La dualité de sécurité des agents LLM : les protéger et les employer

De quoi s’agit-il ?

La plupart des travaux sur la sécurité des agents LLM traitent l’agent soit comme une victime, soit comme une arme. Un premier corpus étudie comment attaquer les agents — injection de prompt, détournement d’outils, empoisonnement de mémoire. Un second étudie comment les orienter vers des tâches de cybersécurité — trier des alertes, chasser des vulnérabilités, ou, moins heureusement, automatiser des intrusions. Une synthèse publiée sur arXiv le 26 juin 2026, LLM agents security duality: a comprehensive survey of self-security and empowered cybersecurity (2606.28450), soutient que ces deux littératures ne forment qu’un seul problème vu de deux côtés, et que les traiter ensemble change la manière d’investir.

Le document est une systématisation de 73 pages signée par Yiwei Xu, Yong Zhuang, Juan Wang, Hongxin Hu et leurs collègues, parue dans Artificial Intelligence Review (DOI 10.1007/s10462-026-11563-0). Sa contribution n’est ni une nouvelle attaque ni une nouvelle défense, mais une carte : une taxonomie des menaces classée par source, un inventaire des mitigations et des cadres d’évaluation, et — c’est ce qui le rend utile — une mise en évidence explicite de la boucle de rétroaction entre la robustesse propre d’un agent et son utilité en tant qu’outil de sécurité.

Comment ça marche

La synthèse divise le champ en deux moitiés, puis les relie.

La première, l’auto-sécurité (self-security), correspond à la surface d’attaque habituelle. Les auteurs organisent les menaces selon leur origine plutôt que selon leur symptôme. Les surfaces internes sont les composants propres de l’agent : le modèle, sa boucle de planification et de raisonnement, sa mémoire, et la façon dont il enchaîne ses appels d’outils. Les surfaces externes recouvrent tout ce que l’agent ingère ou manipule : prompts utilisateurs, documents et pages web récupérés, sorties d’outils, autres agents. Ce découpage par source est utile car un même échec visible — l’agent fait ce qu’il ne devrait pas — peut arriver par des portes très différentes, chacune appelant un contrôle distinct. Les mitigations correspondantes vont du filtrage des entrées et sorties à la supervision à l’exécution, en passant par le cloisonnement des outils au moindre privilège et le contrôle d’intégrité de la mémoire, sans oublier les bancs d’essai qui mesurent leur efficacité.

La seconde moitié, la cybersécurité augmentée (empowered cybersecurity), considère les agents comme des opérateurs dans le cycle offense-défense : reconnaissance, découverte de vulnérabilités, exploitation, détection, tri, réponse. Les auteurs présentent ce qu’ils décrivent comme le premier cadre d’« agent-empowerment » aligné sur l’ensemble de ce cycle, couvrant aussi bien les usages défensifs (un agent qui chasse une menace ou reproduit un bug) que les usages offensifs (un agent qui enchaîne une intrusion de bout en bout).

Le lien entre les deux moitiés est la thèse centrale : une synergie de rétroaction positive. Un agent plus robuste est un opérateur de sécurité plus fiable, et les leçons tirées du déploiement d’agents dans un travail adverse nourrissent en retour leur durcissement. Les deux capacités progressent de concert, ou pas du tout.

Pourquoi c’est important

Il s’agit d’une synthèse, non d’une découverte : sa valeur tient au recadrage plutôt qu’à la nouveauté. Trois points ressortent pour les praticiens.

D’abord, la taxonomie des menaces par source est un meilleur outil de planification qu’une taxonomie par symptôme. Si vous cataloguez les risques par « l’agent a fui des données » ou « l’agent a lancé la mauvaise commande », vous finissez par empiler des défenses ponctuelles. Si vous cataloguez par origine — contenu récupéré non fiable, description d’outil empoisonnée, entrée de mémoire manipulée — vous pouvez placer un contrôle à chaque point d’entrée et raisonner sur la couverture. Cela rejoint la direction des cadres praticiens comme le Top 10 OWASP pour les applications LLM et l’observation bien connue selon laquelle le danger se concentre là où un agent combine données privées, entrée non fiable et capacité d’agir — le trio létal.

Ensuite, le cadrage par dualité corrige utilement le cloisonnement des équipes. Ceux qui font du red teaming sur un agent interne et ceux qui déploient des agents dans le SOC sont souvent des personnes différentes, et l’argument de la synthèse est que leurs travaux se composent : chaque leçon défensive est aussi une leçon offensive, et réciproquement. C’est inconfortable mais exact, et c’est la même tension visible dans les incidents réels où des agents automatisent des intrusions aussi facilement qu’ils automatisent la chasse aux menaces.

Deux réserves. Une synthèse hérite des angles morts du champ qu’elle résume : les attaques rapides publiées après la date de clôture n’y figurent pas, et la « synergie de rétroaction positive » est présentée comme un cadrage, non comme un effet mesuré. À lire comme une carte du terrain, non comme la preuve qu’une défense donnée fonctionne.

Défenses

La synthèse est défensive par construction ; les enseignements pour qui exploite des agents sont concrets.

1. Inventoriez votre surface d’attaque par source, pas par symptôme. Listez chaque endroit où du contenu non fiable peut entrer dans l’agent — prompts, documents récupérés, sorties d’outils, mémoire, agents pairs — et vérifiez qu’un contrôle se trouve à chacun. Les lacunes se voient mieux ainsi.

2. Cloisonnez les outils au moindre privilège. La plupart des incidents graves impliquent une capacité trop large. Restreignez ce que chaque outil peut faire et exigez une approbation explicite pour les actions à fort rayon d’impact, conformément aux recommandations sur le détournement d’outils.

3. Protégez la mémoire comme un canal non fiable. La mémoire persistante est un point d’entrée, pas seulement un stockage. Validez et attribuez ce qui y est écrit, car l’empoisonnement de mémoire survit d’une session à l’autre.

4. Mesurez avec des bancs d’essai adverses, pas des démos. L’inventaire des cadres d’évaluation de la synthèse existe précisément parce qu’un parcours nominal ne dit rien de la robustesse. Testez contre les classes d’attaque et suivez à la fois faux négatifs et faux positifs.

5. Traitez les capacités offensives et défensives comme liées. Si vous déployez des agents pour la sécurité, supposez que la même capacité est à la portée des adversaires, et faites circuler les découvertes d’un côté vers l’autre.

Statut

Élément	Référence	Date	Notes
Synthèse (v1)	arXiv 2606.28450	2026-06-26	Systématisation auto-sécurité + cybersécurité augmentée
Version journal	Artif Intell Rev, DOI 10.1007/s10462-026-11563-0	2026	Relue par les pairs ; 73 pages, 12 figures, 9 tableaux
Référence de cadrage	Top 10 OWASP LLM	2025	Catégories de menaces d’agents par source

Il faut lire cette synthèse comme un argument sur la manière d’organiser le problème. Un agent est à la fois quelque chose que l’on défend et quelque chose que l’on déploie, et la thèse est qu’on ne peut bien faire ni l’un ni l’autre en ignorant le second. C’est modeste, mais c’est ce que la plupart des équipes — partagées entre une fonction AppSec qui durcit les agents et un SOC qui les met en œuvre — n’ont pas encore intégré.