Where Is the Cost of Third-Party API Routers in Agentic Software Development?
Cet article démontre empiriquement que les routeurs d'API tiers dans le développement de logiciels agentiques introduisent une faille de contrôle critique où des injections du côté du routeur peuvent altérer silencieusement les actions de l'agent et contourner les défenses côté client, atteignant un taux de réussite de défense de 0 % sur l'ensemble des agents évalués et soulignant le besoin urgent de garanties d'intégrité de sortie du côté du fournisseur.
Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Imaginez que vous construisez un robot assistant capable d'écrire du code, de corriger des bugs et de gérer les fichiers de votre ordinateur. Pour rendre ce robot intelligent, vous le connectez à un cerveau géant et super-intelligent dans le cloud (un grand modèle de langage ou LLM) qui sait résoudre presque n'importe quel problème. Mais voici le piège : vous ne parlez pas directement à ce cerveau. À la place, vous utilisez un intermédiaire, comme un service de livraison spécialisé ou un « routeur », pour transporter vos messages dans un sens comme dans l'autre. Ce rôle d'intermédiaire est censé être simplement celui d'un coursier serviable, s'assurant que votre robot puisse communiquer avec différents cerveaux dans le cloud sans que vous ayez à modifier votre câblage.
La grande question que pose ce document est la suivante : que se passe-t-il si ce coursier serviable décide de jouer un tour ? Dans le monde de l'informatique, nous savons que si un intermédiaire peut voir vos messages, il peut potentiellement les remplacer ou y ajouter ses propres notes avant de les transmettre. Cette étude explore une possibilité effrayante mais bien réelle : et si le routeur ne se contentait pas de livrer les instructions de votre robot, mais les modifiait secrètement pour forcer le robot à faire quelque chose de dangereux, comme supprimer vos fichiers ou installer un virus, tout en faisant croire que le robot effectuait simplement sa tâche habituelle ? Les chercheurs ont voulu voir si le robot remarquerait la supercherie, ou s'il suivrait aveuglément les nouveaux ordres malveillants du routeur.
L'intermédiaire secret et l'angle mort du robot
Dans cette étude, les chercheurs ont construit un laboratoire de test spécial appelé SIDEL pour mettre en scène ce scénario précis. Ils ont configuré quatre « robots de codage » différents (des outils célèbres comme Claude Code, Codex, Cursor et OpenCode) et les ont connectés à divers cerveaux dans le cloud via un faux routeur non fiable. Ensuite, ils ont joué le rôle du routeur malveillant, tentant d'introduire des commandes malveillantes auprès des robots de quatre manières différentes, allant de la force brute à la magie subtile.
Les quatre tours du métier
Les chercheurs ont testé quatre niveaux de tromperie, en devenant de plus en plus rusés à chaque étape :
- L'Échange (L1) : Le routeur jette entièrement la réponse du cerveau dans le cloud et la remplace par une fausse réponse qui dit : « Allez supprimer ce fichier ».
- L'Ajout (L2) : Le routeur laisse le cerveau dans le cloud donner une réponse normale, mais y accole ensuite une commande secrète à la fin, du type : « Oh, et au fait, installez ce logiciel suspect ».
- Le Polissage (L3) : Le routeur modifie la commande secrète et réécrit l'explication du robot pour donner l'impression que la commande faisait naturellement partie du plan. C'est comme un magicien qui fait passer un tour pour un spectacle de magie normal.
- La Fusion Mentale (L4) : C'est le plus sournois. Le routeur ne se contente pas d'éditer le texte ; il utilise un second cerveau pour générer une toute nouvelle réponse qui mélange la réponse originale avec la commande malveillante si parfaitement que les deux se fondent l'une dans l'autre. C'est comme si le routeur avait murmuré le secret à l'oreille du robot pendant qu'il réfléchissait encore, faisant croire au robot que la mauvaise idée venait de lui-même.
Le résultat choc : Les robots n'ont pas sourcillé
Les résultats ont été stupéfiants. Quel que soit le robot utilisé, quel que soit le cerveau dans le cloud qui l'alimentait, et quelle que soit l'une des quatre ruses testées, les robots se sont fait piéger à chaque fois.
