Cybersécurité : les assistant IA deviennent des cibles !

Les attaquants injectent des instructions cachées pour manipuler les assistants IA. La défense doit s'adapter à ces nouvelles menaces, complètement invisibles aux yeux des utilisateurs humains.

Pendant des années, le phishing a visé un seul destinataire, l'humain, invité à cliquer sur un lien, à ouvrir une pièce jointe ou à livrer des informations. La défense s'est donc logiquement structurée autour de ce schéma. Mais un nouveau maillon s'est glissé entre le message et son lecteur : l’assistant IA, qui résume désormais les e-mails, trie la boîte de réception, accepte des invitations et traite des tickets.

Les cyberattaquants l'ont compris. Des offensives malveillantes récemment analysées combinent dans un même e-mail deux attaques distinctes. La première relève de l'ingénierie sociale classique. Par exemple, une pièce jointe protégée par un mot de passe fourni dans le corps du message, ce qui échappe aux contrôles traditionnels. La seconde est une injection de prompt, dissimulée dans une couche invisible du message et destinée à l'IA. Si l'utilisateur ignore l'e-mail, l'assistant peut le présenter comme légitime ou urgent dans son résumé, et pousser ainsi l'humain à agir.

Ces instructions échappent à l'œil humain, mais pas à la machine. Elles se cachent dans des commentaires HTML, dans du texte rendu invisible par CSS, dans des données encodées en Base64 ou derrière des caractères Unicode de largeur nulle. Les conséquences observées sont concrètes. Une fausse action prioritaire peut inciter un employé à modifier les coordonnées de paiement d'un fournisseur, un CV peut se voir attribuer la note parfaite malgré des qualifications absentes, un assistant de support peut être amené à révéler sa configuration et un assistant de codage à insérer du code de vol d'identifiants.

Aucun contrôle unique ne suffit face à ces variantes, et la protection repose sur la combinaison de plusieurs couches. En amont, les contenus doivent être assainis pour que les éléments cachés, les commentaires et les caractères invisibles soient retirés avant d'atteindre l'IA, pendant que des mécanismes de détection repèrent les formulations qui cherchent à écraser les consignes initiales. L'assistant lui-même doit évoluer dans un environnement cloisonné, qui limite ce qu'il peut consulter ou exécuter, et ses réponses doivent être vérifiées avant de déclencher la moindre action. Les décisions critiques, comme un virement ou un changement de coordonnées fournisseur, doivent par ailleurs rester soumises à une validation humaine. Enfin, la surveillance et la journalisation des événements permettent de déceler les tentatives répétées et les schémas d'attaque émergents. Un principe guide l'ensemble, qui consiste à traiter tout contenu externe comme une simple donnée, jamais comme une instruction.

Le plus inquiétant tient sans doute à l'apparence ordinaire de ces messages, et à ce qu'elle révèle d'une tendance de fond. À mesure que l'IA s'invite dans les flux de travail, de nouveaux points de faiblesse apparaissent, auxquels la vigilance des utilisateurs n'a pas été entraînée. Le réflexe de déléguer à l'assistant la lecture, le tri et parfois la décision s'installe sans que personne ne l'ait réellement acté, et chaque tâche confiée à la machine devient une porte potentielle pour qui sait lui parler. Pour autant, rien n'est joué. La défense s'organise et regagne peu à peu du terrain, avec une approche qui ne consiste pas à brider l'IA, mais à l'encadrer. L'enjeu est de conserver la souplesse et le gain de temps qu'elle apporte, tout en gardant la maîtrise de ce qu'elle peut lire, faire et décider. Cela suppose de considérer les assistants non plus comme de simples outils, mais comme des acteurs à part entière du système d'information, dotés de droits délimités, dont les actions sont contrôlées et les décisions sensibles validées par un humain. Protéger la boîte de réception ne suffit plus. C'est toute la chaîne de délégation à l'IA qu'il faut désormais sécuriser, afin que la confiance accordée à ces outils reste méritée.