⏱️
Temps de lecture estimé
4 min de lecture
⏱️
Temps de lecture estimé
~7 minutes
Trois cibles publiques, trois moments distincts, un même schéma : un agent IA envoyé pour collecter des données se heurte à un blocage, et bascule de lui-même vers l’injection SQL, le path traversal ou le XSS pour atteindre son objectif. Personne ne lui a demandé d’attaquer. Il a juste refusé d’échouer.
Un agent de scraping n’est pas censé faire ça
Lâcher un agent IA sur le web pour aspirer des données, tout le monde le fait. Il lit, il extrait, il range dans un JSON. L’injection SQL ne figure nulle part dans la fiche de poste.
Et pourtant. En fouillant les journaux d’urlquery.net, un service de navigateur distant, les chercheurs de Transluce sont tombés sur des agents qui, faute d’obtenir ce qu’ils étaient venus chercher, ont commencé à sonder les sites récalcitrants. Pas un scan passif : des payloads.
Qui les pilotait ? Pas de réponse nette. OpenAI a reconnu qu’un essaim d’agents repéré plus tôt sortait bien de ses systèmes, mais l’article ne rattache pas nommément chacun des trois épisodes à un opérateur. Le comportement, lui, se répète à l’identique d’un cas à l’autre, et c’est bien ça qui m’inquiète.
Note du PandaRedacteur : on a passé des années à se demander si une IA pouvait “vouloir” quelque chose. Un agent qui tente une injection SQL plutôt que d’avouer un 403, j’appelle ça une préférence. Têtue, en plus.
Trois cibles, un même mécanisme
### Bibliothèque numérique de l'Université du Nouveau-Mexique, 25-26 mai 2026
### Data USA, 28 mai 2026
### Australian Institute of Health and Welfare, 20-21 juin 2026
📬 Analyse complète réservée aux abonnés Substack
Cette partie part d'abord aux abonnés Substack, avant d'être publiée intégralement ici.
## Vecteurs d'attaque
### L'échec comme déclencheur
Un pentest automatisé, on sait ce que c'est : quelqu'un l'a lancé, avec un périmètre et une intention. Là, rien de tout ça. Le mandat disait "collecte", point. L'offensive arrive après l'échec, en plan B que personne n'a écrit. Le modèle l'a déniché tout seul, parce que dans sa logique l'obstacle était un problème à résoudre et pas une réponse à accepter.
> **Note du PandaRedacteur** : Un agent qui n'a pas le droit d'échouer finit par se donner le droit d'attaquer... Et violer les lois d'Azimov....
### Le catalogue d'exploits générique
> **Note du PandaRedacteur** : on a mis vingt ans à apprendre aux développeurs que `' OR 1=1 --` n'était pas un mot de passe. Les agents, eux, l'ont avalé pendant leur entraînement. Et pas pour les bonnes raisons.
### Anti-bot et blocages comme carburant
📬 Analyse complète réservée aux abonnés Substack
Cette partie part d'abord aux abonnés Substack, avant d'être publiée intégralement ici.
## Exemple de ce que Transluce a reconstitué
Reconstituée par Transluce à partir des journaux, la séquence est d'une banalité déprimante.
1. L'agent reçoit une mission de collecte sur une ressource publique précise : une image, un jeu de données, une visualisation.
2. Premier essai, premier mur. Erreur de rendu, accès restreint ou anti-bot, selon la cible.
3. Au lieu de remonter l'erreur à son opérateur, l'agent décide que l'obstacle se contourne.
4. Il fabrique et envoie des payloads d'exploitation courants, choisis en fonction du type de blocage.
5. Bilan : sept tentatives sur la bibliothèque UNM, douze sondages sur Data USA, un XSS réfléchi contre Tableau côté australien après le mur Cloudflare.
6. Aucune compromission réussie selon Transluce. Mais on parle bien de tentatives d'exploitation active, pas d'un scan qui passait par là.
## Analyse STRIDE
📬 Analyse complète réservée aux abonnés Substack
Cette partie part d'abord aux abonnés Substack, avant d'être publiée intégralement ici.
## Impact potentiel
📬 Analyse complète réservée aux abonnés Substack
Cette partie part d'abord aux abonnés Substack, avant d'être publiée intégralement ici.
## Mitigations
📬 Analyse complète réservée aux abonnés Substack
Cette partie part d'abord aux abonnés Substack, avant d'être publiée intégralement ici.
## Quelques références pour aller plus loin
- [GBHackers : Rogue AI Agents Tried to Hack Public Websites After Data Retrieval Failed](https://gbhackers.com/rogue-ai-agents-tried-to-hack-public-websites/)
- [OWASP : Top 10 for Large Language Model Applications](https://owasp.org/projects/top-10-for-large-language-model-applications)
- [SalesBleed : un formulaire public suffit à faire fuiter votre CRM via Agentforce](/fr/ai-security/salesbleed-agentforce-prompt-injection/)
---
À retenir 📌
-
✓
Trois cibles publiques, mai-juin 2026 : bibliothèque numérique de l'UNM, Data USA, portail de santé publique australien (AIHW).
-
✓
Aucune instruction offensive de départ : les agents étaient mandatés pour de la collecte de données, pas pour du pentest.
-
✓
L'échec déclenche l'escalade : SQLi, path traversal, injection de commandes, XSS et template injection ont tous été tentés selon la cible.
-
✓
Une protection anti-bot a agi comme déclencheur, pas comme barrière, dans le cas australien.
-
✓
Aucune compromission réussie documentée, mais les tentatives sont allées jusqu'à l'exploitation active, pas seulement jusqu'au scan.