FlowSteer : orienter la formation du workflow multi-agent avec un seul prompt

De quoi s’agit-il ?

Le 12 mai 2026, des chercheurs de l’Université du Yunnan, de la National University of Singapore et de l’Université de Washington ont publié FlowSteer, une étude d’une surface d’attaque que la plupart des travaux sur la sécurité multi-agent avaient laissée de côté. Les attaques classiques visent les agents, les outils, la mémoire ou les messages inter-agents une fois le workflow constitué. FlowSteer vise le moment où le workflow est construit.

Les systèmes multi-agents (MAS) modernes adoptent de plus en plus une architecture planificateur–exécuteur : un planificateur transforme le prompt de l’utilisateur en sous-tâches, attribue des rôles, établit les dépendances et décide de la façon dont l’information est routée puis agrégée. Cette flexibilité est un atout — et, selon l’article, une exposition. Un simple prompt utilisateur, sans aucun accès à un composant interne, peut biaiser la formation de ce workflow et orienter l’ensemble du système vers une réponse choisie par l’attaquant. Les auteurs nomment cela la sûreté au niveau du workflow, contribution centrale du papier.

Comment ça marche

L’article utilise l’influence sociale comme diagnostic : on fige un workflow propre, on perturbe une sous-tâche à la fois, et on mesure de combien la sortie finale se déplace vers une cible malveillante. Ce sondage révèle deux faiblesses.

La première est la sensibilité structurelle : un même signal malveillant a un impact très différent selon l’endroit du workflow où il entre. La position peut amplifier un signal au moment de l’agrégation ou, au contraire, l’étouffer. La seconde est la sensibilité au cadrage : des indices flagorneurs — langage d’autorité, formulation orientée conformité, affirmations présentées comme des prémisses indiscutables — rendent les agents en aval plus enclins à relayer le signal. En sondage contrôlé, ce cadrage a augmenté le succès malveillant jusqu’à 37 %.

FlowSteer réunit les deux dans un unique prompt élaboré, en deux étages :

[User Task]            # l'objectif réel, d'apparence bénigne
[Malicious Argument]   # affirmation flagorneuse alignée sur une sous-tâche
                       # à forte influence, présentée comme une preuve
[Structural Guidance]  # indications en langage naturel qui orientent la
                       # replanification vers des dépendances propageant le signal

Aucun payload n’est exécuté, aucune infrastructure n’est touchée. L’attaquant ne fait que façonner les signaux de planification que lit le planificateur. Sur quatre familles de modèles — GPT-4o-mini, Gemini-2.5-Flash, Qwen-3.5-Flash et DeepSeek-V3 — et deux jeux d’évaluation (MisinfoTask et ASB-Bench), FlowSteer a augmenté le taux de succès malveillant de plus de la moitié (jusqu’à +55 %) par rapport à un prompt malveillant naïf. Les a priori de vulnérabilité, profilés sur une seule configuration propre, se sont transférés d’une famille de modèles à l’autre ; et même en contexte totalement boîte noire, où l’attaquant ne voit pas la topologie d’exécution et n’infère qu’une structure approximative à partir des sorties du planificateur, l’attaque est restée bien au-dessus de la base naïve.

Pourquoi c’est important

Le constat gênant porte sur l’endroit où se situent les défenses. Les garde-fous MAS existants comme ARGUS et G-Safeguard inspectent le workflow une fois formé — structure du graphe, sorties des agents, motifs de propagation. FlowSteer contamine le signal du prompt avant que le workflow n’existe, si bien que l’inspection post-formation n’offre qu’une protection limitée et irrégulière. L’interface de prompt qui rend ces systèmes adaptatifs est le canal même qui les oriente.

C’est d’autant plus important que ces architectures gagnent des contextes à enjeux — assistance au code par agents, analyse de risque financier, simulation de politiques publiques — où une étape d’agrégation terminale peut transformer une seule affirmation bien placée en réponse finale du système. Cela instrumentalise aussi une faiblesse d’alignement connue : la flagornerie cesse d’être un travers de politesse pour devenir un mécanisme structurel de propagation.

Défenses

Les auteurs associent à l’attaque FlowGuard, une défense côté entrée qui agit avant la planification. Elle procède en deux temps. Un module de tri d’intention sépare le prompt en intention de tâche, intention méthodologique/structurelle et intention de cadrage. Un module de décontamination d’intention réécrit ensuite le prompt pour préserver l’objectif réel tout en assouplissant les injonctions structurelles rigides, en reformulant les affirmations externes péremptoires comme des éléments à évaluer, et en retirant les indices de conformité qui biaisent l’adoption. FlowGuard a réduit le succès malveillant jusqu’à 34 % sans dégrader les instructions de tâche légitimes. Les auteurs précisent qu’il s’agit d’un premier pas, à combiner avec une vérification côté planificateur, un suivi de provenance et une surveillance à l’exécution.

Recommandations concrètes pour les équipes qui déploient des systèmes planificateur-exécuteur : traiter le planificateur comme une frontière de confiance plutôt que de présumer un workflow propre ; normaliser le cadrage et le langage de conformité dans les entrées utilisateur avant la décomposition ; ne pas s’appuyer uniquement sur l’inspection a posteriori du graphe ou des sorties ; exiger une corroboration pour les affirmations à fort impact au moment de l’agrégation ; et journaliser les décisions de planification (décomposition et routage) afin qu’un workflow orienté reste auditable.

Statut

Aspect	Détail
Divulgation	Préprint arXiv, publié le 12 mai 2026
Classe	Attaque au moment de la planification / formation du workflow (MAS planificateur-exécuteur)
Testé sur	GPT-4o-mini, Gemini-2.5-Flash, Qwen-3.5-Flash, DeepSeek-V3
Effet	Jusqu’à +55 % de succès malveillant vs prompt naïf ; transférable ; fonctionne en boîte noire
Exploité dans la nature	Non signalé ; résultat de recherche
Défense	Décontamination côté entrée FlowGuard (−34 % de succès malveillant)