RECHERCHE
Juin 2026 : skills malveillantes pour agents, détournements BGP invisibles et Encrochat
En juin 2026, les extensions des agents de programmation deviennent une nouvelle dépendance de la chaîne d'approvisionnement, et les détecteurs actuels n'en voient qu'une partie. Le déploiement partiel de ROV permet des détournements BGP invisibles pour la victime, AirDrop et Quick Share révèlent des failles sans clic et une étude retrace l'intrusion policière dans Encrochat.
Archives : reconstitution rédigée en novembre 2026
1. MalSkillBench: A Runtime-Verified Benchmark of Malicious Agent Skills
arXiv · Wenbo Guo, Wei Zeng, Chengwei Liu, Xiaojun Jia et al. · Sécurité de l'IA et des LLM
En bref: MalSkillBench rassemble près de 4 000 skills malveillantes pour agents de programmation, vérifiées à l'exécution, et évalue les détecteurs.
Les skills sont des paquets d'instructions, de scripts et de permissions qui étendent les agents de programmation : à la fois code et prompt. Le benchmark compte 3 944 skills malveillantes vérifiées en sandbox et 703 collectées en ligne, dominées par une campagne de vol de cryptomonnaies. Le meilleur détecteur trouve 98,4 % des injections de code mais échoue face au prompt injection.
Pourquoi c'est important. Les développeurs installent des skills tierces comme de simples documents : une nouvelle porte d'entrée dans les systèmes d'entreprise, mal couverte par les contrôles actuels.
2. ARVO: Atlas of Reproducible Vulnerabilities for Open-Source Software
IEEE European Symposium on Security and Privacy · Xiang Mei, Jordi Del Castillo, Pulkit Singh Singaria, Haoran Xi et al.
En bref: ARVO rend reproductibles plus de 6 100 vulnérabilités réelles de 311 projets open source, chacune avec son correctif.
Les jeux de données de vulnérabilités sacrifient presque toujours la reproductibilité à la taille et à la diversité. Les auteurs identifient les principaux obstacles à la reproduction de bugs à grande échelle et les lèvent pour OSS-Fuzz : ARVO contient plus de 6 100 vulnérabilités reconstructibles et déclenchables, en reproduit 81 % et identifie chaque correctif.
Pourquoi c'est important. Les outils qui promettent de trouver ou corriger des failles automatiquement doivent être évalués sur des cas réels et répétables : ARVO fournit cette base commune.
3. Understanding the Stealthy BGP Hijacking Risk in the ROV Era
Network and Distributed System Security Symposium · Yihao Chen, Qi Li, Ke Xu, Zhuotao Liu et al. · Sécurité réseau
En bref: Avec un ROV déployé en partie seulement, le trafic d'un réseau protégé peut être détourné sans que la victime voie de route malveillante.
Les ROA couvrent désormais 57 % des préfixes IPv4, mais la validation ROV ne tourne que sur quelques milliers de réseaux. Les auteurs étudient un effet de bord : un réseau protégé par des voisins qui rejettent les fausses routes peut voir son trafic dévié par des réseaux non mis à jour sur le chemin. Le détournement reste invisible sur le plan de contrôle.
Pourquoi c'est important. Qui considère ROV comme une protection suffisante peut être intercepté sans aucun signal : la surveillance doit aussi regarder le chemin réel des paquets.
4. A Real-World Law-Enforcement Hack: The Case of Encrochat
CRYPTO · Martin R. Albrecht, Sunoo Park, Michael A. Specter, Douglas Stebila · Politiques, droit et société
En bref: Le récit public le plus détaillé à ce jour de l'intrusion des forces de l'ordre européennes dans Encrochat en 2020.
Encrochat vendait des téléphones Android modifiés avec sa propre PKI et une messagerie fondée sur le protocole Signal, très utilisée par le crime organisé. En 2020, une opération coordonnée y est restée des mois, collectant données et métadonnées historiques et en temps réel utilisées dans plus de 6 000 arrestations. Les auteurs retracent l'infrastructure et sa compromission.
Pourquoi c'est important. Le chiffrement de bout en bout ne protège pas si le fournisseur contrôle appareil et mises à jour : face à une plateforme fermée, il faut savoir qui peut pousser du code sur les terminaux.
