concret parmi les mesures contre la fraude par e-mail.
9. Rejected Signatures' Challenges Pose New Challenges: Key Recovery of CRYSTALS-Dilithium via Side-Channel Attacks
IACR Transactions on Cryptographic Hardware and Embedded Systems · Yuanyuan Zhou, Weijia Wang, Yiteng Sun, Yu Yu · Cryptographie post-quantique
En bref: Les signatures rejetées de Dilithium révèlent la clé privée en secondes ou minutes via un canal auxiliaire.
Dans les signatures sur réseaux euclidiens comme ML-DSA/Dilithium, l'échantillonnage par rejet rend les signatures indépendantes du secret. Les auteurs ramènent la fuite des signatures rejetées à un problème de programmation linéaire en nombres entiers et retrouvent la clé privée aux trois niveaux de sécurité, en secondes ou minutes, avec 100% de succès, depuis une seule trace.
Pourquoi c'est important. La migration post-quantique déplace le risque vers l'implémentation : appareils et modules de signature doivent aussi être vérifiés face aux canaux auxiliaires.
10. Chronus: Understanding and Securing the Cutting-Edge Industry Solutions to DRAM Read Disturbance
arXiv · Oğuzhan Canpolat, A. Giray Yağlıkçı, Geraldo F. Oliveira, Ataberk Olgun et al. · Matériel et canaux auxiliaires
En bref: La protection RowHammer intégrée aux nouvelles DRAM a des coûts et des failles ; Chronus les réduit.
La première analyse rigoureuse de PRAC, la défense contre le read disturbance intégrée aux puces DRAM récentes, mesure sécurité, performance, énergie et coût. PRAC ralentit les accès et, pour résister à la wave attack, doit être réglé avec des seuils très bas, trop coûteux pour les futures puces. Chronus met à jour les compteurs en parallèle et ajuste les rafraîchissements, presque sans surcoût.
Pourquoi c'est important. RowHammer reste un risque de plateforme partagé entre clients du cloud : les défenses matérielles sont à juger sur leur efficacité réelle, pas sur la fiche technique.
Lire l'article · PDF · Code
Les tendances du mois
Sécurité de l'IA et des LLM
276 articles du mois sur ce thème
Avec 276 articles sur 1 465 ce mois-ci, la sécurité de l'IA se concentre sur les agents et les systèmes qui lisent des sources externes. Les portes dérobées échappent aux audits, les instructions malveillantes passent par les données lues par les outils, les moteurs IA citent des sites malveillants et les bases RAG révèlent leur contenu. Les défenses existent mais restent en retard.
Articles cités:
- DemonAgent: Dynamically Encrypted Multi-Backdoor Implantation Attack on LLM-based Agent
- MELON: Provable Defense Against Indirect Prompt Injection Attacks in AI Agents
- Unsafe LLM-Based Search: Quantitative Analysis and Mitigation of Safety Risks in AI Web Search
- Riddle Me This! Stealthy Membership Inference for Retrieval-Augmented Generation
Sécurité réseau
36 articles du mois sur ce thème
Deux travaux examinent l'infrastructure des attaquants. La saisie des services DDoS à louer ne réduit les attaques que brièvement, car les sites reviennent en un ou deux jours, tandis que la réutilisation des mêmes hébergements permet de bloquer les domaines malveillants dès leur apparition. Dans les deux cas, la vitesse de réaction compte plus qu'un coup isolé.
Articles cités:
- Assessing the Aftermath: the Effects of a Global Takedown against DDoS-for-hire Services
- MANTIS: Detection of Zero-Day Malicious Domains Leveraging Low Reputed Hosting Infrastructure
Cryptographie post-quantique
41 articles du mois sur ce thème
Alors que ML-DSA entre dans les normes, la recherche passe de l'algorithme à l'implémentation. Les signatures rejetées de Dilithium, jugées inoffensives, suffisent à reconstruire la clé privée à partir d'une seule trace de canal auxiliaire : la conformité à la norme ne garantit pas à elle seule la sécurité de l'appareil.
Articles cités:
Comment ce digest est réalisé
Ce numéro fait partie des archives du digest, reconstituées a posteriori. Les articles du mois ont été collectés depuis arXiv, l'archive IACR ePrint et les principales conférences et revues de sécurité ; la sélection tient aussi compte des citations reçues depuis la publication. Un modèle d'intelligence artificielle a évalué les candidats et rédigé les synthèses, qui reposent sur les abstracts : pour les détails, l'article original fait foi.
Articles du mois évalués : 1465.