QueryIPI: Query-agnostic Indirect Prompt Injection on Coding Agents

Résumé Technique : QueryIPI – Injection de Prompt Indirecte Indépendante de la Requête sur les Agents de Codage

Énoncé du Problème
Les agents de codage modernes intégrés dans les IDE (ex. : VS Code Copilot, Cursor, Windsurf) possèdent un accès système à hauts privilèges, créant une surface d'attaque significative. La recherche actuelle sur l'Injection de Prompt Indirecte (IPI) repose principalement sur des déclencheurs spécifiques à la requête. Dans ces scénarios, une charge utile malveillante est intégrée dans les sorties ou les descriptions d'outils, mais ne se déclenche que lorsqu'un utilisateur émet une requête spécifique et prédéterminée (ex. : « écris un jeu de labyrinthe »). Cette dépendance limite considérablement la généralisabilité ; si la requête de l'utilisateur ne correspond pas au déclencheur, l'attaque échoue. Les auteurs soutiennent que cela rend les méthodes d'IPI antérieures peu fiables dans des scénarios réels où les requêtes des utilisateurs sont diverses et imprévisibles.

Méthodologie : QueryIPI
Le papier propose QueryIPI, un framework automatisé conçu pour exécuter une IPI indépendante de la requête (query-agnostic). Contrairement aux méthodes précédentes, QueryIPI vise à détourner le comportement de l'agent de codage sous des requêtes d'utilisateurs arbitraires, garantissant que la charge utile malveillante s'exécute quel que soit l'intention de l'utilisateur.

L'intuition technique centrale est l'identification de l'Invariant du Système. Bien que les requêtes des utilisateurs varient, la structure du prompt interne de l'agent de codage — comprenant les instructions système et les descriptions d'outils internes — reste constante à travers toutes les interactions. QueryIPI exploite cet invariant pour guider la génération de charges utiles malveillantes.

Le framework fonctionne via un processus d'optimisation en boîte noire utilisant la description de l'outil comme charge utile optimisable. Le processus comprend deux phases clés pilotées par une recherche itérative basée sur des prompts :

1. Génération de la Graine Initiale (Seed Generation) : Le système analyse le prompt interne de l'agent (instructions système et descriptions d'outils) pour comprendre le style natif de l'agent, sa logique de décision et ses contraintes de sécurité. Il génère une description de graine qui imite les outils internes de l'agent pour contourner les filtres de sécurité initiaux et apparaître comme un composant de confiance.
2. Réflexion Itérative : Le framework utilise un « LLM de Mutation » pour affiner la charge utile. Il évalue les descriptions candidates par rapport à un ensemble de requêtes d'utilisateurs diversifiées. Si l'agent échoue à exécuter l'action malveillante (soit en ignorant l'outil, soit en refusant l'action), le LLM de Mutation utilise le prompt interne pour analyser l'échec. Il cible spécifiquement les règles de sécurité ou la complexité du contexte qui ont causé le refus, en réécrivant la description pour contourner systématiquement ces défenses.

Contributions Clés

• Changement de Paradigme : Le papier formalise la première attaque IPI indépendante de la requête pour les agents de codage, passant d'attaques conditionnelles et spécifiques à la requête à des attaques inconditionnelles qui fonctionnent à travers des entrées utilisateur arbitraires.
• Identification de l'Invariant du Système : Il identifie le prompt interne (instructions système et définitions d'outils) comme un « invariant du système » critique qui peut être exploité pour assurer un respect des instructions adverses fiable, indépendamment de la requête de l'utilisateur.
• Framework Automatisé : Il introduit QueryIPI, un framework automatisé qui utilise l'optimisation en boîte noire et la réflexion itérative pour concevoir des descriptions d'outils malveillantes qui s'alignent sur la logique interne de l'agent et contournent les garde-fous de sécurité.
• Faisabilité de l'Accès : Les auteurs soutiennent que l'obtention de ces prompts internes est hautement viable grâce aux frameworks open-source, aux attaques d'extraction de prompt (qui ont montré des taux de réussite élevés dans la littérature récente) ou aux dépôts fuités, rendant le modèle de menace pratique.

Résultats Expérimentaux
Les auteurs ont évalué QueryIPI sur cinq agents de codage simulés du monde réel (Cursor, Windsurf, Cline, Copilot et Trae) en utilisant un LLM backend (Claude-Sonnet-4) et un ensemble de 100 cas de test (10 commandes malveillantes × 10 requêtes d'utilisateurs diverses).

• Performance vs Baselines : QueryIPI a nettement surpassé les baselines existantes (AgentDojo, InjecAgent, MCPTox et TIP). Alors que la meilleure baseline a atteint un taux de réussite moyen de 50 %, QueryIPI a atteint des taux de réussite moyens de 70 % (avec 2 échantillons d'entraînement), 82 % (avec 4 échantillons) et 87 % (avec 8 échantillons).
• Rôle des Prompts Internes : Une étude d'ablation a montré que sans accès au prompt interne, le taux de réussite de l'attaque chutait à 20 %, confirmant le rôle critique des invariants du système. Même avec des prompts seulement « partiels » ou obsolètes (configuration gray-box), le taux de réussite restait élevé à 71 %.
• Transférabilité au Monde Réel : Crucialement, les auteurs ont démontré que les descriptions d'outils malveillantes générées dans l'environnement simulé ont été transférées avec succès aux agents de codage réels du monde réel. Lors de tests contre les agents réels, QueryIPI a atteint un taux de réussite moyen de 50 %, tandis que la baseline (TIP) est tombée à 2 %.
• Robustesse : L'attaque est restée efficace contre diverses stratégies de défense, y compris les variantes de « Sandwich Defense » et de « Spotlighting », avec des taux de réussite restant élevés (ex. : 82 % contre Sandwich Defense). De plus, les charges utiles générées maintenaient des scores de perplexité bas, ce qui les rend difficilement détectables via une détection d'anomalie statistique.

Signification et Revendications
Le papier affirme que QueryIPI établit l'IPI indépendante de la requête comme une menace pratique et déterministe pour les agents de codage du monde réel. En démontrant que les prompts internes peuvent être exploités pour créer des attaques fonctionnant indépendamment de l'entrée de l'utilisateur, les auteurs soulignent un risque de sécurité grave posé par l'exposition des instructions système. Le travail souligne que la dépendance à des requêtes utilisateur spécifiques dans les défenses antérieures est insuffisante, car les attaquants peuvent désormais concevoir des charges utiles qui détournent les agents sous n'importe quelle interaction utilisateur. Les auteurs concluent que la compréhension de cette capacité offensive est essentielle pour développer des défenses robustes, notant que l'exposition des prompts internes est le principal catalyseur de cette menace.