RECHERCHE
Décembre 2025 : mémoire d'agents empoisonnée, Telegram, recharge aux frais d'autrui
Décembre 2025 apporte aux agents IA de nouvelles menaces : souvenirs empoisonnés qui persistent d'une session à l'autre, injections efficaces quelle que soit la source et prompts qui piègent un service dans un raisonnement sans fin. Telegram et la recharge des véhicules électriques montrent des failles cryptographiques. Le mois se clôt sur l'évasion de machines virtuelles.
Archives : reconstitution rédigée en novembre 2026
1. MemoryGraft: Persistent Compromise of LLM Agents via Poisoned Experience Retrieval
arXiv · Saksham Sahai Srivastava, Haoyu He · Sécurité de l'IA et des LLM
En bref: MemoryGraft implante de faux succès dans la mémoire à long terme d'un agent, qui les imite ensuite.
Les agents LLM conservent leurs expériences pour progresser. MemoryGraft exploite cette habitude : par des contenus d'apparence anodine lus pendant une tâche, il amène l'agent à enregistrer des procédures malveillantes parmi ses réussites. Face à des tâches proches, l'agent les retrouve et les copie. Quelques entrées empoisonnées dominent les souvenirs rappelés, d'une session à l'autre.
Pourquoi c'est important. Une compromission logée dans la mémoire de l'agent ne disparaît pas à la fin de la session : la réponse à incident doit inclure son nettoyage.
Lire l'article · PDF · Code
2. ObliInjection: Order-Oblivious Prompt Injection Attack to LLM Agents with Multi-source Data
Network and Distributed System Security Symposium · Reachal Wang, Yuqi Jia, Neil Zhenqiang Gong · Sécurité de l'IA et des LLM
En bref: ObliInjection fonctionne même si l'attaquant ne contrôle qu'une source sur cent et ignore l'ordre de lecture.
L'entrée d'une application LLM réunit souvent des textes de plusieurs sources, dont l'attaquant ne contrôle qu'une partie sans en connaître l'ordre. ObliInjection est la première injection de prompts conçue pour ce cas : elle optimise le texte malveillant pour tout ordre possible. Sur trois jeux de données et douze LLM, elle reste efficace avec un seul segment contaminé sur 6 à 100.
Pourquoi c'est important. Les assistants qui résument avis, e-mails ou documents à plusieurs auteurs peuvent être détournés par une seule contribution hostile.
Lire l'article · PDF · Code
3. ThinkTrap: Denial-of-Service Attacks against Black-box LLM Services via Infinite Thinking
Network and Distributed System Security Symposium · Yunzhe Li, Jianan Wang, Hongzi Zhu, James Lin et al.
En bref: ThinkTrap trouve des prompts qui font raisonner un LLM sans fin et ramènent un service commercial à 1 % de capacité.
Les services LLM dans le cloud font face à un nouveau déni de service : des entrées qui poussent le modèle vers des générations très longues ou infinies. ThinkTrap trouve ces prompts sans accès au modèle, en optimisant dans un espace continu de faible dimension. Contre des services commerciaux fermés, même sous dix requêtes par minute, il ramène le débit à 1 %, parfois jusqu'à la panne.
Pourquoi c'est important. Les fournisseurs de services fondés sur des LLM s'exposent à des pannes et à des coûts de calcul incontrôlés : limiter la durée du raisonnement devient un contrôle essentiel.
4. Chasing Shadows: Pitfalls in LLM Security Research
Network and Distributed System Security Symposium · Jonathan Evertz, Niklas Risse, Nicolai Neuer, Andreas Müller et al.
En bref: Les 72 articles de sécurité avec LLM examinés contiennent tous au moins un de neuf biais méthodologiques récurrents.
Les LLM compliquent la reproductibilité et l'évaluation en recherche de sécurité. Les auteurs relèvent neuf écueils récurrents, de la collecte des données au prompting, et les cherchent dans les 72 articles parus dans les grandes conférences de sécurité et de génie logiciel en 2023-2024 : chacun en a au moins un, mais 15,7 % seulement sont discutés. Quatre cas montrent des résultats gonflés.
Pourquoi c'est important. Les performances annoncées des outils de sécurité fondés sur des LLM sont à lire avec prudence avant qu'une entreprise ne s'y fie.
5. Four Attacks and a Proof for Telegram
Journal of Cryptology · Martin R. Albrecht, Lenka Mareková, Kenneth G. Paterson, Igors Stepanovs · Méthodes formelles
En bref: Quatre attaques et une preuve formelle sur la cryptographie symétrique de MTProto, le protocole de Telegram.
C'est la première étude complète de la cryptographie symétrique de MTProto 2.0, le TLS de Telegram. Une variante du protocole est prouvée sûre dans un modèle formel, mais les auteurs présentent deux attaques sur la spécification et deux sur l'implémentation : canaux temporels dans trois clients officiels pour retrouver le clair, et une faille d'échange de clés serveur ouvrant à l'homme du milieu.
Pourquoi c'est important. Les messageries aussi utilisées pour le travail peuvent avoir de vraies faiblesses cryptographiques : mieux vaut les choisir sur des protocoles vérifiés.
6. Charge It to My Neighbor: A Relay Attack on ISO 15118 Plug and Charge Payment
arXiv · Jakob Löw, Vishwa Vasu, Thomas Hutzelmann, Hans-Joachim Hof · Cryptographie
En bref: Une fausse borne permet de recharger sa voiture électrique en faisant payer un autre conducteur.
