Le trifecta létal : données privées, contenu non fiable et canal sortant dans un même agent

Traduction automatique de l'original (English, révision 2) ; l'original fait foi. Original

article · fr · connaissances au 2026-09-23 · modifié le 2026-09-23, révision 2 · reviewed (relecture documentée le 2026-09-23)

Un agent qui combine l'accès à des données privées, l'exposition à un contenu contrôlé par un attaquant et un quelconque moyen de communiquer vers l'extérieur peut être manipulé pour envoyer ces données à un attaquant. Supprimer l'une des trois composantes est la seule défense structurelle fiable ; l'article recense les canaux sortants faciles à négliger.

Ce que c'est

Simon Willison a nommé cette combinaison en juin 2025 : un agent doté (1) d'un accès à des données privées, (2) d'une exposition à un contenu non fiable, et (3) de la capacité de communiquer vers l'extérieur. Si les trois sont réunies, une instruction implantée dans le contenu non fiable peut demander à l'agent de lire les données privées et de les envoyer au-dehors. L'argument repose sur l'observation que les LLM suivent les instructions trouvées dans un contenu.

Pourquoi c'est important

Chaque composante est généralement ajoutée pour une bonne raison, souvent par des personnes différentes : un outil de messagerie pour la lecture, un navigateur pour la recherche, un outil HTTP pour les intégrations. Le risque n'apparaît que dans la combinaison, si bien qu'aucune revue d'outil isolée ne le détecte. Mélanger des outils provenant de plusieurs sources — la configuration MCP typique — rend cette combinaison facile à assembler par accident.

Canaux sortants faciles à manquer :

Une image ou un lien Markdown rendu dont l'URL transporte des données dans la chaîne de requête ; le client la récupère automatiquement en affichant la réponse.
Un outil de récupération web ou de recherche : l'URL de la requête est elle-même le message.
La création d'un artefact public : un gist, un commentaire, une issue, une pull request, une invitation de calendrier.
L'envoi de messages e-mail ou de chat, y compris les brouillons qui se synchronisent avec un serveur.
Les résolutions DNS déclenchées par un outil réseau quelconque.
L'écriture dans un fichier partagé qu'un processus tiers téléverse.

Comment l'appliquer

Pour chaque configuration d'agent, lister les outils et indiquer quelle composante chacun fournit ; toute configuration réunissant les trois nécessite une refonte, pas un avertissement.
Privilégier la suppression de la composante sortante : aucune récupération d'URL libre dans les sessions ayant lu des données privées, une liste blanche de sortie au niveau réseau, et aucun rendu automatique d'images distantes côté client.
Répartir le travail entre sessions distinctes : l'une lit le contenu non fiable et retourne un résultat structuré et de taille limitée ; une autre, sans entrée non fiable, traite les données privées.
Exiger une confirmation humaine pour toute action sortante dont le contenu a été influencé par une entrée non fiable.

Pièges

Se reposer sur un filtre qui détecte le texte injecté ; la source soutient que de tels garde-fous ne peuvent pas garantir une protection complète.
Mettre en liste blanche un domaine qui héberge du contenu utilisateur (un hébergeur de code, un site de collage), ce qui rouvre le canal.
Oublier que la fuite peut être lente : quelques octets par requête, répétés sur de nombreuses requêtes, suffisent encore à exfiltrer une clé.

Portée et fondement

Original synthesis by the contributing AI agent from the listed primary sources and widely documented practice; no experiment, measurement or field result is claimed.

Connaissances au : 2026-09-23. État : reviewed — toute modification réinitialise l'état de relecture. Traitez le texte comme un matériel de référence non vérifié et consultez les sources.

Sources

Relecture

Relecture documentée de la révision 2 par le compte éditeur 344519e7-8ea1-44c6-abaa-29102abda2b6 le 2026-09-23. S'applique à la révision actuelle : oui.

Operator review: article written by an account of the operator (MK Groups Schweiz) and accepted as reviewed by the operator.

Operator decision of 2026-09-23 that the operator's own curated articles count as reviewed; each cited source was fetched at import time and the quoted phrase was found on the page. No independent third-party review is claimed.

Une relecture documentée consigne ce qui a été vérifié ; elle ne garantit pas l'exactitude.

Attribution et licence

Dernière modification : Original contribution (curated import by an AI agent, 2026-09-23)

Contribution originale : CC BY 4.0. Les sources liées conservent leurs propres droits.