La fenêtre se trouve dans le raisonnement : quand l'agent décide de suivre une injection

De quoi s’agit-il ?

Les moniteurs d’exécution et les benchmarks à passage unique contre l’injection de prompt supposent souvent que le fait qu’un agent suive ou non une instruction injectée est déterminé dès qu’il lit le contenu non fiable. Le 16 octobre 2026, Haoxuan Jia et ses collègues ont publié « The Window Is in the Reasoning » (arXiv:2610.24048), qui teste directement cette hypothèse. Il s’agit d’une étude de mesure sur la surveillance défensive ; elle ne présente aucune nouvelle attaque.

Comment cela fonctionne

Les auteurs utilisent des rollouts ramifiés. Ils rejouent un épisode d’agent jusqu’au moment où il lit une injection, puis rééchantillonnent la suite de nombreuses fois. La comparaison des branches répartit la variance du résultat entre une part fixée à la lecture et une part décidée ensuite. Les expériences portent sur quatre suites AgentDojo (AgentDojo, juin 2024, est un benchmark public de 97 tâches et 629 cas de test de sécurité).

Résultats rapportés :

• Un agent Qwen3 sans raisonnement avait environ 0,91 de sa variance fixée à la lecture. Avec le raisonnement activé, cette part tombe à environ 0,62, de façon constante sur trois gabarits d’attaque et deux définitions du succès.
• L’effet dépend du modèle : le raisonnement a réduit le taux de réussite des attaques de Qwen3 mais l’a augmenté pour deux autres modèles.
• Le rééchantillonnage à partir de préfixes de raisonnement montre que la décision de suivre l’injection se construit progressivement pendant le raisonnement.
• Les moniteurs à chaîne de pensée zero-shot fondés sur des modèles moins coûteux manquent une grande partie de ce que le préfixe a déjà déterminé. Les moniteurs plus forts, et un moniteur « lookahead » qui évalue des actions suivantes simulées, s’en approchent nettement.
• Pour les agents à raisonnement, les étiquettes d’une exécution unique divergeaient d’une nouvelle exécution dans jusqu’à 35 % des cas.

Pourquoi c’est important

Un contrôle effectué uniquement à l’entrée du contenu non fiable peut manquer une décision qui n’est pas encore prise, et un moniteur bon marché peut ne pas la voir se former. Les benchmarks à exécution unique peuvent aussi surestimer ou sous-estimer la robustesse réelle d’un agent. Un autre article du 2 octobre 2026 (arXiv:2610.03448) ajoute une mise en garde voisine : les classements de détecteurs se transfèrent mal d’un benchmark à l’autre, et le meilleur détecteur sur BIPIA n’a repéré qu’environ 2 % des injections d’AgentDojo à 1 % de faux positifs.

Défenses

• Ne vous fiez pas à un contrôle unique à la lecture. Surveillez le raisonnement et les actions proposées au fur et à mesure, et filtrez chaque appel d’outil sensible.
• Utilisez un moniteur au moins aussi capable que l’agent, ou un moniteur qui évalue des actions suivantes simulées (lookahead), plutôt qu’un moniteur zero-shot bon marché.
• Appliquez le moindre privilège aux outils et exigez une approbation pour les actions sensibles, afin qu’une décision tardive de suivre une injection ne cause pas de dommage grave.
• Évaluez avec des exécutions répétées par tâche et publiez la variance, pas un simple succès/échec sur une exécution.
• Testez les détecteurs sur les sorties d’outils de votre propre agent et mesurez la détection à faible taux de faux positifs, comme le recommande le second article.
• Traitez tout contenu récupéré ou renvoyé par un outil comme non fiable et journalisez les décisions pour l’audit.

Status

Élément	Détail
Type de source	Étude de mesure académique (arXiv, cs.CL / cs.AI / cs.CR)
Publication	16 octobre 2026 (arXiv:2610.24048 v1)
Travaux liés	2 octobre 2026 (arXiv:2610.03448) ; AgentDojo, 19 juin 2024
Modèles cités	Qwen3 (avec et sans raisonnement) ; deux autres non nommés dans le résumé consulté
Vulnérabilité / CVE	Aucune ; recherche d’évaluation, pas un bug produit