RECHERCHE
Mars 2026 : un ver entre agents IA, clés Bitcoin et quantique, chevaux de Troie matériels
Mars 2026 est le mois d'OpenClaw : le framework ouvert pour agents locaux se révèle fragile et AgentWorm se propage d'une instance à l'autre avec un seul message. De nouvelles estimations réduisent les ressources quantiques nécessaires pour casser les clés des cryptomonnaies. Côté matériel : chevaux de Troie invisibles au microscope, clés Falcon volées à froid et modèles espionnés à un mètre.
Archives : reconstitution rédigée en novembre 2026
1. AgentWorm: Self-Propagating Attacks Across LLM Agent Ecosystems
arXiv · Yihao Zhang, Zeming Wei, Xiaokun Luan, Chengcan Wu et al. · Sécurité de l'IA et des LLM
En bref: AgentWorm est le premier ver auto-réplicant entre agents IA en production, lancé par un seul message.
OpenClaw, plateforme ouverte de plus de 40 000 instances actives, offre aux agents une configuration persistante, l'exécution d'outils et la messagerie. AgentWorm détourne la configuration, lance une charge à chaque redémarrage et se propage aux contacts sans autre intervention. Sur cinq LLM, il réussit à 63 %, et les contrôles qui l'arrêteraient ne sont activés dans aucun déploiement observé.
Pourquoi c'est important. Un ver entre agents peut toucher de nombreuses organisations en peu de temps : un scénario de cumul pour qui utilise des agents autonomes.
2. Don't Let the Claw Grip Your Hand: A Security Analysis and Defense Framework for OpenClaw
arXiv · Zhengyang Shan, Jiayun Xin, Yue Zhang, Minghui Xu · Sécurité de l'IA et des LLM
En bref: Sans défense propre, OpenClaw ne bloque en moyenne que 17 % de 47 attaques ; une validation humaine monte à 92 %.
OpenClaw exécute des commandes shell pour l'utilisateur et n'a aucune contrainte de sécurité native : il s'en remet au seul LLM. Sur 47 scénarios d'attaque tirés de MITRE ATLAS et ATT&CK, le taux de défense moyen est de 17 %, avec une forte exposition à l'évasion du bac à sable. Une couche de validation humaine stoppe huit attaques graves et porte la défense entre 19 % et 92 %.
Pourquoi c'est important. Les agents ayant accès au shell exigent une validation humaine des actions à risque : le modèle seul ne suffit pas.
3. Quantifying Frontier LLM Capabilities for Container Sandbox Escape
arXiv · Rahul Marchand, Art O Cathain, Jerome Wynne, Philippos Maximos Giavridis et al. · Sécurité des systèmes et logiciels
En bref: Un benchmark mesure la capacité des LLM à sortir des conteneurs Docker : s'il y a une faille, ils la trouvent et l'exploitent.
Les agents IA sont souvent isolés dans des conteneurs Docker ou OCI. SandboxEscapeBench mesure sans risque la capacité d'un LLM à s'en évader, avec un bac à sable imbriqué dont la couche externe n'a aucune faille connue. Les scénarios vont des erreurs de configuration aux failles du noyau et de l'orchestration. Quand des failles existent, les modèles les repèrent et les exploitent.
Pourquoi c'est important. Le conteneur ne suffit pas comme garantie pour les agents : configuration et mise à jour de l'isolation deviennent des contrôles critiques.
4. AttriGuard: Defeating Indirect Prompt Injection in LLM Agents via Causal Attribution of Tool Invocations
arXiv · Yu He, Haozhe Zhu, Yiming Li, Shuo Shao et al. · Sécurité de l'IA et des LLM
En bref: AttriGuard se demande pourquoi l'agent veut appeler un outil et bloque les actions dictées par un contenu externe.
Les défenses contre l'injection indirecte cherchent à reconnaître les textes malveillants et peinent face aux attaques nouvelles. AttriGuard change d'angle : à chaque appel d'outil, il relance l'agent avec des observations externes atténuées et vérifie si l'appel découle de l'intention de l'utilisateur. Sur quatre LLM, il annule les attaques statiques et résiste aux adaptatives.
