Résumé technique : Canaux dormants et portes de provenance

Définition du problème : Canaux dormants

L'article identifie une nouvelle classe de menaces dans les agents IA autonomes « toujours actifs » (par exemple, OpenClaw, Hermes Agent), appelée Canaux dormants. Contrairement à l'injection de prompt traditionnelle, qui se produit généralement au sein d'un seul tour ou d'une seule session, une attaque par canal dormant découple la réception ($T_0$) de l'effet ($T_1$) dans le temps, les substrats de stockage et les surfaces de communication.

Dans ce scénario, une entrée non fiable (par exemple, provenant d'un chat de groupe ou d'un e-mail) est ingérée par l'agent et persiste sous forme de note de mémoire, de compétence auto-rédigée, de tâche planifiée ou de correctif de système de fichiers. Cet artefact survit au sein de la frontière d'autorité de l'agent jusqu'à ce qu'un déclencheur bénin (tel qu'une demande ultérieure du propriétaire ou une boucle autonome) le récupère et l'exécute. L'attaque se déclenche via une surface différente de celle de la réception, exploitant souvent la condition du « subordonné confus » où l'agent exécute une commande au nom du propriétaire, ignorant que les paramètres de la commande proviennent d'une source non fiable.

Les auteurs définissent la classe en utilisant deux axes :

1. Substrat de persistance : Endroit où l'instruction malveillante survit (Mémoire, Compétence auto-rédigée, Système de fichiers, Déclencheur planifié/externe).
2. Séparation du déclenchement : Le degré de découplage entre la réception et l'exécution (Même session, Transversal aux canaux, Transversal aux acteurs, Transversal aux contextes d'exécution).

L'article soutient que la littérature existante traite ces capacités de manière isolée (par exemple, injection sur un seul tour ou empoisonnement de la mémoire) et ne parvient pas à aborder la menace unifiée de la persistance multi-substrats combinée à un déclenchement différé et transversal aux surfaces.

Méthodologie et modèle de menace

Les auteurs adoptent un modèle de menace où l'attaquant est « non fiable mais admis », ce qui signifie que son contenu atteint l'agent via des canaux activés mais à faible confiance (chats de groupe, e-mails, URL récupérées). Le défenseur est le propriétaire de l'agent. L'analyse est ancrée sur un commit spécifique épinglé du runtime OpenClaw (commit 3120401f...1829b1b6), toutes les affirmations étant vérifiées par rapport au code source fourni.

L'article présente une taxonomie (Tableau I) faisant correspondre les substrats de persistance ($M_1$–$M_5$) aux séparations de déclenchement ($C_0$–$C_4$). Il met en évidence quatre scénarios illustratifs que les travaux antérieurs sous-spécifient :

• A4 (Exemple en cours d'exécution) : Une attaque « Cron via subordonné confus » ($M_5 \times C_4$). Un attaquant intègre une URL de webhook malveillante dans un e-mail. L'agent résume cela dans la mémoire. Quelques jours plus tard, le propriétaire demande à l'agent de « configurer cette vérification de santé quotidienne ». L'agent récupère la note, synthétise une tâche cron avec l'URL de l'attaquant et l'exécute. La persistance est l'entrée cron ; le déclenchement se produit dans le démon cron du système, en dehors du processus de l'agent.
• A2 : Un trojan de compétence via chat de groupe ($M_3 \times C_2$).
• A3 : Exfiltration transversale aux canaux via la mémoire ($M_2 \times C_2$).
• A5 : Correctif de fichier pointillé ($M_4 \times C_4$).

Contributions clés : La défense par provenance (D2)

L'article propose une stratégie de défense à plusieurs niveaux, D2 étant la contribution centrale. D2 déplace la frontière d'application en dehors de la boucle du modèle, reposant sur le suivi de la provenance et l'attestation d'instance d'action.

