RECHERCHE
Février 2026 : skills malveillantes, fuites silencieuses, désanonymisation par les LLM
Février 2026 place au centre la chaîne d'approvisionnement des agents IA : les skills de tiers contiennent du code malveillant et des injections que les agents suivent jusqu'à 80 % du temps. Les agents peuvent exfiltrer des données sans trace dans leur réponse, et les LLM font de la désanonymisation une opération de masse. Puis Android et les passkeys.
Archives : reconstitution rédigée en novembre 2026
1. "Do Not Mention This to the User": Detecting and Understanding Malicious Agent Skills in the Wild
arXiv · Yi Liu, Zhihao Chen, Yanjun Zhang, Gelei Deng et al. · Sécurité de l'IA et des LLM
En bref: Sur 98 380 skills pour agents de programmation, 157 sont malveillantes, la moitié d'un seul acteur imitant des marques.
Les agents de programmation utilisent des skills de tiers, instructions et scripts exécutés avec les droits de l'utilisateur. Analyse de 98 380 skills de deux registres : 157 sont malveillantes, avec 632 vulnérabilités et 13 techniques d'attaque. Dominent le vol d'identifiants et les instructions hostiles dans la documentation ; plus de la moitié vient d'un acteur. Toutes sont retirées.
Pourquoi c'est important. Les skills sont un nouveau canal de la chaîne logicielle : il faut les vérifier comme toute dépendance avant de les installer.
2. Skill-Inject: Measuring Agent Vulnerability to Skill File Attacks
arXiv · David Schmotz, Luca Beurer-Kellner, Sahar Abdelnabi, Maksym Andriushchenko · Sécurité de l'IA et des LLM
En bref: Des injections cachées dans les fichiers de skills réussissent jusqu'à 80 % du temps contre les agents de pointe.
Les skills étendent les agents avec du code, des connaissances et des instructions de tiers, et deviennent une nouvelle surface d'injection. SkillInject réunit 202 paires attaque-tâche, des injections grossières aux instructions subtiles dans des textes légitimes. Les agents de pointe tombent jusqu'à 80 % du temps, avec exfiltration, actions destructrices et comportements de type rançongiciel.
Pourquoi c'est important. Des modèles plus gros ou des filtres simples ne suffisent pas : il faut une autorisation selon le contexte avant d'ouvrir les systèmes aux agents.
3. Silent Egress: When Implicit Prompt Injection Makes LLM Agents Leak Without a Trace
arXiv · Qianlong Lan, Anuj Kaul, Shaun Jones, Stephanie Westrum · Sécurité de l'IA et des LLM
En bref: Un aperçu de lien empoisonné pousse un agent à exfiltrer des données pendant que sa réponse semble anodine.
Les agents qui ouvrent des URL lisent aussi titres, métadonnées et aperçus générés automatiquement. Une page malveillante peut y cacher des instructions poussant l'agent à envoyer des données sensibles à l'extérieur, la réponse finale restant propre. Sur 480 essais, l'attaque réussit à 89 % et 95 % des succès échappent aux contrôles de sortie. Les défenses réseau marchent mieux.
Pourquoi c'est important. Le trafic sortant des agents doit être contrôlé comme un risque de fuite : la vérification des seules réponses ne le voit pas.
4. AgentDyn: Are Your Agent Security Defenses Deployable in Real-World Dynamic Environments?
arXiv · Hao Li, Ruoyao Wen, Shanghao Shi, Ning Zhang et al. · Sécurité de l'IA et des LLM
En bref: AgentDyn montre que presque toutes les défenses contre l'injection indirecte sont trop faibles ou bloquent le travail utile.
Les défenses des agents contre l'injection indirecte de prompts sont testées sur des benchmarks statiques et simples. AgentDyn propose 60 tâches ouvertes et 560 cas d'injection entre achats en ligne, GitHub et vie quotidienne, avec planification dynamique. Sur dix défenses récentes, presque toutes sont peu sûres ou si restrictives qu'elles bloquent aussi les tâches légitimes.
