AgentLeak permet de cloner des agents LLM puissants sur des modèles plus faibles

Une nouvelle surface de fuite pour les agents IA

AgentLeak, un article de recherche récemment publié par Xiaoting Lyu, Yuhong Wu, Yufei Han, Shichang Liu, Liang Zhang, Bin Wang, Bin Wang, Xiaobo Ma et Wei Wang, reformule une question de sécurité essentielle pour les agents fondés sur de grands modèles de langage: il ne s’agit plus seulement de savoir si des prompts, des compétences ou des sorties de modèle peuvent être extraits, mais si la capacité réelle d’un agent plus puissant peut être clonée sur un agent plus faible [1]. L’article a été soumis à arXiv le 7 septembre 2026 dans les catégories Cryptography and Security et Artificial Intelligence, ce qui le situe au croisement de la sécurité des agents, de l’extraction de modèles et des systèmes d’IA appliqués [1].

La thèse centrale est directe: un agent contrôlé par un attaquant, utilisant un modèle plus faible, peut se rapprocher des performances de résolution de tâches d’un agent propriétaire plus puissant grâce à un nombre limité d’interactions en boîte noire, sans modifier son propre modèle, son orchestrateur ni ses outils [1]. Au lieu de copier le modèle victime, AgentLeak compare la manière dont l’agent fort réussit et celle dont l’agent faible échoue, puis transforme les comportements manquants en réécritures de compétences côté attaquant [2]. Cet écart entre l’exécution réussie de la victime et l’exécution ratée de l’attaquant est appelé par les auteurs le « skill execution gap », et constitue la surface de fuite principale du travail [1].

L’enjeu est important parce que les services commerciaux d’agents ne vendent plus seulement un accès à un modèle: ils vendent une capacité opérationnelle complète, incluant la planification, l’usage d’outils, la récupération après erreur et l’exécution de tâches longues [2]. Dans ce contexte, l’actif propriétaire n’est pas seulement un prompt système ou un ensemble de fichiers de compétences; c’est un savoir-faire de bout en bout, exprimé pendant l’exécution [2]. Threat Research a résumé le risque comme allant au-delà du vol de compétences: si un agent expose suffisamment sa manière d’agir, l’écart entre le succès de l’agent fort et l’échec de l’agent faible peut révéler le comportement procédural qui rendait l’agent fort efficace [3].

Au-delà du vol de compétences

Les travaux précédents sur l’extraction d’agents ont souvent visé des artefacts explicites: prompts, paramètres ou compétences décrivant des instructions, des flux de travail et des stratégies d’utilisation d’outils [2]. AgentLeak soutient que la récupération de ces artefacts ne suffit pas à reproduire une capacité, car un modèle plus faible peut posséder la même instruction tout en échouant à effectuer la bonne décomposition de tâche, le bon choix d’outil, la bonne vérification ou la bonne réparation [2]. Dans la formulation des auteurs, la « compétence » est l’objet procédural explicite, l’« exécution » correspond à ce que fait l’agent lorsqu’il l’applique, et la « capacité » correspond au taux de réussite final dans l’environnement [2].

Cette distinction est le déplacement conceptuel majeur de l’article. Si deux agents reçoivent la même compétence mais que seul le plus puissant réussit, l’élément manquant n’est pas nécessairement un autre fichier caché; il peut s’agir d’un schéma de sélection d’actions, de contrôle intermédiaire ou de récupération que le modèle le plus fort fournit implicitement [2]. AgentLeak traite ces comportements implicites comme des informations extractibles par observation [2]. ArXivSignals décrit la méthode comme une nouvelle attaque clonant les capacités d’agents LLM plus puissants vers des agents plus faibles par analyse des différences d’exécution, en soulignant qu’il ne s’agit pas simplement d’une technique de récupération d’artefacts [4].

Le modèle d’attaque est volontairement contraint. L’attaquant contrôle un agent plus faible, démarre avec des compétences pertinentes, peut exécuter son propre agent à plusieurs reprises et peut interroger la victime sur un nombre limité d’instances de tâches, tout en observant des éléments normalement exposés par l’interface, comme les invocations d’outils, les sorties d’outils et les retours de l’environnement [2]. L’attaquant n’obtient ni les compétences privées, ni les paramètres, ni le prompt système, ni l’état caché, ni la mémoire, ni la chaîne de pensée non exposée de la victime [2]. Le seul élément modifié est l’ensemble de compétences de l’agent faible [2].

