Depuis dix ans, la désinformation obéissait à une règle simple : tromper un cerveau humain pour modifier un comportement humain. Fausse rumeur, faux communiqué, faux public, la cible finale était toujours une décision prise par une personne. Une étude scientifique mise en ligne début juillet vient de démontrer que cette ère touche à sa fin, et qu’une seconde commence. Ses auteurs décrivent une nouvelle famille d’attaques contre les agents d’intelligence artificielle, ces programmes qui naviguent sur le web, lisent des courriels, exécutent du code et agissent au nom d’un utilisateur : les attaques par injection de données, en anglais Agent Data Injection. Le principe rompt avec tout ce que la cybersécurité avait appris à surveiller. L’attaquant ne glisse plus une instruction malveillante à la machine pour la détourner, technique connue sous le nom d’injection de commande. Il fait quelque chose de plus retors : il falsifie les données que l’agent tient pour fiables, l’origine d’une ressource, un identifiant, le format d’une réponse d’outil, une métadonnée technique, et l’agent, croyant lire une donnée de confiance, exécute de lui-même l’action que l’attaquant voulait. Nous proposons de nommer ce basculement la désinformation opératoire, et cet article explique pourquoi il concerne toute organisation qui laisse, ou laissera bientôt, des agents agir en son nom. Précision d’usage : ce décodage stratégique n’est pas un guide technique, et il attribue chaque constat à l’étude qui l’établit.
Ce que l’étude démontre, et pourquoi c’est différent
Tenons-nous en aux faits établis par les chercheurs. Leur constat de fond est structurel, et ils le formulent avec une précision qui vaut d’être rapportée : l’injection de commande classique exploitait l’absence de séparation entre l’instruction et les données de l’agent ; l’injection de données, elle, exploite l’absence de séparation à l’intérieur même des données, entre celles qui sont fiables et celles qui ne le sont pas. Autrement dit, un agent traite avec la même crédulité une information vérifiée et une information injectée par un tiers hostile, dès lors qu’elle se présente sous la forme attendue. Le mécanisme qu’ils décrivent est d’une élégance inquiétante : l’attaquant glisse dans un contenu une suite de caractères que l’outil considère comme du texte ordinaire, mais que le modèle, lui, interprète comme un séparateur de structure, y compris quand cette suite est techniquement invalide, un guillemet échappé, un symbole isolé, une parenthèse. La fausse donnée franchit ainsi, par une simple ambiguïté de ponctuation, la frontière entre ce que l’agent lit et ce qu’il croit.
À partir de cette faille de principe, l’étude mesure l’ampleur du problème, et les chiffres sont sévères. Tous les grands modèles testés se sont révélés vulnérables, les plus robustes comme les autres ; l’attaque réussit dans 31 à 43 % des cas sur des données structurées, et sa réussite grimpe, sur les données issues de pages web, d’un tiers des tentatives jusqu’à la totalité selon les configurations. Le point le plus important pour un dirigeant est ailleurs : les défenses spécialement conçues pour bloquer l’injection de commande classique, qui ramènent cette attaque-là à un taux de réussite quasi nul, se font contourner par l’injection de données jusqu’à une fois sur deux. Traduction : les protections que l’industrie a bâties ces deux dernières années visaient l’ancienne menace, et laissent passer la nouvelle. Les chercheurs n’en sont pas restés à la théorie, et c’est ce qui rend l’étude marquante : ils ont démontré, sur des agents réels du marché, un faux commentaire dont l’auteur est maquillé en responsable de projet, ce qui conduit l’agent à exécuter des commandes malveillantes avec un accès complet au système ; et un historique de relecture entièrement fabriqué, qui fait approuver du code piégé par un agent de revue, soit une compromission de la chaîne d’approvisionnement logicielle. Aucun humain trompé, aucune intrusion classique, seulement des données bien formées et fausses. Une nuance d’équité, car elle éclaire la parade : au moins un agent testé a résisté, parce qu’il étiquette chaque élément de page avec un identifiant aléatoire et imprévisible que l’attaquant ne peut pas deviner, ce qui fait chuter la réussite de l’attaque d’un niveau proche d’une fois sur deux à un niveau proche de zéro. La vulnérabilité n’est donc pas une fatalité, c’est un défaut de conception réparable, et cette précision est le début de la défense.
De la désinformation persuasive à la désinformation opératoire
Ce saut mérite d’être situé dans une histoire, celle que nous documentons depuis nos premiers travaux. La désinformation classique, celle du faux communiqué qui fait plonger une action ou du faux public qui fabrique un consensus, vise la persuasion : elle a besoin qu’un humain lise, croie et réagisse, et toute sa difficulté est de franchir le seuil de crédulité d’un cerveau méfiant. La désinformation opératoire n’a pas ce problème, et c’est ce qui la rend redoutable : elle ne cherche pas à convaincre, elle cherche à être exécutée. Une machine n’a pas de méfiance, elle a des règles ; elle ne se demande pas si une donnée est vraisemblable, elle vérifie si elle est bien formée. L’attaquant n’a donc plus à produire un mensonge crédible pour un esprit critique, il lui suffit de produire une donnée conforme pour un automate obéissant. C’est un abaissement vertigineux du coût de l’attaque, et il prolonge exactement la loi que nous avons énoncée dans la Grande Dévaluation : quand le coût de fabrication d’une preuve tend vers zéro, sa valeur probante tend vers zéro. Ici, la preuve dévaluée n’est plus destinée à un juge humain, elle est destinée à un exécutant logiciel, et c’est pire, car l’humain doute parfois quand la machine, elle, exécute toujours. Nous quittons la guerre des récits, où l’enjeu était ce que les gens croient, pour entrer dans la guerre des données, où l’enjeu est ce que les machines font. La première visait votre réputation ; la seconde vise vos opérations.