5. Protocol Prying: Systematic Vulnerability Research in the Apple AirDrop and Android Quick Share Proximity Transfer Protocols
USENIX WOOT Conference on Offensive Technologies · Arash Ale Ebrahim, Nils Ole Tippenhauer · Sécurité des systèmes et logiciels
En bref: La première étude croisée d'AirDrop et Quick Share trouve six vulnérabilités, dont trois accessibles sans authentification.
AirDrop et Quick Share, utilisés par plus de cinq milliards d'appareils, acceptent les connexions de toute personne proche et traitent des formats complexes dans des services privilégiés. Les auteurs reconstruisent les protocoles, créent un fuzzer dédié et trouvent six failles : trois avant authentification dans AirDrop, deux chez Samsung dont un contournement du chiffrement, une sous Windows.
Pourquoi c'est important. Les protocoles de proximité sont une surface d'attaque sans clic sur les appareils d'entreprise : limiter la réception aux contacts connus est un bon réglage par défaut.
6. RadKey: An LLM-Guided RF Backscatter System for Through-Wall Keystroke Inference
IEEE Symposium on Security and Privacy · Qijun Wang, Chunqi Qian, Huacheng Zeng · Matériel et canaux auxiliaires
En bref: RadKey reconstitue la frappe à travers un mur grâce à une petite étiquette radio sans batterie posée près du clavier.
Les attaques acoustiques ou vibratoires sur les claviers exigent en général des capteurs visibles à courte distance et des données d'entraînement de la victime. RadKey utilise une étiquette passive qui traduit vibrations et sons des touches en décalage du signal radio réfléchi, lu à distance à travers les murs. Ses caractéristiques valent pour divers utilisateurs et claviers.
Pourquoi c'est important. Mots de passe et données sensibles saisis dans des bureaux partagés peuvent être interceptés sans accès au réseau : la sécurité physique des postes compte aussi.
7. Kitten or Panda? Measuring the Specificity of Threat Group Behaviors in Public CTI Knowledge Bases
ACM Asia Conference on Computer and Communications Security · Aakanksha Saha, Martina Lindorfer, Juan Caballero · Malware et menaces
En bref: Seul un tiers des groupes de menace de MITRE ATT&CK a des techniques exclusives : les profils publics attribuent mal.
Les auteurs analysent les profils de groupes de menace dans MITRE ATT&CK et Malpedia. Seuls 34 % des groupes d'ATT&CK utilisent des techniques propres ; le logiciel est plus distinctif, à 73 %, mais tombe à 24 % dans Malpedia. Fusionner les sources et ajouter vulnérabilités exploitées et techniques issues des rapports aide peu : les comportements exclusifs restent sous 30 %.
Pourquoi c'est important. Beaucoup d'évaluations de risque et de sinistres reposent sur l'attribution : ces chiffres montrent sa fragilité quand elle ne s'appuie que sur les techniques.
8. The Invisible Ink of the Android Malware World: A Longitudinal Study on the Usage of Covert Communication Channels
IEEE European Symposium on Security and Privacy · Zeya Umayya, Manan Aggarwal, Manan Chugh, Mann Nariya et al. · Malware et menaces
En bref: Sur 3,5 millions d'apps Android malveillantes, l'usage de proxys, VPN et Tor pour cacher le commande et contrôle atteint 50 % en 2025.
La première étude longitudinale des canaux cachés dans les malwares Android analyse 3,5 millions d'échantillons de 2009 à juillet 2025. Les règles statiques trouvent 288 000 apps de 511 familles utilisant proxys, VPN ou Tor ; la part passe de 0,3 % en 2012 à 50 % en 2025. Certaines familles combinent ou changent souvent de canal : l'une l'a fait 40 fois.
Pourquoi c'est important. Bloquer les serveurs de commande par adresse fonctionne de moins en moins sur mobile : il faut des contrôles fondés sur le comportement des apps.
9. Agent-Assisted Side-Channel Attacks on Non-Prefix KV Cache in RAG
arXiv · He Sun, Shinan Liu, Siyuan Ma, Junhao Li et al. · Sécurité de l'IA et des LLM
En bref: SpliceLeak exploite les temps du cache partagé des services de modèles de langage pour extraire les prompts privés d'autres utilisateurs.
