L'OWASP met en avant le détournement d'objectif comme risque majeur de l'IA, montrant comment des agents peuvent être manipulés via des contenus malveillants, entraînant fuites de données et pertes financières.
L'OWASP identifie le risque lié à l'IA comme principale préoccupation
L'OWASP, une organisation mondiale spécialisée dans la sécurité des logiciels, a identifié le détournement d'objectif (ASI01) comme le principal risque pour les agents d'IA. Il se produit lorsque des instructions malveillantes détournent un agent d'IA de sa mission initiale et exploitent ses autorisations, ce qui peut causer des préjudices importants.Une faille de Microsoft 365 Copilot mise au jour
Des chercheurs d'Aim Security ont montré qu'un simple courriel aurait pu provoquer des fuites de données depuis Microsoft 365 Copilot dès juin 2025. L'assistant d'IA traitait le message en arrière-plan et exécutait des commandes encodées, sans que le destinataire ait besoin de l'ouvrir. Microsoft a corrigé la faille, baptisée EchoLeak (CVE-2025-32711).Les agents d'IA gagnent en capacités d'action
Les agents d'IA modernes peuvent effectuer un large éventail d'actions, notamment lire des boîtes de réception, consulter des bases de données, exécuter du code, appeler des interfaces de programmation (API) et effectuer des paiements. Ces agents fonctionnent souvent de manière autonome, en suivant une séquence d'étapes planifiée à l'avance, sans demander l'approbation de l'utilisateur à chaque étape.Le détournement d'objectif se distingue de l'injection de prompt
Le projet GenAI Security de l'OWASP a placé le détournement d'objectif en tête de son Top 10 pour les applications agentiques 2026, publié en décembre 2025. Contrairement à l'injection de prompt, qui affecte une seule réponse, le détournement d'objectif modifie la mission entière d'un agent d'IA, ce qui le rend plus dangereux et plus difficile à détecter.Les modèles de langage peinent à distinguer instructions et données
Une faille de conception des modèles de langage rend difficile la distinction entre instructions et données. Ainsi, des courriels, des pages web et d'autres contenus peuvent être pris pour des commandes. Les attaquants peuvent en profiter en intégrant des instructions malveillantes dans les contenus traités par un agent d'IA, sans modifier son code.Les agents d'IA reçoivent des données par deux canaux
Les agents d'IA obtiennent des informations de deux sources : les demandes directes de l'utilisateur, soumises à l'authentification et aux contrôles d'accès, et les contenus auxquels ils accèdent de manière indépendante, comme les courriels, les pages web et les documents. Ces derniers sont moins contrôlés, ce qui permet aux attaquants d'y insérer des contenus nuisibles que l'agent finira par lire, contournant ainsi la sécurité périmétrique.Des attaques réelles ont déjà eu lieu
Des exemples concrets d'attaques contre des agents d'IA ont été documentés. En mai 2026, une cyberattaque baptisée Bankrbot a utilisé un message encodé envoyé à Grok pour détourner 3 milliards de jetons DRB, d'une valeur de 150 000 à 200 000 dollars. Elle a provoqué une chute de 40 % du cours de l'action. D'autres attaques ont consisté à dissimuler des instructions malveillantes dans des sites web pour inciter des agents d'IA à effectuer des paiements ou à supprimer des données.L'OWASP recommande trois stratégies pour répondre aux risques
L'OWASP définit trois grandes approches pour atténuer ces risques : limiter les actions que les agents d'IA peuvent effectuer, considérer tout contenu comme potentiellement malveillant et surveiller les agents en conditions réelles d'utilisation. Les agents ne doivent disposer que des autorisations nécessaires à leur rôle, et toute action irréversible doit être examinée par un humain.Les agents doivent traiter tous les contenus avec prudence
Chaque contenu lu par un agent d'IA doit être considéré comme potentiellement dangereux. Cela suppose de filtrer et de détecter les instructions présentes dans ces contenus. La surveillance du comportement habituel d'un agent permet de repérer les actions inhabituelles, comme un agent comptable qui déclencherait un paiement à une heure incongrue. Les agents disposant d'un accès étendu doivent être gérés comme des menaces internes.Les tests et le red-teaming sont indispensables
Tester les agents d'IA dans des environnements de préproduction, avec des données et des outils de test, est essentiel avant tout déploiement. Le red-teaming consiste à insérer des instructions malveillantes dans des contenus pour vérifier si l'agent se comporte anormalement. Des tests d'intrusion doivent également être réalisés sur l'environnement de l'agent, y compris les API et les systèmes de gestion des secrets.Les entreprises doivent traiter les agents d'IA comme des collaborateurs à haut risque
Les entreprises devraient traiter les agents d'IA comme des employés à haut risque, en veillant à ce que leurs accès et leurs actions soient bien contrôlés et traçables. La direction devrait examiner les sources consultées par un agent d'IA et qui peut contribuer à ces sources. Un rapport de red-teaming démontrant la résistance de l'agent au détournement devrait également être envisagé avant tout déploiement.
