RECHERCHE
Octobre 2025 : attaques via MCP, portes dérobées par quantification, malware contre Gmail
Octobre 2025 met les agents IA à l'épreuve : un benchmark mesure douze attaques via le Model Context Protocol, et la seule quantification suffit à cacher une porte dérobée dans un modèle. Treize octets suffisent à dérouter un malware dans le filtre de Gmail. Le mois apporte aussi la signature des modèles sur GPU, les LLM contre les mises à jour npm malveillantes et l'amplification DNS.
Archives : reconstitution rédigée en novembre 2026
1. MCP Security Bench (MSB): Benchmarking Attacks Against Model Context Protocol in LLM Agents
arXiv · Dongsen Zhang, Zekun Li, Xu Luo, Xuannan Liu et al.
En bref: MSB mesure la résistance de neuf agents LLM à douze attaques passant par les outils MCP.
Le Model Context Protocol standardise la façon dont les agents trouvent et appellent des outils externes, mais élargit la surface d'attaque. MSB classe douze attaques, des collisions de noms aux instructions cachées dans les descriptions, et les exécute avec de vrais outils : 2 000 cas, neuf agents, 10 domaines et 405 outils. Les modèles les plus performants sont les plus vulnérables.
Pourquoi c'est important. Chaque outil relié à un agent est une porte d'entrée : qui adopte MCP doit traiter catalogues et descriptions d'outils comme du code tiers.
Lire l'article · PDF · Code
2. Rounding-Guided Backdoor Injection in Deep Learning Model Quantization
arXiv · Xiangxiang Chen, Peixin Zhang, Jun Sun, Wenhai Wang et al. · Sécurité de l'IA et des LLM
En bref: QuRA implante une porte dérobée en choisissant seulement l'arrondi des poids lors de la quantification.
La quantification compresse les modèles pour les faire tourner sur des appareils limités. QuRA n'empoisonne ni les données ni l'entraînement : il choisit les poids critiques et optimise leur sens d'arrondi, amplifiant la porte dérobée d'une couche à l'autre sans perte de précision. Le succès approche 100 % dans la plupart des cas et l'attaque s'adapte pour contourner les défenses.
Pourquoi c'est important. Un modèle sain peut devenir malveillant à l'étape de compression : utiliser des versions quantifiées de tiers expose à un risque peu visible.
Lire l'article · PDF · Code
3. Evaluating the Robustness of a Production Malware Detection System to Transferable Adversarial Attacks
ACM Conference on Computer and Communications Security · Milad Nasr, Yanick Fratantonio, Luca Invernizzi, Ange Albertini et al. · Malware et menaces
En bref: En modifiant 13 octets, un malware trompe dans 90 % des cas le modèle qui aiguille les pièces jointes Gmail.
La chaîne antimalware de Gmail utilise Magika, un modèle open source qui identifie le type de fichier et oriente chaque échantillon vers un classifieur spécialisé. Des exemples adverses trompant Magika envoient le malware au mauvais détecteur : 13 octets modifiés suffisent dans 90 % des cas. La défense proposée, déjà en production, ramène le succès à 20 % même avec 50 octets.
Pourquoi c'est important. Un seul composant d'apprentissage automatique peut ouvrir une brèche dans toute la défense : les tests adverses doivent couvrir la chaîne entière.
4. Sentry: Authenticating Machine Learning Artifacts on the Fly
ACM Conference on Computer and Communications Security · Andrew Gan, Zahra Ghodsi · Cryptographie post-quantique
En bref: Sentry signe et vérifie jeux de données et modèles directement sur le GPU pendant leur chargement.
Les systèmes d'apprentissage automatique dépendent de données et de modèles de tiers, qui peuvent être empoisonnés avant livraison. Hachages et signatures aideraient, mais sont trop lourds pour des artefacts aussi volumineux et ne tournent pas sur GPU. Sentry lie les signatures à l'identité du développeur et vérifie les artefacts à leur entrée en mémoire GPU, avec des arbres de Merkle accélérés.