Pour accélérer les services avec recherche documentaire, les moteurs d'inférence réutilisent des blocs de cache même hors du début de la requête. Les auteurs montrent que l'alignement déterministe de ces blocs laisse une signature temporelle mesurable. SpliceLeak s'en sert pour estimer la longueur des prompts cachés puis en extraire le contenu jeton par jeton, jusqu'à 100 % sur vLLM.
Pourquoi c'est important. Les utilisateurs de services d'IA partagés entre clients doivent savoir que les optimisations de performance peuvent faire fuiter les données saisies par d'autres.
10. FragFuse: Bypassing Access Control of Large Language Model Agents via Memory-Based Query Fragmentation and Fusion
arXiv · Zixin Rao, Wentian Zhu, Chan Aristella Lu, Zhaorun Chen et al. · Identité et authentification
En bref: FragFuse contourne les contrôles d'accès des agents IA en découpant une requête interdite en fragments stockés en mémoire longue.
Les agents IA utilisent une mémoire à long terme et, de plus en plus, des contrôles qui bloquent les requêtes interdites. FragFuse découpe le contenu interdit en fragments anodins, les fait mémoriser au fil d'interactions séparées puis les réassemble par une requête finale sans rien de suspect. L'attaque déjoue trois mécanismes de contrôle d'accès dans quatre scénarios.
Pourquoi c'est important. Filtrer chaque requête ne suffit pas quand l'agent se souvient : les contrôles doivent aussi tenir compte de ce que la mémoire rassemble au fil du temps.
Les tendances du mois
Sécurité de l'IA et des LLM
513 articles du mois sur ce thème
Avec 513 articles sur 2 072, la sécurité de l'IA reste le premier thème. Le risque glisse du modèle vers son écosystème : skills tierces installées dans les agents, caches partagés entre clients des services d'inférence et mémoires longues qui réassemblent des requêtes interdites. Chaque composant ajouté pour rendre les agents plus utiles ouvre un nouveau canal.
Articles cités:
- MalSkillBench: A Runtime-Verified Benchmark of Malicious Agent Skills
- Agent-Assisted Side-Channel Attacks on Non-Prefix KV Cache in RAG
- FragFuse: Bypassing Access Control of Large Language Model Agents via Memory-Based Query Fragmentation and Fusion
Malware et menaces
67 articles du mois sur ce thème
Plusieurs travaux mesurent la difficulté de voir et d'attribuer les attaquants. La moitié des malwares Android cache désormais son commande et contrôle derrière proxys, VPN ou Tor, et les profils publics des groupes de menace les distinguent à peine. Le cas Encrochat rappelle que les enquêteurs aussi exploitent le contrôle des appareils plutôt que la cryptographie.
Articles cités:
- Kitten or Panda? Measuring the Specificity of Threat Group Behaviors in Public CTI Knowledge Bases
- The Invisible Ink of the Android Malware World: A Longitudinal Study on the Usage of Covert Communication Channels
- A Real-World Law-Enforcement Hack: The Case of Encrochat
Sécurité réseau
58 articles du mois sur ce thème
Des défenses à moitié déployées peuvent créer de nouveaux angles morts. Un ROV partiel permet des détournements BGP invisibles pour la victime, les protocoles de proximité acceptent les données de tout voisin et une étiquette radio passive lit un clavier à travers un mur. La surface d'attaque couvre le réseau, les ondes et l'espace physique.
Articles cités:
- Understanding the Stealthy BGP Hijacking Risk in the ROV Era
- Protocol Prying: Systematic Vulnerability Research in the Apple AirDrop and Android Quick Share Proximity Transfer Protocols
- RadKey: An LLM-Guided RF Backscatter System for Through-Wall Keystroke Inference
Comment ce digest est réalisé
Ce numéro fait partie des archives du digest, reconstituées a posteriori. Les articles du mois ont été collectés depuis arXiv, l'archive IACR ePrint et les principales conférences et revues de sécurité ; la sélection tient aussi compte des citations reçues depuis la publication. Un modèle d'intelligence artificielle a évalué les candidats et rédigé les synthèses, qui reposent sur les abstracts : pour les détails, l'article original fait foi.
Articles du mois évalués : 2072.