Pourquoi c'est important. Les résultats de laboratoire des défenses pour agents ne se transposent pas à l'usage réel : les promesses des fournisseurs sont à vérifier.
Lire l'article · PDF · Code
5. Large-scale online deanonymization with LLMs
arXiv · Simon Lermen, Daniel Paleka, Joshua Swanson, Michael Aerni et al. · Vie privée
En bref: Un agent LLM relie des profils pseudonymes à des personnes réelles avec 68 % de rappel à 90 % de précision.
Avec internet, un agent LLM réidentifie des utilisateurs de Hacker News et des participants à des entretiens à partir de profils pseudonymes et de conversations, comme un enquêteur en plusieurs heures. Sur des données brutes de plateformes variées, il extrait des indices, cherche et vérifie des candidats : 68 % de rappel à 90 % de précision, contre presque zéro pour les méthodes classiques.
Pourquoi c'est important. Le pseudonyme ne protège plus : données d'entreprise pseudonymisées et profils de salariés sont à traiter comme potentiellement identifiables.
6. The Trigger in the Haystack: Extracting and Reconstructing LLM Backdoor Triggers
arXiv · Blake Bullwinkel, Giorgio Severi, Keegan Hines, Amanda Minnich et al. · Sécurité de l'IA et des LLM
En bref: Un scanner retrouve les déclencheurs de portes dérobées cachées dans les LLM par la seule inférence.
Savoir si un modèle de langage cache une porte dérobée dormante reste difficile. Les auteurs constatent que ces modèles mémorisent souvent les données d'empoisonnement, qu'on peut faire ressortir, et montrent des signaux typiques en sortie et dans les têtes d'attention quand le déclencheur apparaît. Le scanner, sans connaissance préalable, le reconstruit sur de nombreux modèles.
Pourquoi c'est important. Vérifier les modèles de tiers avant adoption devient faisable : un contrôle utile pour qui intègre des LLM à ses produits.
7. Clouding the Mirror: Stealthy Prompt Injection Attacks Targeting LLM-based Phishing Detection
arXiv · Takashi Koide, Hiroki Nakano, Daiki Chiba · Sécurité de l'IA et des LLM
En bref: Les sites de phishing peuvent cacher des instructions qui trompent les détecteurs fondés sur des LLM.
Des LLM multimodaux servent à repérer les sites de phishing en analysant URL, HTML et page affichée. Mais l'auteur du site contrôle ces éléments et peut y glisser des instructions invisibles pour l'utilisateur. La première évaluation systématique montre que même les meilleurs modèles se font piéger, en laboratoire et sur des sites réels. La défense InjectDefuser réduit le succès.
Pourquoi c'est important. Les filtres anti-phishing à base d'IA peuvent être manipulés par les attaquants eux-mêmes : ce n'est pas un contrôle infaillible.
8. Identifying Adversary Tactics and Techniques in Malware Binaries with an LLM Agent
arXiv · Zhou Xuan, Xiangzhe Xu, Mingwei Zheng, Louis Zheng-Hua Tan et al. · Malware et menaces
En bref: TTPDetect, un agent LLM, reconnaît tactiques et techniques des attaquants dans le code des malwares avec 87 % de précision.
Repérer les techniques d'un malware est difficile quand le binaire n'a pas de symboles et que le comportement est dispersé. TTPDetect cible les points d'analyse par recherche sémantique et un agent explore le contexte fonction par fonction. Sur du code décompilé, il atteint 93 % de précision et de rappel ; sur de vrais malwares, il retrouve 85,7 % des techniques et en ajoute 10,5.
Pourquoi c'est important. Une analyse plus rapide des échantillons accélère la réponse à incident et la reconstitution des actions de l'attaquant.
9. Unveiling the Global Landscape of Android Security Updates
IEEE Transactions on Dependable and Secure Computing · Haiyun Deng, Güliz Seray Tuncay, Abbas Acar, Esteban Luques et al. · Web et mobile
En bref: Dix ans de mises à jour Android sur 904 appareils : longs retards et failles exploitables sans interaction.