Pourquoi c'est important. Vérifier la provenance des modèles et des données est le premier contrôle contre les attaques sur la chaîne d'approvisionnement de l'IA.
5. Evaluating LLM-Based Detection of Malicious Package Updates in npm
Research in Attacks, Intrusions and Defenses · Elizabeth Wyss, Dominic Tassio, Lorenzo De Carli, Drew Davidson · Chaîne d'approvisionnement logicielle
En bref: Avec le bon pré- et post-traitement, un LLM repère les 209 mises à jour npm malveillantes du test.
Compromettre la mise à jour d'un paquet npm permet de diffuser un malware aux développeurs et aux utilisateurs finaux. Les auteurs évaluent les LLM comme détecteurs : ils réduisent le code avant de le confier au modèle et interprètent les réponses pour les classer. La méthode tient à l'échelle du registre entier et le meilleur modèle signale 209 échantillons historiques sur 209.
Pourquoi c'est important. Les attaques sur les mises à jour de paquets touchent de nombreuses entreprises à la fois : un filtre automatique efficace réduit le risque de cumul.
6. Forward to Hell? On the Potentials of Misusing Transparent DNS Forwarders in Reflective Amplification Attacks
ACM Conference on Computer and Communications Security · Maynard Koch, Florian Dolzmann, Thomas C. Schmidt, Matthias Wählisch · Sécurité réseau
En bref: Les redirecteurs DNS transparents font des grands résolveurs publics des amplificateurs de DDoS.
Les redirecteurs DNS transparents transmettent les requêtes aux résolveurs récursifs ouverts sans réécrire l'adresse source. Les grands résolveurs anycast participent ainsi malgré eux à des attaques par amplification réfléchie. Les redirecteurs contournent la limitation de débit, montent jusqu'à un facteur 14 grâce à l'anycast et aident à franchir les pare-feu des résolveurs.
Pourquoi c'est important. Un composant réseau répandu et négligé alimente des DDoS à grande échelle : les pannes touchent de nombreux clients à la fois.
7. Active Attack Resilience in 5G: A New Take on Authentication and Key Agreement
Research in Attacks, Intrusions and Defenses · Nazatul Haque Sultan, Xinlong Guan, Josef Pieprzyk, Wei Ni et al. · Sécurité réseau
En bref: Une variante de 5G-AKA sans numéros de séquence et avec confidentialité persistante, compatible avec les SIM.
5G-AKA, le protocole d'authentification de la 5G, protège des attaquants passifs mais pas des actifs. Il repose sur des numéros de séquence à garder synchronisés et n'offre pas de confidentialité persistante : si les clés à long terme fuient, le trafic passé est exposé. Les auteurs proposent une version sans état, compatible avec les SIM et réseaux existants, puis étendue à cette propriété.
Pourquoi c'est important. La 5G porte de plus en plus d'infrastructures critiques : une authentification plus solide réduit le risque d'interception et d'usurpation.
8. DPA-Style Attacks on HQC
IACR Transactions on Cryptographic Hardware and Embedded Systems · Zhuo Huang, Weijia Wang, Xiaogang Zhou, Yu Yu · Cryptographie post-quantique
En bref: Cinquante traces de consommation suffisent à extraire d'un microcontrôleur la clé de HQC, nouveau standard post-quantique.
HQC est le cinquième algorithme post-quantique retenu par le NIST et le seul fondé sur les codes. Les analyses de consommation connues demandent peu de traces mais tolèrent peu de bruit. Les auteurs conçoivent une attaque de type DPA à chiffré choisi : sur un STM32F4, la clé tombe avec 50 traces, 20 avec profilage, et environ 3 000 même avec masquage.
Pourquoi c'est important. Les algorithmes post-quantiques doivent être protégés contre les canaux auxiliaires avant d'arriver dans les appareils et les cartes.
9. OCR-APT: Reconstructing APT Stories from Audit Logs using Subgraph Anomaly Detection and LLMs
ACM Conference on Computer and Communications Security · Ahmed Aly, Essam Mansour, Amr Youssef · IA appliquée à la sécurité
En bref: OCR-APT repère les intrusions APT dans les journaux système et un LLM en reconstitue le récit en clair.