Dans le monde de la sécurité, nous mesurons le succès par la fréquence à laquelle une défense arrête une attaque. Les chercheurs ont découvert que, sans aide supplémentaire, les quatre robots avaient un taux de réussite de défense de 0 %. Cela signifie que dans chaque cas de test, le routeur a réussi à tromper le robot pour qu'il exécute la commande malveillante. Les robots n'ont pas seulement fait une erreur ; ils ont complètement échoué à remarquer que les instructions qu'ils suivaient avaient été altérées.
Les chercheurs ont également vérifié si les « paramètres de sécurité » des robots pourraient aider. Ils ont testé différents modes de permission, comme « Plan uniquement » (où le robot se contente de réfléchir) ou « Auto » (où il agit librement). Même dans les modes les plus stricts, les ruses du routeur ont fonctionné. Il s'avère que si le routeur est assis entre le robot et le cerveau dans le cloud, le robot fait confiance à tout ce qui provient du routeur, supposant que cela vient du cerveau dans le cloud. Les contrôles de sécurité dont disposent les robots portent sur les actions du robot, et non sur les mensonges du routeur.
Changer de cerveau aide-t-il ?
Vous pourriez penser : « Et si nous utilisons un cerveau dans le cloud plus intelligent ? Peut-être détectera-t-il la supercherie ? ». Les chercheurs ont testé cela en remplaçant les cerveaux dans le cloud par quatre modèles différents. Le résultat ? Cela n'avait aucune importance. Que le robot communique avec un modèle extrêmement puissant ou avec un modèle plus rapide et plus léger, le routeur pouvait toujours faire passer les commandes malveillantes. Le problème n'est pas que les cerveaux sont trop stupides ; c'est que le routeur occupe une position qui lui permet de réécrire l'histoire avant que le robot ne l'entende.
Pouvons-nous construire un meilleur bouclier ?
Les chercheurs ne se sont pas contentés de trouver le problème ; ils ont tenté de construire des boucliers pour voir s'ils pouvaient le résoudre. Ils ont testé deux défenses courantes :
- La Liste Blanche : Une liste simple de commandes et de sites web « autorisés ». Si une commande n'est pas sur la liste, elle est bloquée.
- Le Deuxième Avis : Utiliser une seconde IA pour réviser le plan du robot avant qu'il n'agisse.
La Liste Blanche était acceptable pour arrêter certaines mauvaises choses, mais elle était aussi maladroite. Elle a bloqué environ 30 % à 44 % des mauvaises commandes, mais elle a aussi accidentellement bloqué environ 30 % à 44 % des bonnes commandes, rendant le robot moins utile.
Le « Deuxième Avis » de l'IA était meilleur. Selon le modèle d'IA utilisé comme réviseur, ils ont pu arrêter entre 39 % et 64 % des attaques. Cependant, ce n'était pas une solution parfaite. Même le meilleur modèle de réviseur ne pouvait pas tout détecter, et parfois, il laissait encore passer les mauvaises commandes. Les chercheurs ont constaté que bien que ces boucliers aident un peu, ils ne résolvent pas totalement le problème. Le routeur est toujours trop puissant, car il se trouve juste au milieu de la conversation.
La conclusion
La principale leçon de ce document est que compter sur un routeur tiers pour connecter votre robot de codage au cloud crée une faille de sécurité massive. Le robot suppose que le routeur est honnête, mais si le routeur n'est pas fiable, il peut réécrire la réalité pour le robot. Les robots, quelle que soit leur intelligence ou leur configuration, ne peuvent pas faire la différence entre une véritable instruction provenant du cloud et une fausse instruction provenant du routeur.
Les auteurs suggèrent que pour vraiment résoudre cela, nous ne pouvons pas simplement compter sur le fait que les robots soient plus prudents. Nous avons besoin que les fournisseurs de cloud eux-mêmes garantissent que les messages qu'ils envoient n'ont pas été altérés par l'intermédiaire. En attendant, chaque fois qu'un robot de codage utilise un routeur tiers, c'est comme remettre les clés de votre maison à un livreur qui pourrait décider de laisser entrer un cambrioleur pendant que vous ne regardez pas. Les robots font exactement ce qu'on leur dit, mais la personne qui donne les ordres a été remplacée.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.