Mécanismes principaux

1. Étiquetage et propagation des artefacts : Le runtime maintient un état de provenance ($\Pi$) pour chaque artefact (mémoire, compétences, fichiers, appels d'outils). Les étiquettes ($\tau$) enregistrent la source (Canal, Principal, Appareil). Les entrées non fiables élargissent strictement l'ensemble de la provenance.
2. Résumé d'instance d'action : Chaque action conséquente $\alpha$ est hachée en un résumé canonique $\delta(\alpha)$ en utilisant une fonction de hachage résistante aux collisions (SHA-256) sur les octets d'action normalisés (incluant les arguments et la cible). Cela permet de contrer le « lavage par paraphrase » où un modèle réécrit l'instruction d'un attaquant pour dissimuler son origine.
3. Crochets de médiation : La défense nécessite une médiation complète via dix crochets d'exécution (H1–H10).
   • Crochets de mise à jour (H1–H5) : Peuplent les étiquettes et propagent la provenance lors de la réception et de la création.
   • Crochets de porte (H6–H10) : Points de décision avant les dispatchs ayant des effets secondaires (par exemple, exécution de shell, écriture de fichiers, planification).
4. Attestation propriétaire en un seul tir : Pour les actions ayant une provenance non fiable, la porte exige une autorisation $g$ d'un principal de confiance. Cette autorisation doit correspondre au résumé d'action $\delta(\alpha)$, contenir un nonce unique (pour empêcher la rejoue) et arriver via un canal compagnon attesté par le matériel ($\Sigma$) que le modèle ne peut pas émettre.

Théorème de validité

Les auteurs fournissent un théorème de validité pour D2, en supposant sept invariants d'exécution (Médiation, Étiquette, Causalité, Canal, Authentification de l'autorisation, Nonce, Hachage). Le théorème stipule qu'un dispatch n'est autorisé que si :

• Tous les artefacts contributifs dans l'ensemble causal ont une provenance de confiance ($\Pi_\alpha \subseteq T$), OU
• Une attestation valide, fraîche et de confiance du propriétaire existe pour l'instance d'action exacte.

Cette conception garantit que même si le modèle est trompé pour générer une commande malveillante, la porte la refusera à moins que le propriétaire n'atteste explicitement de cette instance d'action spécifique via un canal sécurisé.

Résultats et évaluation

L'article ne revendique pas un système de production déployé, mais fournit un argument de faisabilité ancré sur le code source et une implémentation de référence exécutable.

• Sonde empirique (A4) : Dans une « sonde de fumée » de 20 essais à tir unique, un modèle de raisonnement de pointe a reçu l'avertissement de sécurité OpenClaw et le contexte malveillant. 19/20 des modèles ont émis un appel d'outil cron.add valide pointant vers l'URL de l'attaquant, démontrant que les avertissements en contexte (D1) sont insuffisants pour prévenir l'attaque.
• Implémentation de référence : Un artefact compagnon à github.com/maloyan/sleeper-channels comprend :
  • Une implémentation TypeScript de la fonction de décision de la porte D2.
  • Une suite d'audit statique (13 cas) vérifiant que les lignes de code citées dans OpenClaw existent et correspondent au modèle de menace.
  • Un adaptateur runtime implémentant les crochets H1, H2, H3, H6 et H9 autour du chemin cron.
  • Une suite de tests de 42 cas couvrant les règles de décision, le lavage multi-entrées et la rejoue d'autorisation.
• Vérification : L'adaptateur runtime a démontré avec succès que l'appel d'attaquant A4 est refusé en raison d'une provenance non fiable, tandis que les tâches cron propriétaires bénignes sont admises.

Importance et revendications

L'article se positionne comme un article de position et de conception qui corrige la classe de menace des canaux dormants et fournit une spécification formelle pour la défense.

• Nouveauté : C'est le premier travail à traiter la combinaison de la persistance multi-substrats et du déclenchement différé, transversal aux surfaces, comme une classe de menace unifiée dans les agents en direct du système d'exploitation.
• Placement de la défense : Il soutient que les signaux de provenance doivent être appliqués en dehors de la boucle du modèle. S'en remettre au modèle pour refuser les entrées non fiables (D1) est fragile face aux attaques adaptatives.
• Formalisme : Il introduit un théorème de validité et un résumé canonique d'instance d'action pour contrer le lavage par paraphrase et les attaques par rejoue, comblant les lacunes des propositions antérieures de la communauté (par exemple, problème en amont [10]) qui manquaient de fondement empirique et de spécifications formelles d'application.
• Modestie : Les auteurs déclarent explicitement que les taux de succès empiriques des attaques, l'efficacité du déploiement complet et les compromis coût-utilité sont reportés à une étude de suivi préenregistrée. Le travail actuel établit la taxonomie, la défense formelle et la faisabilité de l'attaque et de la défense sur un commit d'exécution spécifique.