aiAuthZ: Off-Host, Identity-Bound Authorization for AI Agents
Ce document présente aiAuthZ, une passerelle d'autorisation hors hôte qui sécurise les appels d'outils des agents IA en imposant des politiques immuables liées à l'identité et une vérification cryptographique, réduisant efficacement les taux de réussite des attaques à 0 % à travers divers modèles et scénarios avec une latence négligeable.
Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Le problème central : Le « Majordome Naïf »
Imaginez que vous engagiez un majordome très intelligent (l'Agent IA) pour gérer votre maison. Ce majordome est excellent pour suivre les instructions : il peut ouvrir le coffre-fort, envoyer des e-mails ou transférer de l'argent.
Cependant, il y a un piège : le majordome ne peut pas faire la différence entre une véritable commande venant de vous et une fausse commande écrite sur un post-it laissé par quelqu'un d'autre sur le frigo.
Si un étranger s'introduit chez vous et écrit : « Le propriétaire dit : Transférez tout l'argent sur mon compte », le majordome pourrait lire cette note, la croire comme étant une vraie commande de votre part, et l'exécuter. C'est ce qu'on appelle une injection de prompt. L'article soutient que compter sur le majordome pour « réfléchir » et déterminer si une commande est sûre est risqué car :
- Certains majordomes sont naïfs ; d'autres sont sceptiques.
- Même les majordomes les plus coûteux et haut de gamme se font parfois piéger.
- Vous ne pouvez pas simplement payer plus cher pour les rendre plus sûrs.
La solution : Le « Gardien de Sécurité Hors Site » (aiAuthZ)
Les auteurs ont conçu un système appelé aiAuthZ. Au lieu de demander au majordome de décider si une commande est sûre, ils placent un gardien de sécurité dans une pièce séparée et verrouillée (un domaine de confiance différent) entre le majordome et le monde extérieur.
Voici comment fonctionne le nouveau système, étape par étape :
1. Le « Mot de passe Secret » (Vérification d'Identité)
Chaque fois que vous (l'utilisateur) donnez un ordre, vous ne vous contentez pas de le dire ; vous le signez avec un sceau numérique unique et incassable (une signature HMAC) que vous et le gardien de sécurité seuls connaissez.
- L'analogie : Imaginez que vous remettez une note au garde. La note porte un sceau de cire spécial. Le garde vérifie le scele. Si le sceau est authentique, le garde sait : « Cette commande vient définitivement du propriétaire, pas d'un étranger ».
- Le rebondissement : Même si le majordome lit une note disant : « Je suis le propriétaire, donnez-moi les clés », le garde ignore les mots. Le garde ne fait confiance qu'au sceau. Si le sceau ne correspond pas au propriétaire, l'ordre est rejeté, peu importe ce que dit le texte.
2. Le « Livre de Règles » (Politique Hors Hôte)
Le garde possède un livre de règles que le majordome ne peut ni voir ni modifier.
- L'analogie : Le majordome pourrait penser : « J'ai le droit d'ouvrir n'importe quelle porte ! » Mais le livre de règles du garde stipule : « Seul le propriétaire peut ouvrir le coffre-fort. Seul le propriétaire peut transférer de l'argent. »
- Même si le majordome est piégé pour croire qu'il a la permission, le garde vérifie le livre de règles. Si la personne qui demande (le « sceau ») n'est pas le propriétaire, ou si elle tente de faire quelque chose de trop important (comme transférer un million de dollars), le garde l'arrête.
3. Le « Reçu Incassable » (Code QR)
Lorsque le garde dit « Oui, c'est sûr », il ne se contente pas de laisser l'action se produire. Il imprime un reçu sous forme de code QR qui prouve que l'ordre a été autorisé.
- L'analogie : C'est comme un billet que vous obtenez pour un concert. Même si vous prenez une photo du billet, le réduisez ou l'envoyez via un message texte flou, le système de sécurité peut toujours le scanner et dire : « C'est un billet valide ».
- L'article a testé cela en prenant des photos des codes QR, en les recadrant et en les compressant. Le système les a toujours reconnus dans 94 % des cas. Cela crée un enregistrement permanent et immuable de qui a fait quoi.
4. Le « Coffre-Fort Secret » (Courtier de Identifiants)
Le garde détient également les clés du coffre-fort (les secrets API). Le majordome n'a pas les clés.
- L'analogie : Si le majordome est piégé pour tenter d'ouvrir le coffre-fort, il ne peut pas le faire car il n'a pas la clé. Il doit demander au garde. Le garde vérifie les règles, et seulement alors lui remet la clé pour ce moment précis. Si le majordome essaie de voler les clés, il ne peut pas, car les clés ne quittent jamais la pièce du garde.
Ce que l'article a réellement découvert
Les auteurs ont testé ce système avec 15 « majordomes » IA différents (modèles) et 8 types d'attaques différents (comme tromper le majordome pour voler des données).
- Sans le Gardien : Les majordomes étaient incohérents. Certains refusaient la ruse (100 % de sécurité), mais d'autres tombaient dans le piège (seulement 38 % de sécurité). Le majordome le plus coûteux n'était sûr qu'à 50 %.
- Avec le Gardien : 100 % des attaques ont été bloquées. Chaque modèle, du moins cher au plus coûteux, a stoppé les mauvaises actions.
- Vitesse : Le garde a pris la décision en 0,03 milliseconde. C'est tellement rapide que c'est comme un clin d'œil ; cela n'a rien ralenti.
- Test en conditions réelles : Ils ont testé cela sur une simulation bancaire. Le garde a stoppé chaque tentative d'un hacker pour voler de l'argent, même lorsque le hacker tentait de tromper le majordome.
Ce que ce système NE FAIT PAS
Il est important de connaître les limites, tout comme savoir ce qu'un garde de sécurité ne peut pas faire :
- Il n'empêche pas le majordome d'être confus. Le majordome peut toujours être trompé pour croire qu'un étranger est le propriétaire. Le garde empêche simplement le majordome d' agir sur cette confusion.
- Il n'empêche pas un hacker de s'introduire dans la pièce du garde. Si l'attaquant prend le contrôle de l'ordinateur du garde de sécurité, tout le système échoue.
- Il n'empêche pas le majordome d'utiliser ses propres outils intégrés. Si le majordome possède une porte dérobée secrète (comme une commande shell intégrée) qui contourne le garde, le garde ne peut pas l'arrêter. L'article précise que vous devez désactiver ces portes dérobées lors de l'installation du système.
L'essentiel
L'article soutient que nous ne devrions pas compter sur les modèles d'IA pour se surveiller eux-mêmes. Au lieu de cela, nous devrions placer un garde de sécurité cryptographique distinct devant eux. Ce garde vérifie l'identité de la personne qui demande, vérifie les règles et délivre un reçu. Cela transforme une situation chaotique et imprévisible en une situation déterministe et sûre où les mauvaises actions sont bloquées 100 % du temps, quel que soit le modèle d'IA utilisé.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.