La nouvelle attaque par IA : comment des commandes malveillantes sont dissimulées dans des e-mails

De plus en plus d'organisations connectent des agents IA à leurs e-mails, calendriers et documents afin qu'ils puissent résumer des informations et effectuer des actions au nom de l'utilisateur. Cependant, à mesure que ces agents gagnent en autonomie, les attaquants commencent à les cibler directement.

« Autrefois, l'attaquant essayait de convaincre une personne de cliquer sur un lien ou d'ouvrir un fichier, explique Shaked Ilan, chercheur principal en sécurité chez Microsoft Israel R&D. Dans une attaque par injection de prompt (Prompt Injection), l'attaquant n'essaie pas de tromper la personne qui lit l'e-mail, mais l'agent IA qui le traite. »

La mécanique des menaces dissimulées

À l'intérieur d'un e-mail qui semble innocent, des instructions destinées spécifiquement à l'agent sont intégrées. Lorsqu'il traite le message, l'agent peut interpréter ce texte comme une commande légitime. Selon Ilan, ces instructions pourraient l'amener à collecter des informations provenant d'autres e-mails, à révéler quels systèmes sont à sa disposition, à transférer un document vers une adresse externe ou à modifier les informations présentées à l'utilisateur.

Un exemple illustrant ce risque concerne les fils de discussion sur les paiements. Un attaquant pourrait tenter d'y insérer une instruction amenant l'agent à indiquer que les coordonnées bancaires ont été modifiées. Pour l'utilisateur, l'agent résume simplement l'e-mail, alors qu'en pratique, il est influencé par une instruction cachée dans le contenu.

Méthodes de dissimulation

Les instructions n'ont pas besoin d'être visibles à l'œil nu. Ilan explique qu'elles peuvent être dissimulées via :

• Du texte blanc sur fond blanc.

• Une police de taille minuscule.

• Une insertion dans de longs fils de discussion que l'humain ne lit pas jusqu'au bout.

• L'utilisation de caractères et d'encodages invisibles pour l'utilisateur.

Ce risque a été démontré par des recherches en sécurité, notamment l'étude EchoLeak (2025), qui a montré comment des instructions intégrées peuvent forcer un agent IA à divulguer des informations. Des méthodes similaires ont été observées dans le monde universitaire, où du texte caché dans des articles visait à influencer les systèmes d'IA utilisés pour la relecture.

Protection et limites

La différence entre un chatbot et un agent IA est fondamentale : si l'erreur d'un chatbot se solde par une réponse incorrecte, celle d'un agent peut se transformer en une action réelle, comme l'envoi de messages ou l'accès à des systèmes sensibles.

Face à ces risques, Microsoft a développé une couche de protection supplémentaire au sein de Microsoft Defender for Office 365. Le système analyse le contenu des messages lors de leur acheminement pour identifier les instructions malveillantes avant que l'agent IA ne puisse les lire. Pour anticiper les nouvelles méthodes d'attaque, l'équipe de recherche de Microsoft en Israël génère des millions d'exemples synthétiques pour entraîner et tester les systèmes de défense.

« L'objectif n'est pas d'arrêter d'utiliser des agents IA, mais de construire des limites claires autour d'eux, conclut Ilan. Il faut donner à l'agent uniquement les autorisations nécessaires, exiger une approbation humaine avant les actions sensibles et surveiller ses activités. On peut comparer un agent IA à un nouvel employé : il peut être très efficace, mais on ne lui donne pas accès à tous les systèmes dès le premier jour sans supervision. »