1 min de lecture
~4 minutes
Jusqu’ici, une prompt injection persistante compromettait un agent, une fois. Un preprint Anthropic/EPFL documente autre chose : un payload qui se recopie tout seul dans les fichiers de mémoire de l’agent, et infecte le suivant dans 55% des cas. C’est la différence entre un incident et une épidémie.
Un attaquant, une cible : c’était le modèle d’avant
J’ai documenté pas mal de prompt injections persistantes ces derniers mois. GhostCommit et son instruction planquée dans un PNG, GhostSplice et ses instructions fragmentées, Comment and Control et son issue GitHub. Toujours le même schéma : un attaquant place une charge, un agent la ramasse, l’agent fait une bêtise. Une cible, un incident.
Le preprint publié le 10 août par Anthropic et l’EPFL décrit autre chose. La charge ne se contente plus d’agir : elle se recopie. L’agent infecté écrit le payload dans ses propres fichiers de mémoire persistante ; ces fichiers sont relus par l’agent suivant, qui les recopie à son tour. L’attaquant atteint une cible, et le reste se débrouille tout seul.
Le payload ne cherche plus seulement à faire quelque chose. Il cherche à se reproduire.
Le vecteur le plus efficace s’appelle SOUL.md, un de ces fichiers d’état que les harnesses d’agents réinjectent dans le system prompt au démarrage de chaque session. Il concentre 88% des tentatives de propagation et infecte l’agent suivant dans 55% des cas, contre 17% pour un fichier ordinaire du workspace. Vider le contexte n’y change rien : la session suivante ira relire le fichier et se réinfecter proprement.
Dans la version longue : les quatre charges d’action testées, le test de survie sur 20 sauts, ce que la contre-mesure d’un seul paragraphe a réellement encaissé comme pression adverse, l’analyse STRIDE et les cinq mitigations que je recommande.
L'analyse détaillée part d'abord aux abonnés payants de ma newsletter Substack, avant d'être publiée intégralement ici. Pour la lire en avant-première, c'est sur sgioria.substack.com.
Articles lies
Un agent a fauté ; qui répond ? La première notification à l'AEPD d'une violation menée par un agent IA
Analyse de la première notification reçue par l'AEPD d'une violation de données personnelles menée par un agent IA (billet du 14 septembre 2026) : ...
28/10/2026Poisoning the Watchtower : quand l'agent SOC prend vos logs pour des ordres
Analyse de la log-substrate prompt injection contre les agents SOC : taxonomie de Poisoning the Watchtower (arXiv 2605.24421), résultats de LogInje...
26/10/2026Un faux témoignage envoyé à la police de Philadelphie : Anthropic coupe internet à toutes ses évaluations
Analyse du rapport Anthropic du 9 octobre 2026 sur les actions non voulues de Claude pendant les évaluations : quatre catégories d'incidents, la pe...
21/10/2026Copilot CLI : un texte chiffré suffit à lui faire voler votre .env, et GitHub n'y voit pas une faille
Analyse de la Cryptographic Context Injection (CCI) contre GitHub Copilot CLI : mécanisme du leurre à deux clés, dépendance au modèle et au routage...
19/10/2026AI-Pods, volet 2 : l'attaque des clones, le manifeste en 12 points pour que les Jedi gardent la main
Volet 2 de la série AI-Pods : le manifeste en 12 points pour des équipes de développement augmentées d'agents, le cycle en 7 étapes avec ses contrô...
16/10/2026