Le fonctionnement d’AgentLeak

AgentLeak repose sur ce que les auteurs appellent une reconstruction différentielle des compétences [2]. La méthode commence par demander à l’agent faible d’exécuter une tâche avec ses compétences courantes [2]. Si l’agent faible échoue, l’attaquant obtient une trajectoire victorieuse de l’agent victime pour la même instance ou une instance liée, puis compare les deux exécutions [2]. L’objectif n’est pas de copier une trajectoire unique, qui risquerait de surapprendre une instance, mais d’abstraire la procédure réutilisable derrière le succès de la victime [2].

La méthode comprend quatre composants principaux. Elle commence par une abstraction de flux de travail et une mise en correspondance avec les compétences existantes, où une trajectoire réussie de la victime est convertie en compétence de workflow décrivant les étapes ordonnées, les dépendances, les critères de vérification et les liens vers les compétences disponibles [2]. Elle effectue ensuite un diagnostic différentiel des déficits de capacité, afin de séparer les différences réellement critiques des variations bénignes entre deux exécutions [2]. Elle extrait ensuite des primitives comportementales, c’est-à-dire des consignes explicites pour les comportements manquants, comme la validation, la récupération, la décomposition de tâche ou le choix d’outil [2]. Enfin, elle procède à une réécriture structurée des compétences, en insérant ou remplaçant des instructions ciblées dans les compétences de l’attaquant tout en conservant leur structure générale [2].

Le processus est itératif. Après réécriture, l’attaquant relance son propre agent; si des échecs subsistent, AgentLeak diagnostique le nouvel écart et applique de nouveaux correctifs [2]. L’article précise que le modèle auxiliaire utilisé pour l’analyse pendant la reconstruction ne fait pas partie du clone déployé, et que les compétences reconstruites sont figées après le processus [2]. C’est essentiel pour l’implication de sécurité: le modèle, l’orchestrateur et les outils de l’agent faible restent inchangés, mais le comportement codé dans les compétences peut réduire fortement l’écart de performance [1].

Les résultats expérimentaux

L’évaluation couvre 20 scénarios de tâches tirés de SkillsBench, répartis sur six domaines et 600 instances au total [2]. Les domaines incluent les flux de travail bureautiques, le génie logiciel, la finance et l’économie, les sciences naturelles, les systèmes industriels et physiques, ainsi que les mathématiques et le raisonnement formel [2]. Comme chaque scénario original ne comportait qu’une seule instance, les auteurs ont généré 30 instances par scénario et ont réservé des instances de test afin de vérifier si la capacité reconstruite se généralisait au-delà de l’exécution observée chez la victime [2].

Côté victime, l’étude inclut des configurations d’agents plus puissants comme Claude Code avec Claude Opus 4.8, Codex avec GPT-5.5 et OpenHands avec des modèles de base plus performants; côté attaquant, elle utilise OpenHands avec des modèles ouverts plus faibles, dont Qwen 3.6-35B-A3B et Gemma 4-31B [2]. L’article rapporte deux métriques principales: l’Instance Pass Rate, qui mesure le succès absolu sur des tâches non vues, et le Capability Recovery Rate, qui mesure la part de l’écart entre victime et attaquant récupérée par l’attaque [2].

Le résultat le plus visible est qu’AgentLeak surpasse nettement la réutilisation directe de compétences et une référence de type trajectoire-vers-compétence [1]. Selon le résumé de l’article, AgentLeak améliore les taux de réussite de plus de 40 points de pourcentage par rapport à la réutilisation directe de compétences et récupère plus de 80 % de l’écart de capacité entre victime et attaquant [1]. Dans les résultats détaillés, AgentLeak dépasse 70 % d’Instance Pass Rate moyen dans toutes les configurations victime-attaquant, tandis que la compétence brute et Trace2Skill restent beaucoup plus bas [2].

Les tableaux montrent pourquoi la différence entre vol de compétence et clonage de capacité est décisive. Pour l’attaquant Qwen, l’utilisation de compétences brutes fait passer le taux moyen de réussite de 21,13 % sans compétence à 30,64 %, mais AgentLeak atteint entre 71,94 % et 80,16 % selon la configuration de la victime [2]. Pour l’attaquant Gemma, les compétences brutes atteignent 35,59 %, tandis qu’AgentLeak se situe entre 70,77 % et 83,72 % [2]. Dans plusieurs configurations, le Capability Recovery Rate dépasse 100 %, ce qui signifie que l’agent faible reconstruit dépasse la victime mesurée sur certaines évaluations tenues à l’écart [2].

Une attaque praticable

Les auteurs évaluent aussi la faisabilité. Dans le réglage par défaut, AgentLeak n’utilise qu’une instance de requête par scénario pour la reconstruction, avec en moyenne 6,34 exécutions de l’attaquant, 7,34 appels au modèle auxiliaire, 0,32 million de tokens auxiliaires, un coût moyen d’environ 6,32 dollars et environ 60 minutes par scénario [2]. Ces chiffres rendent l’attaque notable, car elle ne dépend ni de l’entraînement d’un nouveau modèle ni du remplacement du modèle de base de l’attaquant [2].