Les auteurs analysent 567 000 relevés de mises à jour de sécurité Android de 2014 à 2024, pour 904 appareils de six fabricants dans 98 pays. Les délais varient fortement selon le fabricant, le type d'appareil et la région, notamment à cause de la fragmentation. Sur les appareils non à jour, environ 89,7 % des failles s'exploitent sans interaction de l'utilisateur et avec peu de complexité.
Pourquoi c'est important. Les téléphones d'entreprise non mis à jour sont une porte d'entrée facile : la politique de renouvellement et de mise à jour pèse sur le risque.
10. State of Passkey Authentication in the Wild: A Census of the Top 100K sites
arXiv · Prince Bhardwaj, Nishanth Sastry · Identité et authentification
En bref: Le premier recensement des passkeys sur les 100 000 sites les plus visités lie leur adoption à la popularité et aux fournisseurs tiers.
Les passkeys, identifiants FIDO2 synchronisés entre appareils, promettent une connexion sans mot de passe et résistante au phishing, mais leur diffusion réelle était inconnue. Les auteurs créent Fidentikit, un robot doté de 43 heuristiques, appliqué aux 100 000 domaines les plus populaires. L'adoption croît avec la popularité et passe souvent par des fournisseurs d'identité tiers.
Pourquoi c'est important. Les passkeys réduisent le risque de vol d'identifiants, mais leur adoption reste concentrée sur les grands sites.
Les tendances du mois
Chaîne d'approvisionnement logicielle
8 articles du mois sur ce thème
Les skills pour agents IA deviennent une nouvelle chaîne d'approvisionnement. Les registres publics comptent des dizaines de skills malveillantes, souvent d'un même acteur imitant des marques connues, et même les injections subtiles dans leurs fichiers sont suivies jusqu'à 80 % du temps. Les règles des dépendances logicielles s'appliquent : vérification, provenance et moindre privilège.
Articles cités:
- "Do Not Mention This to the User": Detecting and Understanding Malicious Agent Skills in the Wild
- Skill-Inject: Measuring Agent Vulnerability to Skill File Attacks
Sécurité de l'IA et des LLM
401 articles du mois sur ce thème
Avec 401 articles sur 1 619, la sécurité de l'IA reste le premier thème. Les agents peuvent exfiltrer des données pendant que leur réponse semble anodine, et presque toutes les défenses contre l'injection indirecte échouent en conditions réalistes. Côté défense, des scanners retrouvent les portes dérobées des modèles, tandis que la désanonymisation par LLM rend identifiables des profils jusqu'ici protégés.
Articles cités:
- Silent Egress: When Implicit Prompt Injection Makes LLM Agents Leak Without a Trace
- AgentDyn: Are Your Agent Security Defenses Deployable in Real-World Dynamic Environments?
- The Trigger in the Haystack: Extracting and Reconstructing LLM Backdoor Triggers
- Large-scale online deanonymization with LLMs
Malware et menaces
33 articles du mois sur ce thème
Face aux menaces classiques, les LLM servent les deux camps. Un agent reconnaît les techniques des attaquants dans le code des malwares et en découvre de nouvelles, mais les sites de phishing peuvent cacher des instructions qui trompent les détecteurs à base de LLM. Et dix ans de données Android montrent que les appareils non mis à jour restent faciles à attaquer.
Articles cités:
- Identifying Adversary Tactics and Techniques in Malware Binaries with an LLM Agent
- Clouding the Mirror: Stealthy Prompt Injection Attacks Targeting LLM-based Phishing Detection
- Unveiling the Global Landscape of Android Security Updates
Comment ce digest est réalisé
Ce numéro fait partie des archives du digest, reconstituées a posteriori. Les articles du mois ont été collectés depuis arXiv, l'archive IACR ePrint et les principales conférences et revues de sécurité ; la sélection tient aussi compte des citations reçues depuis la publication. Un modèle d'intelligence artificielle a évalué les candidats et rédigé les synthèses, qui reposent sur les abstracts : pour les détails, l'article original fait foi.
Articles du mois évalués : 1619.