La norme européenne ISO 15118 de recharge rapide permet aux véhicules électriques de payer seuls via des certificats de contrat. L'attaque branche la voiture de la victime sur une fausse borne et relaie son authentification vers une vraie, qui recharge la voiture de l'attaquant et facture la victime. Elle exploite une signature sans identité de borne et des certificats TLS mal gérés.
Pourquoi c'est important. Avec l'essor du plug-and-charge, ce type de fraude au paiement peut toucher flottes et opérateurs de recharge avant que la norme soit corrigée.
7. Breaking Isolation: A New Perspective on Hypervisor Exploitation via Cross-Domain Attacks
Network and Distributed System Security Symposium · Gaoning Pan, Yiming Tao, Qinying Wang, Chunming Wu et al. · Sécurité des systèmes et logiciels
En bref: En réutilisant la mémoire de l'invité, les attaques inter-domaines rendent exploitables les bugs de QEMU et VirtualBox.
Les failles mémoire des hyperviseurs sont graves mais difficiles à exploiter, car les structures utiles sont rares et masquées par la randomisation des adresses. Les auteurs constatent que la mémoire de l'invité, contrôlée par l'attaquant, est accessible depuis l'hôte et s'en servent d'appui. Un système automatique assemble des chaînes d'exploits complètes, efficaces sur 15 failles réelles.
Pourquoi c'est important. L'évasion d'une machine virtuelle touche tous les clients d'un même hôte : un risque de cumul typique du cloud.
8. Behind the Curtain: How Shared Hosting Providers Respond to Vulnerability Notifications
IEEE Symposium on Security and Privacy · Giada Stivala, Rafael Mrowczynski, Maria V. Hellenthal, Giancarlo Pellegrino · Sécurité des systèmes et logiciels
En bref: Vingt-quatre hébergeurs expliquent pourquoi les signalements de vulnérabilités mènent à si peu de corrections.
Les signalements de vulnérabilités à grande échelle obtiennent peu de corrections. Les auteurs interrogent 24 hébergeurs mutualisés : presque tous reçoivent et traitent les signalements, mais jugent les failles des applications web du ressort du client. Les tarifs bas et le volume de compromissions quotidiennes découragent la prévention, et les hébergeurs blâment les propriétaires des sites.
Pourquoi c'est important. Les petites entreprises en hébergement mutualisé ne peuvent pas compter sur l'hébergeur pour corriger les failles : la responsabilité leur revient.
9. Breaking the illusion: Automated Reasoning of GDPR Consent Violations
IEEE Symposium on Security and Privacy · Ying Li, Wenjun Qiu, Faysal Hossain Shezan, Kunlin Cai et al. · Vie privée
En bref: Cosmic relève des violations du consentement RGPD dans 94,1 % des formulaires web analysés sur 5 823 sites.
Le RGPD et le CCPA exigent un consentement éclairé, libre, spécifique et univoque, mais la recherche s'est surtout penchée sur les bannières de cookies. Cosmic audite automatiquement les formulaires qui recueillent le consentement : sur 5 823 sites et 3 598 formulaires, il détecte 3 384 violations dans 94,1 % d'entre eux, avec 99,1 % de vrais positifs.
Pourquoi c'est important. Les violations du consentement sont répandues et désormais détectables automatiquement : le risque de sanctions pour les sites d'entreprise augmente.
Les tendances du mois
Sécurité de l'IA et des LLM
277 articles du mois sur ce thème
Avec 277 articles sur 1 532, la sécurité de l'IA reste le premier thème. Les attaques contre les agents deviennent plus réalistes : souvenirs empoisonnés qui survivent à la session, injections efficaces depuis une seule source sur cent et prompts qui épuisent les ressources d'un service. Une revue de 72 articles montre aussi que bien des résultats sur les LLM en sécurité appellent la prudence.
Articles cités:
- MemoryGraft: Persistent Compromise of LLM Agents via Poisoned Experience Retrieval
- ObliInjection: Order-Oblivious Prompt Injection Attack to LLM Agents with Multi-source Data
- ThinkTrap: Denial-of-Service Attacks against Black-box LLM Services via Infinite Thinking
- Chasing Shadows: Pitfalls in LLM Security Research
Cryptographie
176 articles du mois sur ce thème
Deux protocoles du quotidien montrent des faiblesses concrètes. MTProto de Telegram, bien que prouvé sûr dans une variante formelle, cède face aux canaux temporels des clients et à une faille d'échange de clés côté serveur, tandis que la recharge automatique des véhicules électriques permet de faire payer un autre conducteur via une fausse borne.
Articles cités:
- Four Attacks and a Proof for Telegram
- Charge It to My Neighbor: A Relay Attack on ISO 15118 Plug and Charge Payment
Sécurité des systèmes et logiciels
48 articles du mois sur ce thème
Deux risques apparaissent dans l'infrastructure partagée. La mémoire des invités sert d'appui pour exploiter les bugs d'hyperviseur et briser l'isolation, et les hébergeurs mutualisés laissent à leurs clients la correction des failles signalées. Dans les deux cas, un seul point faible peut toucher de nombreux clients à la fois.
Articles cités:
- Breaking Isolation: A New Perspective on Hypervisor Exploitation via Cross-Domain Attacks
- Behind the Curtain: How Shared Hosting Providers Respond to Vulnerability Notifications
Comment ce digest est réalisé
Ce numéro fait partie des archives du digest, reconstituées a posteriori. Les articles du mois ont été collectés depuis arXiv, l'archive IACR ePrint et les principales conférences et revues de sécurité ; la sélection tient aussi compte des citations reçues depuis la publication. Un modèle d'intelligence artificielle a évalué les candidats et rédigé les synthèses, qui reposent sur les abstracts : pour les détails, l'article original fait foi.
Articles du mois évalués : 1532.