Quand des agents sûrs échouent ensemble : la sécurité multi-agents vue à l'exécution

De quoi s’agit-il ?

Le 1er septembre 2026, Rui Yang, Junjie Xu, Zhengyu Liu, Neil Fendley, Yang Hong, Ziyang Li et Yinzhi Cao ont déposé sur arXiv (cs.CR / cs.AI) une systématisation des connaissances de 21 pages consacrée à la sécurité des systèmes multi-agents à base de LLM. Il ne s’agit pas d’une nouvelle attaque, mais d’une tentative de répondre à une question que le domaine traite jusqu’ici de façon approximative : lorsqu’un système composé d’agents individuellement irréprochables échoue, s’agit-il d’un effet de sécurité multi-agents, ou d’une défaillance mono-agent qui se produit dans un décor multi-agents ?

Le point de départ des auteurs est que ces systèmes font traverser quatre choses aux frontières de principaux — information, état, décisions et autorité — et que les défaillances nées de ces traversées échappent aux contrôles appliqués localement, à l’intérieur de chaque agent. Leur correctif est méthodologique : analyser au niveau de l’exécution, tracer les attaques de bout en bout, et ne revendiquer un effet systémique qu’ensuite. Ils appliquent cette grille à 197 travaux, couvrant six interfaces d’interaction, quatre positions d’adversaire, sept risques systémiques et huit chemins d’attaque récurrents.

Comment ça marche

La contribution structurante est un cadre baptisé A-I-R, qui classe une attaque selon trois coordonnées plutôt que selon sa technique apparente :

• A — position de l’adversaire : où se situe l’attaquant par rapport au système (quatre positions recensées).
• I — interface d’interaction : le canal par lequel son influence franchit une frontière — les six interfaces par lesquelles les agents s’échangent messages, état, résultats d’outils et autorité déléguée.
• R — risque systémique résultant : ce que le système perd dans son ensemble (sept catégories).

L’intérêt de ces coordonnées est l’unification. Dans cette littérature, les noms d’attaques prolifèrent plus vite que les mécanismes ; deux articles peuvent décrire ce qui semble être deux attaques distinctes et décrire en réalité le même chemin avec un vocabulaire différent. Fixer la position, l’interface et l’issue rend ces collisions visibles, et rend les huit chemins d’attaque récurrents dénombrables plutôt qu’anecdotiques.

Le volet défensif est organisé symétriquement, sous forme d’un contrat en cinq parties que toute mitigation proposée doit expliciter : sa cible de chemin (quel chemin d’attaque elle prétend fermer), son observation (ce qu’elle voit réellement à l’exécution), son intervention (ce qu’elle fait quand elle voit), sa frontière de confiance (ce qu’elle suppose honnête) et sa récupération (ce qui se passe après une compromission qu’elle n’a pas su empêcher).

Lu comme une check-list, c’est là que la plupart des défenses publiées se révèlent incomplètes. Les auteurs identifient la fermeture de chemin et la récupération comme les deux points faibles persistants : les défenses détectent ou atténuent une attaque quelque part le long d’un chemin sans démontrer que ce chemin est fermé, et elles ne disent presque jamais rien de la remise en état après propagation. Cela fait écho à une synthèse du 9 juin 2026 portant sur 247 articles de sécurité des agents, qui jugeait les défenses actuelles utiles comme briques mais « faiblement composables », et signalait la propagation multi-agents comme une préoccupation émergente centrale.

Pourquoi c’est important

Pour qui exploite un orchestrateur, une topologie planificateur-exécutants ou une flotte d’agents spécialisés partageant une file de tâches, l’avertissement pratique est que l’assurance obtenue agent par agent ne s’additionne pas. Un agent qui refuse des instructions nuisibles isolément peut malgré tout relayer un résultat intermédiaire corrompu, transmettre une autorité surdimensionnée, ou amplifier une seule entrée empoisonnée sur une douzaine d’appels en aval. Les garde-fous locaux n’ont aucune vue là-dessus.

Le second avertissement porte sur la preuve. Les auteurs auditent également 44 travaux d’évaluation et de benchmark et y trouvent des lacunes récurrentes : les effets d’interaction ne sont pas isolés des références mono-agent, les métriques ne sont ni comparables d’un article à l’autre ni diagnostiques quant aux raisons du succès d’une défense, les résultats se transfèrent mal d’une architecture multi-agents à une autre, et le fonctionnement en système ouvert — agents qui entrent et sortent, participants tiers — reste largement non testé. Si vous achetez ou citez une promesse de sécurité multi-agents, ce sont ces quatre lacunes qu’il faut interroger.

Défenses

Le cadre se convertit assez directement en pratiques d’ingénierie :

• Cartographiez vos interfaces avant vos agents. Recensez chaque canal qui transporte information, état, décisions ou autorité entre agents. Ce sont ces traversées, et non les agents, qui constituent la surface d’attaque.
• Exigez la fermeture du chemin, pas la détection. Pour chaque contrôle déployé, nommez le chemin d’attaque qu’il ferme et testez ce chemin de bout en bout. Un détecteur qui se déclenche en cours de chemin laisse le chemin ouvert.
• Écrivez explicitement la frontière de confiance. Quelle sortie d’agent est traitée comme donnée, laquelle comme instruction ? C’est dans cette ambiguïté que l’autorité s’escalade discrètement.
• N’attachez pas l’autorité à la délégation. Un sous-agent doit recevoir les privilèges que sa tâche exige, redérivés à la frontière, et non hérités de son appelant.
• Planifiez la récupération. Postulez que la propagation aura lieu : définissez comment l’état partagé, la mémoire et les tâches en file corrompus sont détectés, mis en quarantaine et restaurés. C’est la moitié du contrat la moins traitée.
• Évaluez avec des contrefactuels. Rejouez le même scénario en mono-agent avant d’attribuer une défaillance à la structure multi-agents — sinon vous durcissez la mauvaise couche.

Statut

Élément	Détail
Publication	arXiv:2609.00595, déposé le 1er septembre 2026 (cs.CR, cs.AI), 21 pages
Corpus	197 travaux de sécurité ; 44 travaux d’évaluation et de benchmark audités séparément
Taxonomie	6 interfaces d’interaction, 4 positions d’adversaire, 7 risques systémiques, 8 chemins d’attaque récurrents
Travaux liés	arXiv:2606.10749, 9 juin 2026 — synthèse de 247 articles, conclusion convergente sur la faible composabilité des défenses
Nature	Systématisation et critique des évaluations ; aucune attaque nouvelle, aucun avis éditeur, aucun CVE

Les chiffres ci-dessus sont les décomptes des auteurs sur le corpus qu’ils ont retenu ; ils décrivent l’état de la littérature publiée en septembre 2026, et non une mesure des systèmes en production.