Pourquoi c'est important. Contrôler les actions de l'agent, et pas seulement les textes qu'il lit, rend les défenses plus robustes face aux attaques inconnues.
5. Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations
arXiv · Ryan Babbush, Adam Zalcman, Craig Gidney, Michael Broughton et al. · Cryptographie
En bref: Nouvelles estimations : moins d'un demi-million de qubits physiques pourraient casser en minutes les clés elliptiques des cryptomonnaies.
Les auteurs estiment les ressources pour que l'algorithme de Shor casse le logarithme discret sur secp256k1, la courbe de Bitcoin et de nombreuses blockchains : environ 1 200 à 1 450 qubits logiques et 70 à 90 millions de portes Toffoli, validés par une preuve à divulgation nulle. Sur matériel supraconducteur, quelques minutes et moins d'un demi-million de qubits physiques suffiraient.
Pourquoi c'est important. La migration post-quantique des cryptomonnaies et de la garde d'actifs numériques a moins de temps que prévu.
6. FrozenTRU: Cold Boot Attacks on NTRU-Based Hash-and-Sign Signatures
IACR Transactions on Cryptographic Hardware and Embedded Systems · Hiroto Kaihara, Mehdi Tibouchi, Masayuki Abe · Cryptographie
En bref: Une attaque par démarrage à froid récupère les clés de la signature post-quantique Falcon sur un Raspberry Pi.
Les attaques par démarrage à froid lisent la RAM juste après l'extinction, quand elle conserve encore l'essentiel des données avec quelques bits inversés. Les auteurs les appliquent à Falcon, signature post-quantique fondée sur NTRU aux clés stockées en virgule flottante, et à son ancêtre DLP. Malgré les erreurs numériques, ils récupèrent les clés complètes, y compris sur un vrai Raspberry Pi.
Pourquoi c'est important. Les implémentations post-quantiques doivent protéger les clés en mémoire contre les attaques physiques, surtout sur les appareils exposés.
7. Hardware Trojans from Invisible Inversions: On the Trojanizability of Standard Cell Libraries
IEEE Symposium on Security and Privacy · Kolja Dorschel, René Walendy, Lukas Plätz, Thorben Moos et al. · Sécurité de l'IA et des LLM
En bref: Des cellules logiques différentes mais identiques au microscope électronique permettent de cacher des chevaux de Troie dans les puces.
Sur des images au microscope électronique de quatre circuits, les auteurs évaluent combien les bibliothèques de cellules standard permettent de cacher des chevaux de Troie matériels. Dans toutes, des cellules aux fonctions logiques différentes sont indiscernables sur les images de la face arrière. Ils en tirent un cheval de Troie invisible : une porte dérobée dans un cœur RISC-V Ibex.
Pourquoi c'est important. La chaîne d'approvisionnement des semi-conducteurs peut cacher des manipulations difficiles à détecter même par inspection physique.
8. Kraken: Higher-order EM Side-Channel Attacks on DNNs in Near and Far Field
IEEE Conference on Secure and Trustworthy Machine Learning · Peter Horvath, Ilia Shumailov, Łukasz Chmielewski, Lejla Batina et al. · Matériel et canaux auxiliaires
En bref: Les émissions électromagnétiques des Tensor Cores des GPU révèlent les paramètres des modèles, même à un mètre.
Les grands modèles coûtent des millions et attirent les voleurs. Kraken est la première attaque par canal auxiliaire qui extrait des paramètres des Tensor Cores des GPU, les unités les plus utilisées, en analysant les émissions électromagnétiques de proximité par corrélation. Une étude exploratoire montre des fuites d'informations sur les LLM jusqu'à 100 cm, même derrière une vitre.
Pourquoi c'est important. Les modèles propriétaires sont des actifs de grande valeur : la protection physique de leurs serveurs fait partie de la protection de la propriété intellectuelle.
9. Beyond Control: Exploring Novel File System Objects for Data-Only Attacks on Linux Systems
IEEE Transactions on Dependable and Secure Computing · Jinmeng Zhou, Ziyue Pan, Jiayi Hu, Jiaxun Zhu et al. · Sécurité des systèmes et logiciels
En bref: Des objets du système de fichiers Linux permettent d'exploiter le noyau sans toucher au flux de contrôle, malgré les protections.
