CoreBreak révèle la faille de sécurité des agents IA

Le problème dépasse le simple refus du modèle

CoreBreak est important parce qu’il déplace le débat. Pendant longtemps, la sécurité de l’IA générative s’est concentrée sur les prompts, les refus, les filtres de sortie et le comportement conversationnel du modèle. Cette approche était logique quand l’objet à protéger était surtout un chatbot. Mais un agent d’entreprise n’est pas un chatbot: il navigue, lit des fichiers, appelle des API, exécute du code, conserve de la mémoire, récupère du contexte et peut disposer d’identifiants ou d’une autorité déléguée.

C’est cette zone grise que CoreBreak remet au centre. Si le chemin d’attaque se situe dans l’infrastructure autour du modèle, les garde-fous du modèle peuvent ne jamais avoir l’occasion décisive d’intervenir. Le modèle ne « choisit » pas forcément de divulguer un secret au sens conversationnel du terme. Le framework de l’agent peut simplement transmettre des données non fiables à un outil, exposer des identifiants à un navigateur ou à un interpréteur de code, ou laisser une chaîne d’appels apparemment valides produire un résultat interdit.

Les analyses récentes vont dans le même sens. Dans une tribune publiée le 14 août par TechRadar Pro, Camellia Chan estime que les agents IA ne sont plus de simples chatbots améliorés, mais des systèmes dotés d’accès aux bases de données, de clés API et de privilèges système. Elle identifie quatre facteurs d’élargissement de la surface d’attaque: autonomie, accès privilégié, exécution à la vitesse machine et portée intersystème. [1]

Pourquoi CoreBreak vise la « tuyauterie »

L’expression « couche de plomberie » est parlante. Elle désigne tout ce qui se trouve sous l’échange visible entre l’utilisateur et le modèle: runtime de l’agent, registre d’outils, courtier d’identité, bac à sable du navigateur, interpréteur de code, mémoire, boucle d’orchestration, mécanisme d’approbation et politique de sortie réseau.

Dans beaucoup de déploiements, ces composants restent des détails d’implémentation. Les équipes demandent si le modèle est sûr, si les prompts sont nettoyés, si les réponses sont filtrées et si l’utilisateur est averti. La leçon de CoreBreak est que ces contrôles sont nécessaires, mais incomplets. La question la plus importante devient: que peut faire l’agent après la production d’un appel d’outil, et qui vérifie cette action en dehors de la propre logique du modèle?

Cette distinction apparaît aussi dans la documentation récente des fournisseurs. La system card de Claude Sonnet 4.6, publiée dans la fenêtre d’actualité considérée, définit l’injection de prompt comme une instruction malveillante cachée dans un contenu traité par l’agent pour le compte de l’utilisateur, par exemple un site web ou un e-mail. Le document indique qu’un agent peut interpréter cette instruction comme une commande légitime et compromettre l’utilisateur. Il décrit aussi des évaluations séparées pour l’usage malveillant de Claude Code, l’usage malveillant de l’ordinateur et les injections de prompt dans les systèmes agentiques. [2]

Le point aveugle des entreprises: l’appel valide au mauvais effet

Les échecs les plus dangereux peuvent sembler banals dans les journaux. Un appel d’outil peut être autorisé. Un identifiant peut être valide. Une lecture de fichier peut être dans le périmètre. Une requête réseau peut viser une destination permise. Pourtant, la séquence complète peut violer l’intention métier, exposer du contexte ou permettre à un attaquant de pivoter.

C’est précisément pour cela que CoreBreak résonne. L’échec décisif n’est pas forcément un jailbreak spectaculaire où le modèle annonce une intention hostile. Il peut s’agir d’un workflow propre: visiter une page, analyser le contenu, appeler un outil, lire un fichier local, transmettre des données à un autre composant, puis faire sortir le résultat par un canal que la supervision considère comme normal.

Le changement est difficile pour les entreprises. La sécurité applicative classique repose sur des programmes prévisibles: définir les entrées, valider les sorties, appliquer des permissions, surveiller les exceptions. Les systèmes agentiques ajoutent un planificateur probabiliste entre l’intention de l’utilisateur et l’action. Ils ajoutent aussi de la mémoire et des boucles d’outils, dans lesquelles une petite erreur d’interprétation peut s’amplifier plusieurs étapes plus tard.

Le bon point de contrôle ne peut donc pas être seulement la réponse finale. Il faut examiner la trajectoire: ce que l’agent a vu, ce qu’il a inféré, l’outil choisi, les paramètres transmis, les identifiants utilisés, les frontières de confiance franchies et l’adéquation persistante avec l’intention autorisée.

