Comment la curation adverse d'un fil oriente les décisions d'un agent LLM

De quoi s’agit-il ?

Le 2 juin 2026, un article intitulé Adversarial Feeds Steer LLM Agent Decisions Against Their Defaults a décrit un canal de manipulation que la plupart des évaluations d’agents ne testent jamais : le ranker en amont qui décide des éléments qu’un agent lit juste avant d’agir. Au lieu de glisser une instruction dans un document — le schéma classique de l’injection indirecte — l’étude pose une autre question. Que se passe-t-il si chaque post que l’agent voit est anodin, et que la manipulation réside entièrement dans le choix des posts sélectionnés et dans leur proportion ?

La réponse, sur des milliers de décisions générées avec quatre modèles instruct ouverts, est que la seule curation du fil suffit à modifier ce que décide un agent. Il s’agit de recherche publiée et défensive — aucune nouvelle attaque n’est introduite ici — et sa leçon est que la sécurité des agents doit auditer la couche du fil, et pas seulement le prompt final.

Comment ça fonctionne

Le protocole expérimental maintient tout constant sauf le fil. Le modèle, le persona, le sujet et la question finale à choix forcé sont fixes. La seule variable est la composition et l’ordre des posts qu’un agent « scrolle » pendant une phase d’exposition de dix tours avant de répondre. Comme tout le reste est maintenu constant, tout changement dans la décision finale est attribuable à la seule curation du fil.

Point crucial : aucun élément ne porte d’instruction. Les posts adverses défendent un camp de manière persuasive, sans individu nommé ni impératif explicite. Pas de chaîne de jailbreak, pas de commande injectée, pas de charge trafiquée — c’est précisément pour cela qu’un filtre d’analyse d’entrée ne peut pas voir l’attaque. La manipulation est la sélection d’un contenu par ailleurs banal, et la cible est une décision multi-étapes en aval plutôt qu’une sortie sur un seul tour.

Le comportement mesuré se répartit en trois régimes. Certains modèles capitulent, dérivant vers la direction que pousse le fil. D’autres saturent, renvoyant une valeur par défaut fixe quoi qu’ils lisent. Le schéma le plus instructif est une asymétrie liée au défaut : un fil unilatéral fait basculer de façon fiable une décision sur laquelle le modèle était réellement incertain, mais ne parvient pas à déloger une position qu’il tient déjà fermement. L’effet suit une courbe dose-réponse, avec un seuil autour de deux posts adverses sur cinq, et il a survécu à un changement de générateur où un autre modèle rédigeait les posts — écartant l’artefact de style d’écriture.

Pourquoi c’est important

L’implication de sécurité est concrète et, dans l’étude, inclut des choix pertinents pour la sécurité, pas seulement des opinions politiques molles. Là où le défaut sûr d’un agent est l’option prudente — maintenir une barrière de déploiement, conserver le MFA obligatoire et le moindre privilège — un adversaire qui contrôle le classement en amont peut éroder ce défaut vers un choix plus risqué en n’utilisant que du contenu d’apparence anodine. C’est proche, dans l’esprit, de la manipulation d’opinion via RAG et de la corruption d’endossement des agents de recherche, mais cela supprime entièrement la charge utile.

L’exposition est réelle pour tout agent branché à un canal qu’un tiers peut influencer : plateformes sociales, classements de recherche, mémoire augmentée par récupération, tri d’e-mails ou recommandeur. Elle est aussi bornée. L’attaque ne déplace que des décisions contestables au défaut mobile ; deux des quatre modèles testés étaient saturés et n’ont pas bougé, et les auteurs notent qu’une sonde préliminaire a montré qu’un modèle de pointe conservait son défaut raisonné sous la même attaque. La susceptibilité décroît avec la capacité et l’alignement du modèle — c’est donc un risque gradué, pas une rupture universelle.

Défenses

L’article teste deux défenses simples au niveau du fil et constate que les deux aident, au moins sur le modèle sensible le plus net.

• Équilibrer l’exposition. Imposer un mélange de points de vue dans ce que l’agent lit — plutôt que de laisser s’accumuler un flux unilatéral — a largement restauré le défaut sûr lors des tests. Des contraintes de diversité sur le fil sont une atténuation directe.
• Divulguer le classement. Ajouter une brève note, au niveau du persona, indiquant que le fil a pu être sélectionné de manière adverse a réduit l’effet de façon mesurable. Signaler à l’agent que son flux d’information n’est pas de confiance est peu coûteux et partiellement efficace.
• Auditer la couche du fil, pas seulement le prompt. Un benchmark qui ne teste que le prompt final manque entièrement cette surface de contrôle. Évaluez les agents face à des rankers adverses et rapportez la susceptibilité propre à chaque modèle plutôt qu’une moyenne.
• Limiter le rayon d’impact. Comme avec la triade létale, le danger culmine quand un agent orienté peut agir. Placez les actions à fort impact derrière une confirmation, restreignez les permissions et gardez un humain dans la boucle pour les décisions irréversibles, afin qu’une recommandation influencée ne s’exécute pas sans contrôle.
• Privilégier des défauts robustes. L’attaque échoue contre des défauts fermement tenus. Quand une décision est sensible pour la sécurité, fixez l’option sûre comme politique dure plutôt que de la laisser à une préférence mobile que le fil peut éroder.

Statut

Propriété	Constat
Divulgation	Article de recherche public, 2 juin 2026 (2606.00914)
Canal	Ranker en amont / curation du fil — sans charge injectée
Modèles déplacés	Llama 3.2-3B, Gemma 4 (2 sur 4) ; Qwen 3.5-2B/9B saturés
Seuil	≈ 2 posts adverses sur 5 (dose-réponse)
Portée	Fait basculer les défauts mobiles, y compris des décisions de sécurité ; échoue sur les défauts fermes ou alignés ; modèle de pointe résistant dans une sonde préliminaire
Atténuations	Exposition équilibrée, divulgation du classement, audits de la couche du fil, contrôle des actions

Le recadrage est l’essentiel : dans un cadre agentique, la sortie d’un agent est fonction non seulement de ses poids et du prompt utilisateur, mais aussi de la trajectoire d’information qu’un ranker a choisie pour lui. La question n’est plus seulement de savoir si un modèle se comporte bien sur un prompt propre, mais qui contrôle ce qu’il lit juste avant de répondre.