RECHERCHE
Juillet 2025 : Rowhammer sur GPU, agents e-mail détournés, malware dans les modèles d'IA
Supply chainOT and industrial security
Juillet 2025 porte Rowhammer sur les GPU de l'IA, avec des chutes de précision jusqu'à 80%. Les modèles téléchargés peuvent cacher un malware auto-extractible, les agents qui gèrent l'e-mail cèdent à un nouveau type d'injection de prompts et un agent IA écrit des exploits rentables pour smart contracts. Sur mobile, WebView et SDK contournent les protections.
Archives : reconstitution rédigée en novembre 2026
1. GPUHammer: Rowhammer Attacks on GPU Memories are Practical
USENIX Security Symposium · Chris S. Lin, Joy Qu, Gururaj Saileshwar · Matériel et canaux auxiliaires
En bref: Première attaque Rowhammer réussie sur un GPU dédié : quelques bits inversés ruinent la précision des modèles.
Rowhammer avait été étudié sur CPU et mémoire DDR, pas sur la mémoire GDDR des GPU de l'apprentissage automatique. GPUHammer reconstitue le mappage propriétaire des lignes GDDR6, intensifie les accès et contourne les protections. Sur une NVIDIA A6000, il provoque jusqu'à 8 inversions de bits sur 4 bancs, de quoi réduire la précision des modèles jusqu'à 80%.
Pourquoi c'est important. Les GPU sont partagés entre clients du cloud : un locataire malveillant peut saboter les modèles d'autrui sans toucher à leur logiciel.
2. Do You Trust Your Model? Emerging Malware Threats in the Deep Learning Ecosystem
IEEE Transactions on Dependable and Secure Computing · Dorjan Hitaj, Giulio Pagnotta, Fabio De Gaspari, Sediola Ruko et al. · Malware et menaces
En bref: MaleficNet 2.0 cache un malware auto-extractible dans les paramètres d'un réseau de neurones, sans dégrader ses performances.
Beaucoup d'organisations utilisent sans précaution des modèles pré-entraînés de dépôts publics, comme de simples données. MaleficNet 2.0 insère dans les paramètres une charge malveillante par codage à étalement de spectre et correction d'erreurs : discrète, sans perte de performance et résistante à la suppression, y compris en apprentissage fédéré. Un prototype s'extrait et s'exécute seul.
Pourquoi c'est important. Un modèle téléchargé est un logiciel tiers : il exige les mêmes règles de provenance et de vérification qu'un exécutable.
3. Your Mailbox Is Mine: Prompt Injection Attacks Against Real-World LLM Email Agents
arXiv · Jiangrong Wu, Yuhong Nan, Jianliang Wu, Zitong Yao et al. · Sécurité de l'IA et des LLM
En bref: Un nouveau type d'injection de prompts détourne les 63 agents e-mail réels testés, en moins de deux essais.
Les agents LLM qui gèrent l'e-mail traitent des messages sensibles et des flux d'authentification. Les injections classiques y fonctionnent mal, avec 4,58% à 8,13% de succès. ESPI présente les actions voulues par l'attaquant comme des corrections nécessaires à un faux état de la boîte : 73,54% de succès, et les 63 applications évaluées sont détournées en moins de deux essais.
Pourquoi c'est important. La boîte mail est la clé des réinitialisations de mot de passe et des validations de paiement : l'agent qui la gère est un utilisateur à privilèges élevés.
4. Depth Gives a False Sense of Privacy: LLM Internal States Inversion
USENIX Security Symposium · Tian Dong, Yan Meng, Shaofeng Li, Chen, Guoxing et al.
En bref: Les états internes d'un LLM, jugés irréversibles, permettent de reconstituer le prompt, même long et médical.
L'inférence collaborative et les audits fondés sur les neurones exposent les états internes d'un LLM, jugés non inversibles. Les auteurs proposent quatre attaques d'inversion, avec ou sans accès aux poids, dont une qui traduit les états en texte via un modèle. Sur six LLM et des données médicales et de code, un prompt médical de 4 112 tokens est reconstitué presque parfaitement.
Pourquoi c'est important. N'envoyer que des représentations intermédiaires ne protège pas les données : les architectures qui promettent ainsi la confidentialité sont à évaluer avec prudence.
5. AI Agent Smart Contract Exploit Generation
arXiv · Arthur Gervais, Liyi Zhou · Blockchain et DeFi
En bref: Un agent IA génère des exploits vérifiés contre des smart contracts vulnérables, jusqu'à 8,59 millions de dollars par attaque.
A1 transforme un LLM en générateur d'exploits avec six outils dédiés et valide chaque résultat en l'exécutant sur l'état réel de la blockchain. Sur 36 contrats vulnérables d'Ethereum et Binance Smart Chain, il réussit 63% du benchmark VERITE et extrait jusqu'à 8,59 millions de dollars par exploit. L'attaquant est rentable dès 6 000 dollars, le défenseur à 60 000.
Pourquoi c'est important. Le coût pour trouver et exploiter une faille s'effondre, pas celui de la défense : la fenêtre entre découverte et vol se réduit à quelques heures.
6. Tracking Without Borders: Studying the Role of WebViews in Bridging Mobile and Web Tracking
Proceedings on Privacy Enhancing Technologies · Nipuna Weerasekara, José Miguel Moreno, Srdjan Matic, Joel Reardon et al. · Web et mobile
En bref: Les apps Android configurent les WebView pour contourner les protections et pister l'utilisateur entre apps et web.