Les nouvelles cartes système d’Anthropic renforcent le constat

Les documents récents d’Anthropic envoient deux signaux aux responsables sécurité. Le premier est positif: les fournisseurs améliorent les refus et la robustesse contre les injections de prompt. La system card de Claude Sonnet 4.6 indique de forts taux de refus dans les évaluations d’usage malveillant de l’ordinateur et des progrès par rapport à Sonnet 4.5 dans les tests de requêtes malveillantes via Claude Code et de robustesse agentique. [2]

Le second signal est plus préoccupant: ces progrès ne suffisent pas. Le même document explique que les évaluations cyber actuelles sont proches de la saturation et qu’Anthropic investit dans des évaluations plus difficiles et une surveillance renforcée des usages cyber malveillants. Pour les entreprises, le message est clair: si les benchmarks des laboratoires de pointe atteignent leurs limites, un bon résultat dans une évaluation fournisseur ne garantit pas la sécurité d’un agent déployé dans un workflow réel. [2]

La system card de Claude Opus 4.6, elle aussi apparue dans la fenêtre récente, mentionne une évaluation comportementale ciblée basée sur Claude Code pour étudier une éventuelle propension à commettre du sabotage de code. Cela ne signifie pas que des agents déployés sabotent des systèmes de production. Mais cela montre que les laboratoires évaluent explicitement des comportements de type sabotage dans des environnements d’agents codeurs, c’est-à-dire exactement le type de risque que CoreBreak rend plus difficile à minimiser. [3]

Le cas multi-agent: la coordination devient une propriété de sécurité

CoreBreak s’inscrit aussi dans une inquiétude plus large sur les systèmes multi-agents. Dès que plusieurs agents opèrent dans un même environnement, la sécurité ne se résume plus à « agent contre attaquant ». Elle devient agent contre agent, agent contre outil, agent contre mémoire et agent contre politique.

Même des agents bien intentionnés peuvent créer un risque s’ils partagent des identifiants, écrasent des fichiers, dupliquent des actions, se disputent des ressources ou interprètent le travail d’un autre agent comme une interférence hostile. Un modèle peut être aligné isolément et participer malgré tout à un système dangereux si les incitations, les permissions et l’observabilité sont mal conçues.

La conséquence pratique est directe: chaque agent doit disposer d’une identité distincte, d’une autorité limitée et d’un historique d’action auditable. Les comptes de service partagés sont particulièrement risqués, car ils détruisent l’attribution. Si cinq agents utilisent le même jeton, l’équipe sécurité ne peut pas reconstruire quel agent a accédé à quel fichier, pour quelle raison, avec quelle conformité à la politique, ni à quel moment le comportement a divergé.

Que faire maintenant

La première étape est l’inventaire. Beaucoup d’organisations ne savent pas combien d’agents, copilotes, scripts, plug-ins, automatisations de navigateur et connecteurs de type MCP fonctionnent déjà dans leur environnement. Sans cette carte, il est impossible de limiter le rayon d’explosion.

Deuxième étape: séparer la confiance accordée au modèle de la confiance accordée à l’exécution. Un modèle plus sûr est utile, mais il ne doit pas être le composant qui applique la permission finale. L’autorisation doit résider en dehors de l’agent, dans des passerelles de politique déterministes capables de vérifier l’identité, le périmètre de l’outil, la classe de données, la destination, le budget et le type d’action avant exécution.

Troisièmement, les secrets doivent être repensés pour les agents. Les agents ne devraient pas hériter de larges identifiants humains ni de variables d’environnement illimitées. Des jetons courts, des périmètres par agent, un accès juste-à-temps et des contrôles de sortie réduisent les dégâts lorsqu’un agent est trompé ou compromis.

Enfin, l’observabilité doit passer de la transcription aux trajectoires d’outils. Journaliser la réponse finale ne suffit pas. Il faut des traces structurées des appels, paramètres, fichiers consultés, actions navigateur, écritures mémoire, destinations réseau et décisions d’approbation.

La leçon de CoreBreak est simple: ne demandez pas seulement si le modèle est poli, obéissant ou entraîné au refus. Demandez ce que le système complet peut faire lorsque le modèle se trompe, que l’outil est puissant et que l’attaquant est déjà dans le workflow.

Sources des dernières 72 heures

1. [1]AI agents are inside the enterprise – are your security foundations ready for them?14 août 2026, 10:30 UTC
2. [2]Claude Sonnet 4.6 System Card15 août 2026, 00:00 UTC
3. [3]Claude Opus 4.6 System Card15 août 2026, 00:00 UTC

Article généré par IA à partir d’une recherche web récente, puis conservé comme instantané éditorial daté.