Le scénario qui doit inquiéter les directions : l’agent retourné contre vous
Rendons la menace concrète, car son abstraction est ce qui la rend dangereuse, et parce que l’étude a déjà montré, sur des agents de programmation, qu’usurper l’identité d’un tiers de confiance suffit à faire exécuter du code ou approuver une modification piégée. Transposons ce mécanisme au terrain d’une direction. Imaginez, dans les mois qui viennent, un agent d’achat autonome mandaté pour comparer des fournisseurs et passer commande, un usage que les grandes organisations préparent activement. Un concurrent malveillant n’a plus besoin de vous convaincre, vous ou vos acheteurs, de quoi que ce soit : il lui suffit de faire lire à votre agent une page piégée. Une fausse certification déguisée en métadonnée de confiance, et l’agent écarte le bon fournisseur. Une fausse indisponibilité présentée comme une donnée système, et il se rabat sur l’offre de l’attaquant. Une origine géographique falsifiée, une fausse alerte de sécurité, une instruction dissimulée dans une documentation technique d’apparence anodine, et voilà votre processus retourné contre vos intérêts, sans qu’aucun humain n’ait été trompé, sans qu’aucun mot de passe n’ait été volé, sans la moindre intrusion au sens classique. C’est la spécificité de la désinformation opératoire : elle n’attaque pas votre système d’information, elle attaque le jugement de votre agent, et elle le fait avec des données parfaitement bien formées que vos pare-feux laisseront passer sans broncher. Le pendant est tout aussi préoccupant, et il vous concerne même si vous ne déployez aucun agent : vos propres pages, vos fiches produit, vos documentations, vos données structurées sont lues par les agents des autres, clients, partenaires, moteurs. Une organisation dont les contenus se contredisent entre le texte visible et les données structurées, ou dont les pages peuvent être détournées pour piéger un agent tiers, devient un vecteur d’attaque à son insu, et un maillon faible dans la chaîne de confiance de tout son écosystème. C’est le prolongement direct de ce que nous décrivions à propos de la surface d’attaque d’une organisation : elle vient de s’étendre à tout ce que ses pages disent aux machines.
Ce que vous devez faire, et dans quel ordre
Action 1 : cartographiez vos deux surfaces d’exposition
Deux questions, deux inventaires. Où des agents agissent-ils déjà, ou agiront-ils bientôt, au nom de votre organisation, achats, veille, service client, développement logiciel ? Chacun est une surface d’attaque opératoire. Et quelles de vos pages et données sont lues par des agents extérieurs, fiches produit, tarifs, certifications, documentation ? Chacune est un vecteur potentiel. La plupart des organisations n’ont jamais dressé ni l’un ni l’autre de ces inventaires, parce que la question n’existait pas il y a six mois.
Action 2 : appliquez le principe de l’origine, la seule défense de fond
Le diagnostic des chercheurs est aussi la solution : puisque le mal vient de ce que les agents n’isolent pas les données fiables des données douteuses, la parade consiste à n’accorder à chaque donnée que la confiance que son origine mérite. En pratique, exiger de vos outils agentiques qu’ils tracent la provenance des données sur lesquelles ils agissent, cloisonner ce qu’un agent peut faire selon la fiabilité de sa source, et interdire qu’une donnée issue d’une page web publique déclenche une action sensible sans validation. C’est la version machine d’un principe que notre doctrine martèle pour les humains : la confiance se mérite par la preuve d’origine, elle ne se présume jamais de la forme.
Action 3 : verrouillez la cohérence de vos propres données
Pour cesser d’être un vecteur, assurez-vous que vos pages ne mentent pas aux machines, même involontairement : cohérence stricte entre le texte visible et les données structurées, contrôle de ce que vos fiches et documentations exposent aux agents, et surveillance des points où un tiers pourrait injecter de la donnée dans votre écosystème, avis, commentaires, contributions. C’est le prolongement direct de la conformité que le règlement européen installe déjà pour l’étiquetage, et le même réflexe : ce que vous publiez engage votre organisation, y compris auprès des lecteurs qui sont des machines.
ELMARQ accompagne les directions générales, sûreté et communication sur ces nouvelles surfaces de risque informationnel, de la cartographie des expositions à la doctrine de confiance des données, en stratégie et en exécution, en lien avec vos équipes de sécurité. Trente minutes de diagnostic suffisent à établir si vos agents et vos pages sont exposés à la désinformation opératoire : elmarq.fr/contact.
Il faut conclure sur ce que ce basculement dit de l’époque. Pendant des années, se protéger de la désinformation revenait à former des humains à douter, vérifier une source, résister à une émotion, se méfier d’un communiqué trop beau. Cette compétence reste vitale, mais elle ne suffit plus, car une part croissante des décisions qui vous concernent ne sera plus prise par des humains méfiants, mais par des agents obéissants qui exécutent ce qu’on leur présente bien. La désinformation opératoire est la maladie infantile de cette délégation : nous confions à des machines le pouvoir d’agir avant de leur avoir appris à douter. La question stratégique des prochaines années n’est donc pas seulement mes équipes savent-elles reconnaître un faux, c’est aussi mes machines savent-elles à qui faire confiance. Les organisations qui poseront cette question maintenant, avant le premier incident public, écriront la doctrine que les autres découvriront dans la crise. Comme toujours, l’avance ne se mesure pas à la vitesse de la réaction, mais à la précocité de la lecture.
