Au cours des cinq derniers mois, Google et quatre autres organisations ont signalé une vulnérabilité qui permet à un attaquant de se servir d’un agent IA pour transmettre des instructions malveillantes à d’autres agents du même réseau. Le problème vient du Model Context Protocol (MCP), la norme utilisée par de nombreuses entreprises pour faire communiquer leurs agents. Lorsqu’un agent reçoit une instruction à laquelle il fait confiance, il peut la transmettre sans la vérifier, permettant ainsi au code de l’attaquant de passer d’un outil à l’autre.
Comment fonctionne la faille
Le chercheur indépendant Syed Anas Mohiuddin a montré qu’une instruction spécialement conçue peut déclencher une falsification de requête côté serveur (SSRF) chez les agents dépourvus de protections adéquates. Dans le cas de Google, une boîte à outils destinée aux agents de base de données initialisait son client HTTP sans politique de vérification des redirections : une URL malveillante pouvait donc renvoyer vers un point de terminaison interne. Google a corrigé le problème en ajoutant des listes d’adresses IP autorisées et en bloquant au démarrage les URL de base non sécurisées. Une faille similaire chez Rapid7 a reçu un score de gravité faible (2.7/10) et a été corrigée le mois dernier.
Ce que cela signifie pour les utilisateurs
Ces attaques, dites de « pivotement de protocole », exploitent l’idée que les agents se feront automatiquement confiance. Comme de nombreuses entreprises ont déployé rapidement des agents IA, elles font souvent l’impasse sur le principe du « zéro confiance », qui impose d’autoriser chaque requête. Un agent compromis peut ainsi servir de relais pour voler davantage de données ou mener des activités non autorisées sur le réseau.
Pourquoi c'est important
Pour une entreprise qui s’appuie sur des agents IA, cette faille signifie qu’un seul outil compromis peut donner à un attaquant accès à d’autres systèmes internes sans déclencher d’alerte. Les organisations doivent traiter les communications entre agents comme n’importe quel autre trafic réseau et y ajouter des contrôles d’autorisation explicites. Tant que ces protections ne seront pas largement adoptées, le risque de fuite de données ou d’actions non autorisées restera incertain.
