Des pirates informatiques ont découvert une voie nouvelle pour manipuler des agents d’IA. La cible est la mémoire à long terme de ces systèmes. En d’autres termes, l’attaque vise ce que l’agent retient entre une conversation et une autre. Des chercheurs de l’Université d’État du Nouveau-Mexique ont baptisé cette menace GhostWriter et, au-delà de décrire l’arnaque, ils ont aussi présenté une défense capable de contenir le problème. Pour ceux qui conçoivent des agents, le message est clair. La commodité de la mémoire persistante ouvre également une brèche sérieuse.
Pourquoi la mémoire persistante est-elle devenue la porte dérobée des agents
Les agents d’IA ont évolué rapidement ces dernières années. Tout d’abord, ils répondaient uniquement à des questions et généraient du texte. Ensuite, ils ont commencé à exécuter des tâches de manière autonome. Aujourd’hui, beaucoup prévoient des rendez-vous, répondent à des messages et modifient du code. Pour rendre cette expérience plus fluide, les développeurs ont ajouté la mémoire persistante, une fonction qui récupère des données des conversations passées et évite à l’utilisateur de répéter les mêmes informations. Or, cette même mémoire concentre des informations sensibles. Et elle reçoit aussi du contenu provenant de sources externes. Ainsi, le scénario devient risqué. Des données précieuses et des entrées non fiables cohabitent désormais dans le même espace.
Hackers : GhostWriter réécrit ce que votre agent croit se rappeler
GhostWriter agit comme une contamination de mémoire. En d’autres termes, il altère le stockage permanent de l’agent. La logique est simple et, par conséquent, inquiétante. L’attaquant insère des instructions cachées dans ce stockage. Plus tard, lorsque l’utilisateur fait une demande sur le sujet, le système récupère l’enregistrement compromis et commence à agir selon la commande qui avait été semée auparavant. L’utilisateur, pendant ce temps, ne perçoit rien d’inhabituel.
Deux étapes expliquent comment la mémoire de l’agent est contaminée par les hackers
L’attaque se décompose en deux moments nets. D’abord, l’intrus envoie un contenu caché. Ce contenu peut être enregistré comme mémoire légitime. Puis, l’utilisateur émet une requête liée au sujet. À ce moment-là, l’agent cherche l’enregistrement contaminé. Ensuite, il exécute les instructions insérées auparavant. Ainsi, l’action malveillante se produit sans qu’aucun avertissement ne soit émis.
E-mails automatisés ? Voici l’exemple qui déclenche l’alerte
Les chercheurs ont démontré le risque avec un cas concret. Imaginez un agent chargé de gérer les e-mails. Une mémoire fausse pourrait modifier complètement son comportement. Par exemple, elle pourrait ordonner à l’agent de résumer les messages d’un expéditeur précis, puis de transmettre ces résumés à une adresse contrôlée par l’attaquant. Tout cela se ferait sans que l’utilisateur en soit informé. Pire encore, la fuite pourrait inclure des informations confidentielles. Les tests ont confirmé un taux de réussite élevé dans cette insertion. De plus, les instructions semées s’activeaient fréquemment de manière préoccupante. Autrement dit, même les agents les plus avancés se sont révélés vulnérables.
AM-Sentry montre comment filtrer ce qui entre dans la mémoire
La bonne nouvelle est qu’il existe déjà une réponse. Les hackers ont conçu l’Agentic Memory Sentry. Le nom est abrégé en AM-Sentry. Cette protection agit sur deux volets complémentaires. Premièrement, elle applique une politique d’enregistrement plus stricte. Ainsi, tout contenu n’entre pas dans la mémoire persistante. Deuxièmement, elle vérifie les enregistrements avant leur récupération. De cette manière, le système bloque les données suspectes au bon moment. Selon les résultats décrits dans l’étude, la défense a réduit de façon significative l’efficacité du GhostWriter et, tout en cela, a préservé l’utilité pratique des agents.
Ce qui change dans votre code à partir de maintenant
Pour le développeur, le message est très pratique. Considérez la mémoire de l’agent comme une surface d’attaque. Tout d’abord, validez tout contenu avant son enregistrement. Ensuite, vérifiez chaque enregistrement au moment de la récupération. De plus, séparez les données fiables des entrées externes. Ne vous fiez jamais à un enregistrement simplement parce qu’il paraît légitime. Enfin, suivez les recherches sur des défenses comme l’AM-Sentry. Ce domaine devrait encore mûrir beaucoup dans les mois à venir, donc ceux qui s’y préparent peuvent protéger à la fois les utilisateurs et la réputation du produit.
Suivez notre profil sur Instagram !
