Pourquoi un agent change la surface d'attaque
Un agent d'IA ne se contente pas de répondre : il lit des documents, appelle des services, parfois modifie des données. Chaque capacité ajoutée élargit ce qu'un attaquant peut détourner. Là où un logiciel classique offrait une interface fixe, l'agent accepte des instructions en langage naturel et les interprète. Cette souplesse, précieuse pour l'usage, devient un vecteur d'attaque. Une page web qu'il consulte, un document qu'il résume, un courriel qu'il traite peuvent contenir des instructions qui influencent son comportement. La frontière entre données et commandes se brouille. Un pentest d'agent IA doit donc explorer des chemins qu'un test d'intrusion traditionnel ne soupçonnerait pas, en partant de cette porosité entre contenu et instruction.
S'ajoute le problème des outils accordés à l'agent. Un agent capable d'envoyer des courriels, d'exécuter du code ou d'écrire dans une base de données transforme une erreur de jugement en action réelle. Une injection réussie ne produit plus seulement une réponse fautive, mais un envoi, une suppression ou une fuite. Plus l'agent est autonome, plus les conséquences d'une manipulation sont graves. Le pentest doit donc cartographier précisément ce que l'agent peut faire, avec quelles permissions et sous quelles validations. Une capacité non nécessaire est une surface d'attaque offerte. Réduire les droits de l'agent est souvent la parade la plus efficace, bien avant toute subtilité technique.
L'injection de prompt, menace de premier rang
L'attaque la plus caractéristique d'un agent est l'injection de prompt. Elle consiste à glisser, dans un contenu que l'agent va lire, des instructions destinées à détourner son comportement. Le texte malveillant peut venir d'une page consultée, d'un fichier importé ou d'un message traité. L'agent, incapable de distinguer nettement une donnée d'un ordre, peut alors obéir à une consigne hostile sans que personne ne s'en aperçoive. Ce type de faille occupe une place centrale dans les référentiels de sécurité des applications à base de modèles de langage, dont la liste des risques publiée par l'OWASP. La tester suppose de se mettre dans la peau d'un adversaire qui parle à l'agent par des chemins détournés.
Le pentest éprouve plusieurs variantes : injection directe dans la consigne, injection indirecte via du contenu tiers, tentative d'extraction des instructions système, contournement des garde-fous. L'objectif n'est pas seulement de réussir une attaque, mais de comprendre ce qui la rend possible : un agent trop permissif, une séparation insuffisante entre données et instructions, une validation humaine absente aux moments critiques. Les résultats orientent des correctifs concrets, comme limiter ce que l'agent accepte de lire, isoler les contenus non fiables ou imposer une confirmation avant toute action sensible. Aucune parade n'est parfaite, mais chaque obstacle sérieux élève le coût d'une attaque réussie.
Tester les outils et les permissions de l'agent
Au-delà du langage, un pentest d'agent IA examine ce à quoi l'agent accède. Quels systèmes peut-il interroger ? Avec quelle identité, quels droits, quelles limites ? Un agent qui se connecte à une base avec les droits d'un administrateur concentre un risque considérable. Le test vérifie que le principe du moindre privilège est respecté, que les accès sont journalisés et que les actions irréversibles exigent une validation. Il explore aussi les enchaînements : un agent autorisé à lire un annuaire et à envoyer des courriels peut, combiné à une injection, exfiltrer des informations. La sécurité d'un agent se juge à l'ensemble de ses capacités, pas fonction par fonction.
Cette exploration rejoint les notions classiques de cloisonnement et de traçabilité. Un agent doit pouvoir être isolé ou suspendu sans interrompre le reste du système, et ses actions doivent laisser des traces exploitables. Le pentest vérifie ces propriétés en conditions réalistes, en tentant de faire sortir l'agent de son périmètre. Il s'intéresse également à la gestion des secrets : clés d'accès, jetons, identifiants ne doivent pas transiter par des zones que l'agent pourrait divulguer. Ces points, souvent négligés parce qu'ils semblent relever de l'infrastructure, déterminent pourtant l'ampleur d'un incident. Une faille d'agent qui atteint des systèmes sensibles devient une brèche majeure, pas une simple anomalie.
Mener un pentest utile : méthode et restitution
Un pentest d'agent IA se prépare comme tout test d'intrusion : périmètre défini, autorisation écrite, environnement de test distinct de la production. La spécificité tient aux scénarios. On teste l'agent par des usages réels, avec des tentatives de manipulation variées, plutôt qu'en se limitant à des requêtes isolées. L'idéal est de rejouer des cas où l'agent a accès aux contenus qu'il croise en exploitation : documents, messages, pages. Le test doit aussi évaluer le comportement au fil d'une conversation longue, car certaines failles n'apparaissent qu'après plusieurs échanges. Enfin, il convient d'intégrer le volet conformité : pour les usages concernés, le règlement européen sur l'intelligence artificielle impose des obligations de documentation et de supervision.
La restitution fait la valeur d'un pentest. Un rapport utile classe les vulnérabilités par gravité et par probabilité, décrit des scénarios reproduisibles et propose des correctifs proportionnés. Il distingue ce qui exige une correction immédiate de ce qui relève d'une amélioration progressive. Il rappelle aussi qu'un test ponctuel ne garantit rien dans la durée : un agent évolue, ses outils changent, les modèles sont mis à jour. La sécurité d'un agent IA relève donc d'une surveillance continue, où chaque incident nourrit un nouveau test. La norme ISO/IEC 42001 aide à inscrire cette démarche dans un système de management. Le pentest n'est pas une case à cocher, mais un jalon d'un cycle permanent.
Aller plus loin
Sécuriser un agent IA suppose de connaître les modèles d'attaque propres au langage naturel autant que les principes éprouvés de la sécurité des systèmes. Notre catalogue des 31 formations propose des parcours consacrés à la sécurité des agents et à l'audit des systèmes d'intelligence artificielle.
Vous voulez maîtriser ce sujet en pratique ?
Cabinet MARA forme en ligne, sur des cas réels, avec des modules courts et un suivi de progression.
Voir la formation liée Les 31 formations