Les systèmes qui cherchent des anomalies dans les graphes de provenance produisent beaucoup de faux positifs et d'alertes floues, notamment parce qu'ils reposent sur des attributs fragiles comme chemins et IP. OCR-APT apprend le comportement autour des nœuds par réseaux de graphes, puis un LLM reconstitue l'attaque étape par étape en validant chacune. Il dépasse l'état de l'art.
Pourquoi c'est important. Un récit clair de l'intrusion accélère la réponse et l'évaluation des dommages, deux facteurs du coût d'un sinistre.
10. Your Microphone Array Retains Your Identity: A Robust Voice Liveness Detection System for Smart Speakers
USENIX Security Symposium · Yan Meng, Jiachun Li, Matthew Pillari, Arjun Deopujari et al. · Identité et authentification
En bref: Le réseau de micros d'une enceinte connectée distingue une voix réelle d'un enregistrement à 99,84 %.
Les enceintes connectées sont exposées aux attaques par voix rejouée ou synthétique. La détection passive du vivant n'utilise que l'audio capté, mais se dégrade quand l'environnement change et exige des postures fixes. ArrayID utilise la disposition circulaire des micros comme empreinte robuste aux mouvements : sur 32 780 échantillons et 14 appareils d'usurpation, il atteint 99,84 % de précision.
Pourquoi c'est important. La voix servant de plus en plus à autoriser achats et commandes domestiques, distinguer une personne d'un enregistrement limite la fraude.
Les tendances du mois
Sécurité de l'IA et des LLM
389 articles du mois sur ce thème
Avec 389 articles sur 1 883, la sécurité de l'IA reste le premier thème. Le mois montre trois points faibles dans la vie d'un modèle : les outils reliés aux agents via MCP, la compression qui peut cacher une porte dérobée et le composant d'apprentissage automatique qui, trompé, ouvre une brèche dans un antimalware utilisé par des milliards de personnes.
Articles cités:
- MCP Security Bench (MSB): Benchmarking Attacks Against Model Context Protocol in LLM Agents
- Rounding-Guided Backdoor Injection in Deep Learning Model Quantization
- Evaluating the Robustness of a Production Malware Detection System to Transferable Adversarial Attacks
Chaîne d'approvisionnement logicielle
18 articles du mois sur ce thème
Deux réponses pratiques sur la chaîne d'approvisionnement. Sentry place signature et vérification dans le GPU, si bien que modèles et données de tiers sont contrôlés au chargement, et un LLM bien réglé reconnaît toutes les mises à jour npm malveillantes d'un historique. Les deux contrôles agissent avant qu'un composant compromis n'atteigne de nombreuses entreprises.
Articles cités:
- Sentry: Authenticating Machine Learning Artifacts on the Fly
- Evaluating LLM-Based Detection of Malicious Package Updates in npm
Sécurité réseau
38 articles du mois sur ce thème
Deux travaux portent sur l'infrastructure réseau partagée. Les redirecteurs DNS transparents contournent les limites des grands résolveurs publics et démultiplient les DDoS, tandis qu'une révision de l'authentification 5G supprime la dépendance aux numéros de séquence et ajoute la confidentialité persistante sans changer les SIM.
Articles cités:
- Forward to Hell? On the Potentials of Misusing Transparent DNS Forwarders in Reflective Amplification Attacks
- Active Attack Resilience in 5G: A New Take on Authentication and Key Agreement
Comment ce digest est réalisé
Ce numéro fait partie des archives du digest, reconstituées a posteriori. Les articles du mois ont été collectés depuis arXiv, l'archive IACR ePrint et les principales conférences et revues de sécurité ; la sélection tient aussi compte des citations reçues depuis la publication. Un modèle d'intelligence artificielle a évalué les candidats et rédigé les synthèses, qui reposent sur les abstracts : pour les détails, l'article original fait foi.
Articles du mois évalués : 1883.