RECHERCHE
Avril 2025 : agents détournés via MCP et outils, météo IA manipulable, la leçon de XZ
Supply chainOT and industrial security
Avril 2025 est le mois des agents reliés à des outils externes : MCP permet le vol d'identifiants, un document malveillant détourne le choix des outils et une nouvelle défense entraîne un LLM contre l'injection de prompts. Hors IA, la porte dérobée de XZ Utils est reconstituée pas à pas, les prévisions météo par IA se falsifient et SSH post-quantique reçoit sa première analyse complète.
Archives : reconstitution rédigée en novembre 2026
1. MCP Safety Audit: LLMs with the Model Context Protocol Allow Major Security Exploits
arXiv · Brandon Radosevich, John Halloran · Identité et authentification
En bref: Des serveurs MCP malveillants ou mal configurés poussent les LLM à exécuter du code, ouvrir des accès distants et voler des identifiants.
Le Model Context Protocol normalise la connexion des LLM aux sources de données et aux outils, et s'est vite répandu. Les auteurs montrent que des LLM de pointe peuvent être amenés, via des outils MCP, à compromettre le système d'un développeur par exécution de code, accès distant et vol d'identifiants. Ils proposent MCPSafetyScanner, un outil à agents qui audite un serveur MCP.
Pourquoi c'est important. Chaque serveur MCP ajouté est une dépendance avec accès aux données et systèmes : il doit être inventorié et vérifié comme toute intégration tierce.
Lire l'article · PDF · Code
2. Prompt Injection Attack to Tool Selection in LLM Agents
arXiv · Jiawen Shi, Zenghui Yuan, Guiyao Tie, Pan Zhou et al. · Sécurité de l'IA et des LLM
En bref: ToolHijacker place un document malveillant dans la bibliothèque d'outils et force l'agent à le choisir.
Les agents LLM choisissent leurs outils en deux étapes, recherche et sélection, dans une bibliothèque de descriptions. ToolHijacker y insère un document optimisé qui fait toujours choisir l'outil de l'attaquant pour une tâche cible, même sans connaître le modèle ni la bibliothèque. Il surpasse les attaques existantes, et les défenses testées, préventives ou de détection, sont insuffisantes.
Pourquoi c'est important. Qui publie un outil dans un catalogue partagé peut détourner les agents d'autrui : les bibliothèques d'outils deviennent un point d'attaque de la chaîne.
3. DataSentinel: A Game-Theoretic Detection of Prompt Injection Attacks
IEEE Symposium on Security and Privacy · Yupei Liu, Yuqi Jia, Jinyuan Jia, Dawn Song et al. · Sécurité de l'IA et des LLM
En bref: DataSentinel s'appuie sur la théorie des jeux pour entraîner un LLM à repérer même l'injection de prompts adaptative.
Les applications et agents LLM sont exposés à l'injection de prompts, et les détecteurs actuels résistent mal aux attaques fortes, encore moins aux adaptatives. DataSentinel formule le problème en optimisation minimax et affine un LLM pour détecter les entrées contaminées par des prompts conçus pour échapper à la détection. Il détecte attaques connues et adaptatives.
Pourquoi c'est important. Un détecteur qui résiste aux attaques adaptatives est un contrôle concret à exiger de qui expose des LLM à du contenu externe, comme e-mails ou pages web.
Lire l'article · PDF · Code
4. Wolves in the Repository: A Software Engineering Analysis of the XZ Utils Supply Chain Attack
arXiv · Piotr Przymus, Thomas Durieux · Chaîne d'approvisionnement logicielle
En bref: La porte dérobée de XZ Utils reconstituée via GitHub : l'attaque a exploité le processus de développement, pas seulement le code.
L'étude reconstitue la chronologie de l'attaque contre XZ Utils (CVE-2024-3094), qui a placé une porte dérobée dans une bibliothèque de compression clé de Linux. Les événements GitHub révèlent un nouveau type d'attaque de la chaîne : contributions utiles à l'infrastructure, gestion de la communauté et configuration CI/CD ont servi à gagner légitimité et contrôle durable.
Pourquoi c'est important. Les projets open source essentiels et peu maintenus sont un point de cumul pour des milliers d'entreprises : leur santé est un facteur de risque, pas seulement leur code.
5. The Cost of Performance: Breaking ThreadX with Kernel Object Masquerading Attacks
USENIX Security Symposium · Xinhui Shao, Zhen Ling, Yue Zhang, Huaiyu Yan et al. · Sécurité des systèmes et logiciels
En bref: Une optimisation de performance dans ThreadX permet de contourner les contrôles du noyau sur les objets IoT.
Beaucoup d'objets IoT utilisent des systèmes temps réel. FreeRTOS manque de protections essentielles ; Zephyr et ThreadX en ont, mais différentes. Dans ThreadX, une optimisation de performance permet de sauter la vérification des paramètres des appels système : l'attaque Kernel Object Masquerading manipule des objets du noyau pour modifier des données ou obtenir des privilèges.
Pourquoi c'est important. Le même système embarqué tourne sur un très grand nombre d'appareils de fabricants différents : une faille de conception crée une exposition large et difficile à corriger.
6. Adversarial Observations in Weather Forecasting
ACM Conference on Computer and Communications Security · Erik Imgrund, Thorsten Eisenhofer, Konrad Rieck · Systèmes cyber-physiques et IoT
En bref: Modifier moins de 0,1% des observations suffit pour qu'un modèle d'IA prévoie des ouragans inexistants.