Les WebView affichent du contenu web, comme les publicités, dans les apps. La première étude à grande échelle montre que développeurs et SDK les configurent pour contourner les protections. Du JavaScript nuisible, souvent diffusé par des enchères publicitaires non contrôlées, synchronise les cookies, fait du fingerprinting et envoie identifiants et position à l'insu de l'utilisateur.
Pourquoi c'est important. Les publicités d'une app peuvent collecter des données personnelles au nom de l'éditeur : un risque réglementaire lié à la chaîne publicitaire.
7. KeyDroid: A Large-Scale Analysis of Secure Key Storage in Android Apps
Proceedings on Privacy Enhancing Technologies · Jenny Blessing, Ross Anderson, Alastair R. Beresford · Web et mobile
En bref: 56% des apps déclarant des données sensibles n'utilisent pas le matériel sécurisé d'Android pour protéger les clés.
Les téléphones modernes offrent un matériel dédié pour protéger clés et identifiants même si le système est compromis. En analysant 490 119 apps Android et leurs déclarations de données, l'étude constate que 56% des apps traitant des données sensibles n'utilisent pas ce matériel, et seulement 5% la forme la plus robuste, un élément sécurisé distinct du processeur.
Pourquoi c'est important. Protéger les clés est une bonne pratique de base : son faible usage aggrave l'impact d'un malware mobile, y compris pour les apps financières et de santé.
8. Okay Google, Where’s My Tracker? Security, Privacy, and Performance Evaluation of Google's Find My Device Network
Proceedings on Privacy Enhancing Technologies · Leon Böttger, Alexander Matern, Dennis Arndt, Matthias Hollick · Web et mobile
En bref: Le réseau Localiser mon appareil de Google, actif par défaut sur Android, présente des failles de sécurité et de vie privée.
Depuis avril 2024, le réseau Find My Device de Google, actif par défaut, utilise des milliards d'appareils Android pour localiser les objets perdus. Google promet chiffrement de bout en bout et confidentialité, mais le système n'est que partiellement spécifié. Les auteurs reconstituent les parties propriétaires et trouvent des attaques par déni de service et une attaque de liaison possible.
Pourquoi c'est important. Les réseaux de localisation actifs sur des milliards de téléphones sont une infrastructure partagée : une faille de conception touche tout le monde.
9. OTP-Hunter: An App-Based Fuzzing Framework to Discover One Time Password Vulnerabilities
IEEE Transactions on Dependable and Secure Computing · Futai Zou, Zehui Zhang, Yuzong Hu · Identité et authentification
En bref: OTP-Hunter trouve 68 failles de mots de passe à usage unique dans 59 apps IoT, avec prise de contrôle à distance.
Les mots de passe à usage unique vérifient l'identité, mais mal implémentés ils permettent bombardement de SMS ou d'e-mails, force brute et contournement. OTP-Hunter combine analyse statique et dynamique dans les apps, sans déchiffrer leurs protocoles. Sur 59 apps IoT, il trouve 68 failles permettant de contrôler un appareil avec le seul numéro de téléphone.
Pourquoi c'est important. Un OTP faible annule le second facteur : pour un fabricant d'objets connectés, c'est un risque de responsabilité envers des milliers de clients.
Les tendances du mois
Sécurité de l'IA et des LLM
235 articles du mois sur ce thème
Avec 235 articles sur 1 244, la sécurité de l'IA reste le premier thème, et juillet en touche chaque couche. Le matériel GPU s'altère par Rowhammer, les modèles téléchargés peuvent cacher un malware, les états internes révèlent les prompts et les agents e-mail exécutent les actions de l'attaquant. La chaîne de l'IA s'évalue en entier, de la puce à l'agent.
Articles cités:
- Your Mailbox Is Mine: Prompt Injection Attacks Against Real-World LLM Email Agents
- Do You Trust Your Model? Emerging Malware Threats in the Deep Learning Ecosystem
- Depth Gives a False Sense of Privacy: LLM Internal States Inversion
- GPUHammer: Rowhammer Attacks on GPU Memories are Practical
Web et mobile
36 articles du mois sur ce thème
Les actes de PETS et d'autres travaux mesurent le mobile à grande échelle. Les WebView contournent les protections d'Android pour pister, plus de la moitié des apps à données sensibles ignorent le matériel sécurisé, le réseau de localisation de Google a des failles de conception et les mots de passe à usage unique des apps IoT se contournent. Les défenses existent mais sont souvent ignorées.
Articles cités:
- Tracking Without Borders: Studying the Role of WebViews in Bridging Mobile and Web Tracking
- KeyDroid: A Large-Scale Analysis of Secure Key Storage in Android Apps
- Okay Google, Where’s My Tracker? Security, Privacy, and Performance Evaluation of Google's Find My Device Network
- OTP-Hunter: An App-Based Fuzzing Framework to Discover One Time Password Vulnerabilities
Blockchain et DeFi
31 articles du mois sur ce thème
Pour les smart contracts, l'IA change l'économie de l'attaque. Un agent qui génère et valide seul ses exploits trouve des failles réelles et les rend rentables avec quelques milliers de dollars en jeu, quand la défense exige dix fois plus de moyens. La vitesse de correction devient décisive.
Articles cités:
Comment ce digest est réalisé
Ce numéro fait partie des archives du digest, reconstituées a posteriori. Les articles du mois ont été collectés depuis arXiv, l'archive IACR ePrint et les principales conférences et revues de sécurité ; la sélection tient aussi compte des citations reçues depuis la publication. Un modèle d'intelligence artificielle a évalué les candidats et rédigé les synthèses, qui reposent sur les abstracts : pour les détails, l'article original fait foi.
Articles du mois évalués : 1244.