Avec l'intégrité du flux de contrôle, les attaquants visent les données critiques du noyau. Les auteurs les cherchent de façon semi-automatique dans le système de fichiers Linux, les classent par stratégie et montrent comment contourner leur isolation, souvent sans vaincre KASLR. Ils valident la méthode sur 18 CVE réelles et écrivent 10 exploits complets, toutes protections actives.
Pourquoi c'est important. Les protections du noyau n'empêchent pas l'élévation de privilèges : corriger vite reste la principale défense.
10. NetPuzz: Testing Network Printers via Fully Black-Box and Feedback-Guided Protocol Fuzzing
IEEE Transactions on Dependable and Secure Computing · Jia-Ju Bai, Rui-Nan Hu, Chenglong Li, Jianjun Chen et al. · Sécurité des systèmes et logiciels
En bref: NetPuzz teste les imprimantes réseau en boîte noire et trouve 25 nouvelles failles sur sept modèles commerciaux.
Les imprimantes réseau ont des failles exploitables et un firmware fermé. NetPuzz fait du fuzzing des protocoles d'impression sans code source, rétro-ingénierie ni émulation : il génère des séquences de paquets guidées par les réponses de l'imprimante et isole le cas minimal déclencheur. Sur sept imprimantes commerciales, il trouve 25 failles nouvelles, dont 23 avec CVE ou CNVD.
Pourquoi c'est important. Les imprimantes sont des appareils réseau souvent oubliés des inventaires : elles peuvent ouvrir l'accès au réseau de l'entreprise.
Les tendances du mois
Sécurité de l'IA et des LLM
485 articles du mois sur ce thème
Avec 485 articles sur 1 902, la sécurité de l'IA reste le premier thème, et mars la concentre sur les agents ayant accès au système. OpenClaw seul bloque moins d'une attaque sur cinq, un ver se propage entre instances avec un message et les LLM savent exploiter les failles des conteneurs. Les défenses les plus prometteuses, comme AttriGuard et la validation humaine, contrôlent les actions plutôt que les textes.
Articles cités:
- AgentWorm: Self-Propagating Attacks Across LLM Agent Ecosystems
- Don't Let the Claw Grip Your Hand: A Security Analysis and Defense Framework for OpenClaw
- Quantifying Frontier LLM Capabilities for Container Sandbox Escape
- AttriGuard: Defeating Indirect Prompt Injection in LLM Agents via Causal Attribution of Tool Invocations
Cryptographie post-quantique
63 articles du mois sur ce thème
La transition post-quantique gagne en urgence sur deux fronts. Les nouvelles estimations ramènent à moins d'un demi-million de qubits physiques le matériel nécessaire pour casser en minutes les clés des cryptomonnaies, et l'attaque à froid contre Falcon rappelle que les nouveaux algorithmes exigent aussi une protection physique des clés.
Articles cités:
- Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations
- FrozenTRU: Cold Boot Attacks on NTRU-Based Hash-and-Sign Signatures
Matériel et canaux auxiliaires
29 articles du mois sur ce thème
Le matériel reste un angle mort. Des cellules logiques indiscernables au microscope permettent de cacher des chevaux de Troie dès la fabrication des puces, et les émissions électromagnétiques des GPU laissent fuir les paramètres des modèles même à un mètre. La confiance dans les fournisseurs et la sécurité physique des serveurs restent partie du risque.
Articles cités:
- Hardware Trojans from Invisible Inversions: On the Trojanizability of Standard Cell Libraries
- Kraken: Higher-order EM Side-Channel Attacks on DNNs in Near and Far Field
Comment ce digest est réalisé
Ce numéro fait partie des archives du digest, reconstituées a posteriori. Les articles du mois ont été collectés depuis arXiv, l'archive IACR ePrint et les principales conférences et revues de sécurité ; la sélection tient aussi compte des citations reçues depuis la publication. Un modèle d'intelligence artificielle a évalué les candidats et rédigé les synthèses, qui reposent sur les abstracts : pour les détails, l'article original fait foi.
Articles du mois évalués : 1902.