L’été 2026 est décidément chargé pour la sécurité des agents d’intelligence artificielle.
Après OpenAI, dont un agent a piraté Hugging Face, et Anthropic, ayant observé un épisode similaire, c’est au tour de Google de se retrouver au cœur d’un incident impliquant des assistants IA autonomes.
Cette fois, pas d’agent qui s’échappe de son environnement prévu : le scénario est différent et, jusqu’ici, jamais documenté en conditions réelles.
On parle ici d’un agent IA manipulé pour en attaquer un autre, bénéficiant de privilèges plus importants. La découverte revient à Dan Lisichkin, chercheur chez Pillar Security, qui l’a signalée à Google début juin 2026 avant de la rendre publique ce lundi 3 août.
Comment un agent a pu en piéger un autre
L’affaire s’est déroulée dans le dépôt google/adk-python, qui sert de base au kit de développement d’agents IA de Google.
Deux types d’agents automatisés y cohabitaient. Le premier, accessible à n’importe quel internaute, se déclenchait dès qu’un utilisateur ouvrait une demande de modification de code (pull request) ou signalait un problème, pour effectuer un premier tri. Le second, réservé aux responsables du projet, disposait de bien plus de pouvoir et pouvait valider ou rejeter des modifications.
Problème : ces deux agents n’étaient pas aussi cloisonnés qu’ils auraient dû l’être. L’agent de tri commentait les demandes via un compte doté de vrais droits de collaborateur, et le chercheur a exploité cette faiblesse via une injection de prompt. Une technique qui consiste à glisser des instructions cachées que l’IA va exécuter comme si elles venaient de son opérateur légitime.
Concrètement, Dan Lisichkin explique avoir rédigé une demande de modification qui ressemblait à une contribution parfaitement légitime, plan de test et justification technique à l’appui. Mais le texte contenait une instruction destinée à l’agent de tri : publier un commentaire précis, formulé pour déclencher automatiquement l’agent privilégié.
La réponse de Google
L’agent de tri, sans le savoir, a suivi l’instruction. L’agent privilégié s’est alors retrouvé sollicité, et le chercheur a pu lui faire approuver une seconde demande, cette fois réellement piégée, tout en modifiant commentaires et étiquettes pour reconstituer un historique crédible.
Google a corrigé le problème, mais a refusé d’accorder une prime au chercheur pour cette chasse au bug. Selon l’entreprise, l’exploitation nécessitait de l’ingénierie sociale, et une fusion malveillante de code aurait de toute façon exigé l’intervention d’un responsable humain.
+ rapide, + pratique, + exclusif
Zéro publicité, fonctions avancées de lecture, articles résumés par l'I.A, contenus exclusifs et plus encore.
Découvrez les nombreux avantages de Numerama+.
Vous avez lu 0 articles sur Numerama ce mois-ci
Tout le monde n'a pas les moyens de payer pour l'information.
C'est pourquoi nous maintenons notre journalisme ouvert à tous.
Mais si vous le pouvez,
voici trois bonnes raisons de soutenir notre travail :
- 1 Numerama+ contribue à offrir une expérience gratuite à tous les lecteurs de Numerama.
- 2 Vous profiterez d'une lecture sans publicité, de nombreuses fonctions avancées de lecture et des contenus exclusifs.
- 3 Aider Numerama dans sa mission : comprendre le présent pour anticiper l'avenir.
Si vous croyez en un web gratuit et à une information de qualité accessible au plus grand nombre, rejoignez Numerama+.
Toute l'actu tech en un clin d'œil
Ajoutez Numerama à votre écran d'accueil et restez connectés au futur !
Un édito exclusif, un guide, une reco de lecture et l’agenda de la rédaction : c’est ce que vous trouverez tous les jeudis dans ToujoursPlus, la newsletter tech écrite par Julien Cadot. Inscrivez-vous gratuitement ici !