Un préprint met au jour des failles de sécurité dans les systèmes du protocole de contexte de modèle

Un préprint intitulé ToFu, publié en ligne le 9 octobre 2026, met en lumière des failles de sécurité dans les systèmes qui gèrent les interactions entre les modèles d'intelligence artificielle et les outils qu'ils utilisent. Ces travaux, menés par six experts, examinent la manière dont les modèles traduisent des instructions en actions concrètes exécutées par des outils externes.

Une méthode d'attaque exploite les instructions du modèle

Les chercheurs décrivent une attaque « Repeat-After-Me » (« répète après moi ») dans laquelle un attaquant amène un modèle à recopier une commande qu'il a déjà vue. La difficulté réside dans le passage de cette instruction recopiée à un appel d'outil réel. Dans leur démonstration, une simple suite de commandes dans une réponse textuelle ne suffit pas à déclencher l'exécution.

Le dispositif expérimental détaille la démonstration de l'attaque

L'annexe B du préprint décrit le dispositif utilisé pour la démonstration de l'attaque. Il comprend LangGraph 1.2.0, un modèle précis appelé Llama 3.1 8B, ainsi que deux outils fictifs n'ayant aucun effet réel. La seule protection est une instruction système demandant au modèle de refuser les requêtes dangereuses. L'attaque réussit lorsque le modèle est amené à produire un appel structuré vers un outil nuisible.

Les conditions de l'attaque restent favorables aux attaquants

Les chercheurs soulignent que les conditions de la démonstration sont favorables aux attaquants. Le modèle utilisé est relativement simple, les outils et les formats sont connus à l'avance, et la seule défense est une instruction système. L'article ne teste pas le taux de réussite sur des modèles plus avancés.

Implications pour la sécurité et solutions proposées

La deuxième partie des travaux porte sur la manière de sécuriser ces systèmes. Les auteurs estiment que, si un attaquant peut contrôler les arguments transmis à un outil, chaque argument doit être considéré comme potentiellement dangereux. Ils proposent d'utiliser les métadonnées déjà disponibles pour le modèle afin de créer des contrôles de sécurité, ainsi que de tester les vulnérabilités à l'aide de 74 méthodes de détection différentes.

Les résultats révèlent de nombreuses failles de sécurité

Les chercheurs ont testé 273 serveurs écrits en Python ou en JavaScript, et identifié 253 bogues reproductibles dans 118 d'entre eux. Ces failles comprennent des problèmes tels que l'échappement incorrect des entrées, l'accès non autorisé à des fichiers et des attaques par injection. Ces vulnérabilités peuvent survenir sans que le programme ne plante, ce qui les rend plus difficiles à détecter.

Les protections existantes doivent être configurées

Le document indique que certaines protections existent, comme des paramètres facultatifs dans le ToolNode de LangGraph, capables d'intercepter et de bloquer les appels. CrewAI propose également un crochet de pré-appel permettant de bloquer les actions dangereuses. Toutefois, ces fonctionnalités doivent être activement configurées et utilisées pour être efficaces.

Limites de la recherche actuelle

La première version de ToFu se concentre sur le test d'appels d'outils individuels plutôt que sur des séquences d'actions complexes ou sur les interactions entre plusieurs agents. Elle ne couvre pas non plus les défauts qui ne produisent pas d'effets perceptibles à l'exécution, laissant certains risques de sécurité inexplorés.