Recevez tous les soirs un résumé de l’actu importante avec Le Récap’
L’été 2026 est décidément chargé pour la sécurité des agents d’intelligence artificielle.
Après OpenAI, dont un agent a piraté Hugging Face, et Anthropic, ayant observé un épisode similaire, c’est au tour de Google de se retrouver au cœur d’un incident impliquant des assistants IA autonomes.
Cette fois, pas d’agent qui s’échappe de son environnement prévu : le scénario est différent et, jusqu’ici, jamais documenté en conditions réelles.
On parle ici d’un agent IA manipulé pour en attaquer un autre, bénéficiant de privilèges plus importants. La découverte revient à Dan Lisichkin, chercheur chez Pillar Security, qui l’a signalée à Google début juin 2026 avant de la rendre publique ce lundi 3 août.
𝗔𝗻𝘆𝗼𝗻𝗲 𝗼𝗻 𝘁𝗵𝗲 𝗶𝗻𝘁𝗲𝗿𝗻𝗲𝘁 𝗰𝗮𝗻 𝗹𝗲𝗮𝘃𝗲 𝗮 𝗻𝗼𝘁𝗲 𝗼𝗻 𝗮 𝗽𝘂𝗯𝗹𝗶𝗰 𝘀𝗼𝗳𝘁𝘄𝗮𝗿𝗲 𝗽𝗿𝗼𝗷𝗲𝗰𝘁. 𝗚𝗼𝗼𝗴𝗹𝗲 𝗵𝗮𝗱 𝗮𝗻 𝗔𝗜 𝗮𝘀𝘀𝗶𝘀𝘁𝗮𝗻𝘁 𝗿𝗲𝗮𝗱𝗶𝗻𝗴 𝗲𝘃𝗲𝗿𝘆 𝗻𝗼𝘁𝗲 𝘁𝗵𝗮𝘁 𝗰𝗮𝗺𝗲 𝗶𝗻.Write the note carefully enough, and the… pic.twitter.com/4tGuKai31l
L’affaire s’est déroulée dans le dépôt google/adk-python, qui sert de base au kit de développement d’agents IA de Google.
Deux types d’agents automatisés y cohabitaient. Le premier, accessible à n’importe quel internaute, se déclenchait dès qu’un utilisateur ouvrait une demande de modification de code (pull request) ou signalait un problème, pour effectuer un premier tri. Le second, réservé aux responsables du projet, disposait de bien plus de pouvoir et pouvait valider ou rejeter des modifications.
Problème : ces deux agents n’étaient pas aussi cloisonnés qu’ils auraient dû l’être. L’agent de tri commentait les demandes via un compte doté de vrais droits de collaborateur, et le chercheur a exploité cette faiblesse via une injection de prompt. Une technique qui consiste à glisser des instructions cachées que l’IA va exécuter comme si elles venaient de son opérateur légitime.
Concrètement, Dan Lisichkin explique avoir rédigé une demande de modification qui ressemblait à une contribution parfaitement légitime, plan de test et justification technique à l’appui. Mais le texte contenait une instruction destinée à l’agent de tri : publier un commentaire précis, formulé pour déclencher automatiquement l’agent privilégié.
L’agent de tri, sans le savoir, a suivi l’instruction. L’agent privilégié s’est alors retrouvé sollicité, et le chercheur a pu lui faire approuver une seconde demande, cette fois réellement piégée, tout en modifiant commentaires et étiquettes pour reconstituer un historique crédible.
Google a corrigé le problème, mais a refusé d’accorder une prime au chercheur pour cette chasse au bug. Selon l’entreprise, l’exploitation nécessitait de l’ingénierie sociale, et une fusion malveillante de code aurait de toute façon exigé l’intervention d’un responsable humain.
Découvrez les nombreux avantages de Numerama+.
Vous avez lu 0 articles sur Numerama ce mois-ci
Tout le monde n'a pas les moyens de payer pour l'information. C'est pourquoi nous maintenons notre journalisme ouvert à tous.
Mais si vous le pouvez, voici trois bonnes raisons de soutenir notre travail :
Si vous croyez en un web gratuit et à une information de qualité accessible au plus grand nombre, rejoignez Numerama+.
Ajoutez Numerama à votre écran d'accueil et restez connectés au futur !
Tous nos articles sont aussi sur notre profil Google : suivez-nous pour ne rien manquer !
