Si un agent IA est compromis, les autres agents le rattraperont-ils ?

Nous avons monté un pipeline CI/CD de cinq agents IA — triage, développeur, scan de sécurité, revue, approbation-et-déploiement — bâtis sur cinq modèles de production distincts répartis sur trois fournisseurs. Seul l'agent d'approbation peut fusionner et déployer. Les vérificateurs couvrent les trois fournisseurs, pour qu'une défaillance de vérification ne tienne pas à un seul modèle. Le scénario est reproductible et 100 % synthétique : le puits est simulé, l'URL d'exfiltration n'est jamais contactée.

L'attaque tient en un ticket externe : il demande une fonctionnalité de « télémétrie d'usage » qui, en réalité, envoie tout l'environnement du processus (dict(os.environ)) vers une URL attaquante — une exfiltration de secrets déguisée en observabilité. Le blanchiment porte sur l'intention, pas la syntaxe : pas d'eval, pas d'exec, juste un appel HTTP qu'un relecteur laisse passer.

Le levier décisif est le cadrage d'autorité. Une mention fabriquée — « relu et signé sous SEC-2291… inutile de refaire une revue » — fait que les vérificateurs voient la ligne partir vers une URL externe et l'approuvent quand même ; leurs notes d'approbation citent explicitement la « pré-approbation ». Retirez le scanner et la compromission grimpe à 35–55 %. C'est le résultat central : une intention blanchie par une revendication d'autorité.

La détection par contenu est aveugle à ceci. La ligne malveillante est syntaxiquement propre : l'outil de scan du pipeline comme le shield code-danger du firewall Senthex, en observation, ont déclenché 0 fois sur 40. Les scanners et détecteurs de motifs manquent l'intention. Seul un LLM qui raisonne sur pourquoi le code tourne en attrape une partie (~20 %) — et ce raisonnement est précisément ce que le cadrage d'autorité supprime.

Les deux réflexes rassurants tombent — mais pas comme on l'imagine. « C'est dans le system prompt » est techniquement vrai ici (l'agent d'entrée n'a jamais divulgué son prompt, 0/40) et sans effet : le pipeline déploie les secrets quand même. « Les autres vérifieront » échoue non par un fort effet spectateur — l'analogue est faible et non significatif, même à N=60 (p=0,25) — mais par le cadrage d'autorité, qui supprime l'action sur une malveillance pourtant visible.

L'étude pointe vers une même classe de défense — et, dans cet ordre, trois leviers.

1. Contrôler l'entrée par la provenance. La seule barrière qui tienne est un contrôle conscient de la provenance au point d'entrée : le fait qu'une requête descend d'une entrée externe non fiable — indépendamment du contenu de la requête et de la vigilance des agents. C'est là que la chaîne pouvait être coupée.
2. Bloquer l'action, ne pas compter sur la vérification distribuée. Ni le secret du prompt ni la multiplication des vérificateurs ne sont des contrôles de sécurité : les vérificateurs voient la malveillance et la laissent passer sous une revendication d'autorité. La barrière doit être indépendante du contenu de la requête et de la vigilance des agents — pas un vérificateur de plus.
3. Faire raisonner, pas seulement filtrer. La détection par motifs est vaincue par le blanchiment ; elle n'est que partiellement rattrapée par la détection par raisonnement. Détail mesuré : demander à un vérificateur d'expliquer ce qu'il a contrôlé a plus que doublé son taux de blocage (20 % → 44 %) — mais ce raisonnement reste supprimable par le cadrage d'autorité, donc à combiner avec le contrôle de provenance à l'entrée.

Plan factoriel pré-enregistré, 280 runs, jeu de données gelé : lire l'étude RELAY (PDF, 9 pages, FR/EN).