Les résultats de transférabilité renforcent l’inquiétude. Les compétences reconstruites sur une configuration d’attaquant restent efficaces lorsqu’elles sont transférées vers d’autres modèles ou orchestrateurs, sans nouvel accès à la victime ni reconstruction supplémentaire [2]. Dans le scénario de transfert entre modèles, les compétences transférées atteignent 72,23 % d’Instance Pass Rate moyen et 86,16 % de Capability Recovery Rate; dans les scénarios de transfert d’orchestrateur ou de transfert simultané de modèle et d’orchestrateur, les mesures sont encore plus élevées [2]. Les auteurs y voient la preuve qu’AgentLeak reconstruit des comportements procéduraux réutilisables plutôt que des particularités d’une implémentation [2].

Des défenses insuffisantes

L’analyse des défenses est l’une des parties les plus importantes de l’article. Les auteurs testent des protections centrées sur les artefacts, comme la détection en phase d’entrée, SkillGuard-5 et le filtrage sémantique de sortie, ainsi qu’une défense comportementale consistant à expurger des détails de trajectoire [2]. Les défenses centrées sur les artefacts réduisent la récupération sans l’empêcher: dans le cas Codex-vers-Qwen étudié, AgentLeak conserve des taux moyens de réussite de 81,35 %, 77,12 % et 82,43 % sous ces trois défenses [2].

L’expurgation des trajectoires fonctionne mieux, mais reste incomplète. La suppression de détails intermédiaires d’appels d’outils fait baisser le Capability Recovery Rate de 95,44 % à 73,23 % et ramène le taux moyen de réussite à 75,21 % [2]. Les auteurs estiment que ce résultat confirme que le comportement d’exécution est bien le canal de fuite, tout en montrant que cacher certains appels d’outils ne suffit pas [2].

Pourquoi cette recherche compte

AgentLeak doit être lu comme un avertissement sur la transparence des agents et la protection commerciale de leurs capacités. De nombreux produits d’agents exposent des traces d’exécution parce que les utilisateurs veulent auditer les actions, comprendre les échecs, vérifier les appels d’outils ou satisfaire des exigences de conformité [2]. AgentLeak suggère que cette transparence peut aussi divulguer un savoir-faire procédural: comment l’agent décompose le travail, décide quoi vérifier, réagit aux erreurs et choisit ses outils [2].

Les limites de l’étude sont également importantes. L’attaque dépend d’un retour observable suffisant et devient moins applicable lorsque l’agent n’expose que des sorties finales ou fonctionne derrière une interface très restreinte [2]. Elle ne peut pas non plus reconstruire des capacités dépendant de données privées, d’outils inaccessibles, de services propriétaires ou de connaissances internes au modèle qui ne se manifestent jamais dans le comportement observable [2]. Mais dans le cadre testé, protéger uniquement les compétences ne suffit pas [1].

Pour les concepteurs d’agents LLM, la conclusion pratique est que la confidentialité des capacités exige probablement une nouvelle couche de défense: non seulement le durcissement des prompts, les filtres de sortie ou le contrôle d’accès aux compétences, mais aussi une maîtrise de la divulgation comportementale limitant ce qu’un utilisateur externe peut inférer à partir d’une exécution réussie [2]. La tension produit est réelle. Les utilisateurs veulent des agents visibles et débogables; les fournisseurs veulent protéger l’expertise procédurale que ces agents révèlent en travaillant [3]. AgentLeak donne un cadre expérimental concret à cette tension et montre qu’un agent plus faible peut devenir beaucoup plus fort en apprenant de l’ombre comportementale projetée par un agent plus puissant [1].

Sources des dernières 72 heures

1. [1][2609.07131] AgentLeak: Cloning Stronger LLM Agent Capabilities onto Weaker Agents Beyond Skill Stealing7 sept. 2026, 07:30 UTC
2. [2]AgentLeak: Cloning Stronger LLM Agent Capabilities onto Weaker Agents Beyond Skill Stealing7 sept. 2026, 07:30 UTC
3. [3]Threat Research · Primary security research, indexed as it lands.9 sept. 2026, 11:36 UTC
4. [4]AgentLeak: Cloning Stronger LLM Agent Capabilities onto Weaker Agents Beyond Skill Stealing · ArXivSignals9 sept. 2026, 00:00 UTC

Article généré par IA à partir d’une recherche web récente, puis conservé comme instantané éditorial daté.