Les systèmes de prévision météo par IA, comme GenCast, remplacent les méthodes classiques. Une nouvelle attaque contre les modèles de diffusion autorégressifs ajoute des perturbations indiscernables du bruit naturel sur moins de 0,1% des mesures, l'équivalent d'un seul satellite. Cela suffit à fausser les prévisions et à inventer ouragans, canicules et pluies intenses.
Pourquoi c'est important. Les prévisions météo guident décisions opérationnelles et modèles catastrophes : leur intégrité devient un enjeu de sécurité qui dépasse le cyber.
7. Making Acoustic Side-Channel Attacks on Noisy Keyboards Viable with LLM-Assisted Spectrograms' "Typo" Correction
USENIX WOOT Conference on Offensive Technologies · Seyyed Ali Ayati, Park, Jin Hyun, Cai, Yichen, Marcus Felipe Botacin · Matériel et canaux auxiliaires
En bref: Visual Transformers et LLM rendent viable le vol de texte tapé à partir du son du clavier, même dans le bruit.
La présence de micros partout accroît le risque d'attaques acoustiques qui déduisent les touches de leur son, mais les modèles résistaient mal au bruit. L'étude combine des Visual Transformers, qui exploitent le contexte des longues séquences, et des LLM qui corrigent les erreurs de reconnaissance selon le sens de la phrase. C'est la première approche du genre et elle rend l'attaque plus pratique.
Pourquoi c'est important. Visioconférences et appareils à micro deviennent un canal pour capter mots de passe et textes confidentiels : le risque touche aussi le télétravail.
8. Post-quantum Cryptographic Analysis of SSH
IEEE Symposium on Security and Privacy · Benjamin Benčina, Benjamin Dowling, Varun Maram, Keita Xagawa · Cryptographie post-quantique
En bref: Première analyse cryptographique complète de SSH post-quantique, y compris les attaques « collecter maintenant, déchiffrer plus tard ».
SSH a été l'un des premiers protocoles à adopter un échange de clés hybride résistant au quantique, par défaut dans OpenSSH depuis avril 2022, mais le protocole complet n'était pas analysé. Les auteurs étendent le modèle ACCE aux attaques « collecter maintenant, déchiffrer plus tard », prouvent la sécurité de SSH et analysent Streamlined NTRU Prime, utilisé par OpenSSH et TinySSH.
Pourquoi c'est important. Les données interceptées aujourd'hui peuvent être déchiffrées demain : savoir que SSH hybride tient donne une base concrète aux plans de migration.
9. Clubcards for the WebPKI: smaller certificate revocation tests in theory and practice
IEEE Symposium on Security and Privacy · John M. Schanck
En bref: Les clubcards compressent l'état de révocation des certificats web en 6,7 Mo, désormais par défaut dans Firefox Nightly.
CRLite transmet aux navigateurs l'état de révocation des certificats sous forme compacte et respectueuse de la vie privée. Une nouvelle structure, la clubcard, encode plus de 8 millions de révocations parmi 900 millions de certificats valides en 6,7 Mo, 54% de moins que la conception d'origine, avec des mises à jour de 26,8 ko toutes les six heures. C'est le contrôle par défaut de Firefox Nightly.
Pourquoi c'est important. Un contrôle de révocation qui fonctionne réduit la fenêtre pendant laquelle un certificat volé permet d'usurper un site.
Les tendances du mois
Sécurité de l'IA et des LLM
233 articles du mois sur ce thème
Avec 233 articles sur 1 400, la sécurité de l'IA reste le premier thème, et le point faible se déplace vers les connexions des agents. Serveurs MCP et bibliothèques d'outils sont de nouvelles dépendances dont l'agent reçoit des instructions : un serveur malveillant mène au vol d'identifiants, un document optimisé détourne le choix des outils. Les détecteurs progressent, sans suffire contre ToolHijacker.
Articles cités:
- MCP Safety Audit: LLMs with the Model Context Protocol Allow Major Security Exploits
- Prompt Injection Attack to Tool Selection in LLM Agents
- DataSentinel: A Game-Theoretic Detection of Prompt Injection Attacks
Sécurité des systèmes et logiciels
39 articles du mois sur ce thème
Deux travaux montrent comment des choix de développement créent une exposition large. Pour XZ Utils, l'attaquant a utilisé le processus open source lui-même, avec des contributions utiles et des années de patience, pour atteindre une bibliothèque présente sur presque tout système Linux. Dans ThreadX, une optimisation de performance ouvre une faille dans un système installé sur un très grand nombre d'objets IoT.
Articles cités:
- Wolves in the Repository: A Software Engineering Analysis of the XZ Utils Supply Chain Attack
- The Cost of Performance: Breaking ThreadX with Kernel Object Masquerading Attacks
Cryptographie post-quantique
45 articles du mois sur ce thème
Le post-quantique apporte une bonne nouvelle : la première analyse complète de SSH hybride, par défaut dans OpenSSH depuis 2022, en prouve la sécurité même face à qui intercepte aujourd'hui pour déchiffrer demain. Pour planifier la migration, c'est une référence concrète sur un protocole utilisé partout pour administrer les systèmes.
Articles cités:
Comment ce digest est réalisé
Ce numéro fait partie des archives du digest, reconstituées a posteriori. Les articles du mois ont été collectés depuis arXiv, l'archive IACR ePrint et les principales conférences et revues de sécurité ; la sélection tient aussi compte des citations reçues depuis la publication. Un modèle d'intelligence artificielle a évalué les candidats et rédigé les synthèses, qui reposent sur les abstracts : pour les détails, l'article original fait foi.
Articles du mois évalués : 1400.