Menu

Mind viruses : quand l’agent infecté devient lui-même le vecteur de contamination

Catégories

Tags

🔍 Licence d'Utilisation 🔍

Sauf mention contraire, le contenu de ce blog est sous licence CC BY-NC-ND 4.0.

© 2025 à 2042 Sébastien Gioria. Tous droits réservés.

⏱️
Temps de lecture estimé
1 min de lecture
⏱️
Temps de lecture estimé
~4 minutes

Jusqu’ici, une prompt injection persistante compromettait un agent, une fois. Un preprint Anthropic/EPFL documente autre chose : un payload qui se recopie tout seul dans les fichiers de mémoire de l’agent, et infecte le suivant dans 55% des cas. C’est la différence entre un incident et une épidémie.

Un attaquant, une cible : c’était le modèle d’avant

J’ai documenté pas mal de prompt injections persistantes ces derniers mois. GhostCommit et son instruction planquée dans un PNG, GhostSplice et ses instructions fragmentées, Comment and Control et son issue GitHub. Toujours le même schéma : un attaquant place une charge, un agent la ramasse, l’agent fait une bêtise. Une cible, un incident.

Le preprint publié le 10 août par Anthropic et l’EPFL décrit autre chose. La charge ne se contente plus d’agir : elle se recopie. L’agent infecté écrit le payload dans ses propres fichiers de mémoire persistante ; ces fichiers sont relus par l’agent suivant, qui les recopie à son tour. L’attaquant atteint une cible, et le reste se débrouille tout seul.

Le payload ne cherche plus seulement à faire quelque chose. Il cherche à se reproduire.

Le vecteur le plus efficace s’appelle SOUL.md, un de ces fichiers d’état que les harnesses d’agents réinjectent dans le system prompt au démarrage de chaque session. Il concentre 88% des tentatives de propagation et infecte l’agent suivant dans 55% des cas, contre 17% pour un fichier ordinaire du workspace. Vider le contexte n’y change rien : la session suivante ira relire le fichier et se réinfecter proprement.

Dans la version longue : les quatre charges d’action testées, le test de survie sur 20 sauts, ce que la contre-mesure d’un seul paragraphe a réellement encaissé comme pression adverse, l’analyse STRIDE et les cinq mitigations que je recommande.

📬 Analyse complète réservée aux abonnés payants
L'analyse détaillée part d'abord aux abonnés payants de ma newsletter Substack, avant d'être publiée intégralement ici. Pour la lire en avant-première, c'est sur sgioria.substack.com.

AI Mind Viruses - Generée par IA

LinkedIn Reddit Substack