Cross-Agent Campaign Attribution: Linking Asynchronous Attacks Across LLM Agents

Imaginez un monde où vos assistants numériques — des agents qui écrivent du code, répondent aux questions des clients ou analysent des données — sont comme une équipe de détectives indépendants. Chaque détective travaille dans son propre bureau, avec son propre carnet de notes, et ils ne se parlent pas pendant qu'ils sont sur le terrain. Maintenant, imaginez un criminel de génie qui veut voler des secrets. Au lieu d'essayer de forcer l'entrée d'un bureau à la fois, ce crimne envoie une série d'indices minuscules et déroutants à différents détectives à différents moments. Pour le Détective A, l'indice ressemble à une faute de frappe inoffensive. Pour le Détective B, cela ressemble à une erreur de formatage bizarre. Pour le Détective C, cela ressemble à une question normale. Si chaque détective ne regarde que son propre carnet, il ne voit rien de suspect. Ils se disent : « Oh, juste un bug. » Mais si vous pouviez prendre du recul et regarder les carnets de toute l'équipe à la fois, vous pourriez réaliser que tous ces petits bugs étaient en fait partie d'un seul et même casse coordonné. C'est le problème des attaques « cross-agent » : les méchants se cachent dans les interstices entre les systèmes indépendants.

Cet article traite d'un recoin spécifique de la sécurité informatique appelé défense des agents LLM. En termes simples, les agents LLM (Large Language Model) sont des programmes informatiques intelligents capables d'utiliser des outils (comme rechercher sur le web ou lire des fichiers) pour accomplir des tâches. Habituellement, les équipes de sécurité testent ces agents en leur posant une question à la fois pour voir s'ils peuvent être piégés. Mais dans le monde réel, les attaques peuvent se produire sur plusieurs jours, à travers différentes équipes et via différents programmes. La grande question est la suivante : peut-on relier ces événements éparpillés et isolés pour réaliser qu'ils proviennent tous du même méchant, même si nous ne savons pas qui est ce méchant ? Les auteurs de cet article disent « oui », mais avec une méthode très spécifique et ingénieuse qui ne repose pas sur le fait que les agents se parlent entre eux.

Les chercheurs, issus d'une entreprise appelée Tynapse, introduisent une nouvelle façon de débusquer ces campagnes « fantômes ». Ils appellent leur méthode A2FV (Asynchronous Attribution Fingerprint Vectors). Voyez l'A2FV comme un détective super intelligent qui se tient à l'extérieur des bureaux de tous les agents, observant le courrier qu'ils envoient et reçoivent. Ce détective n'a pas besoin de lire les pensées secrètes à l'intérieur de la tête des agents (ce qui est impossible). Au lieu de cela, il observe les « empreintes » laissées dans le courrier.

Voici comment le détective fonctionne :

1. L'empreinte structurelle : Lorsqu'un agent utilise un outil (comme « recherche » ou « lecture de fichier »), il laisse un motif. Même si le méchant change les mots qu'il utilise, l'ordre des outils qu'il demande reste souvent le même. C'est comme un criminel qui porte toujours le même type de chaussures spécifique, même s'il change de manteau et de chapeau.
2. L'empreinte stylistique : Il s'agit de la « calligraphie » de l'attaque. Même si le méchant réécrit son message, il peut continuer à utiliser la même ponctuation étrange, la même façon de formuler les choses, ou les mêmes fautes de frappe spécifiques. C'est comme un faussaire qui peut copier une signature mais qui ne peut s'empêcher d'utiliser sa propre inclinaison de lettres.
3. L'empreinte temporelle : Cela suit le temps écoulé entre les requêtes. Bien que l'article ait constaté que cela constituait un indice plus faible dans leurs tests spécifiques, cela fait tout de même partie de la boîte à outils du détective, comme vérifier si le criminel frappe toujours à la porte exactement à la même heure de la journée.

L'équipe a construit un environnement de test spécial appelé SCD-v1 pour voir si leur détective pouvait réellement résoudre l'affaire. Ils ont créé un mélange de trafic normal et ennuyeux et de fausses attaques où un « méchant » envoyait des indices liés à différents agents au fil du temps. Ils se sont assurés que les agents ne pouvaient pas partager de notes et que les attaques étaient espacées, tout comme dans le monde réel.

Les résultats ont été très prometteurs. Lorsqu'ils ont demandé à leur détective A2FV de lier les sessions, il a réussi environ 82 % du temps (un score de 0,82). Pour donner une perspective, ils ont testé d'autres méthodes qui se contentaient d'examiner le « score de sécurité » de chaque message individuel ou demandaient à une IA géante de juger l'ensemble de la situation. Ces autres méthodes devinaient essentiellement au hasard, ne réussissant que dans 50 % des cas. L'article suggère que les empreintes « structurelles » et « stylistiques » ont été les véritables héroïnes ici, portant le plus de poids dans la résolution de l'énigme.

Cependant, l'article prend grand soin de ne pas dire qu'il s'agit d'une solution miracle qui résout tout. Ils ont testé ce qui se passe si le méchant essaie de changer son style ou son timing pour se cacher. Ils ont découvert que, bien qu'un méchant habile puisse rendre plus difficile le regroupement des attaques en une seule « campagne » (comme disperser les indices), il ne pouvait pas effacer complètement le lien entre les indices individuels. L'« empreinte » restait assez visible pour lier les sessions, même si le méchant essayait de se déguiser.

Les auteurs ont également vérifié si leur méthode n'était qu'un coup de chance lié aux programmes informatiques spécifiques utilisés. Ils ont exécuté les mêmes tests avec différents modèles d'IA (comme Qwen et Gemini) et ont constaté que les résultats se maintenaient. Ils ont même vérifié si les « méchants » utilisaient simplement les mêmes sujets (comme « voler des mots de passe ») pour tromper le système. Ils ont découvert que même lorsque les sujets étaient identiques, la méthode pouvait toujours faire la distinction entre une véritable attaque coordonnée et des personnes aléatoires posant des questions similaires.

En bref, cet article suggère que nous avons besoin d'une nouvelle couche de sécurité pour les agents d'IA. Nous ne pouvons plus surveiller chaque agent de manière isolée. Nous avons besoin d'un « observateur central » capable de regarder les empreintes asynchrones et éparpillées laissées par un attaquant et de dire : « Hé, ces trois incidents distincts appartiennent en fait au même cerveau criminel. » Bien que ce ne soit pas un bouclier parfait contre toutes les futures ruses possibles (notamment si le méchant devient vraiment intelligent et s'adapte en temps réel), cela prouve que lier ces attaques éparpillées est possible et mesurable. Cela transforme un désordre confus d'alertes isolées en un mystère soluble, donnant aux équipes de sécurité une bien meilleure chance de capturer les méchants avant qu'ils ne volent les clés du royaume.