Attaque inédite entre agents IA : l'ADK de Google sous le feu des critiques

Comment l'attaque entre agents a fonctionné

Le dépôt GitHub google/adk-python contenait deux classes d'agents IA automatisés avec des niveaux de privilèges différents :

• Un agent de tri à faible privilège et exposé au public pouvant interagir avec quiconque soumettait un ticket GitHub.
• Un agent de correction de code hautement privilégié (/adk-issue-fix) disposant d'un accès en écriture au dépôt et pouvant modifier les demandes de tirage (pull requests).

La chaîne d'exploitation s'est déroulée comme suit :

1. Un attaquant a soumis un ticket GitHub malveillant contenant une injection de prompt déguisée en rapport de bogue légitime .
2. L'agent de tri à faible privilège a traité le ticket et a été trompé par l'invite injectée pour appeler l'agent de correction de code hautement privilégié en postant la commande /adk-issue-fix .
3. L'agent privilégié a ensuite exécuté les instructions malveillantes de l'attaquant, ce qui pouvait inclure l'extraction du GITHUB_TOKEN (exposant des informations d'identification sensibles) et la falsification des revues de demandes de tirage — empoisonnant ainsi la chaîne d'approvisionnement logicielle .

Les chercheurs ont décrit cela comme une "défaillance de la frontière de privilège entre agents" — l'agent de faible privilège pouvait franchir une frontière de confiance et invoquer un workflow hautement privilégié qu'il n'aurait pas dû être capable d'appeler . Selon The Hacker News, les chercheurs ont démontré une exécution de code arbitraire sur l'infrastructure d'intégration continue, le compte adk-bot — identifié comme un collaborateur — servant de pont d'autorisation .

La réponse de Google

Après que Pillar Security a divulgué les vulnérabilités, Google a pris les mesures suivantes :

• Supprimé trois workflows d'agents IA du dépôt Python ADK impliqués dans la chaîne d'exploitation .
• Corrigé les problèmes pour empêcher la voie d'escalade des privilèges .

Google n'a pas contesté les conclusions et a agi rapidement pour supprimer l'automatisation vulnérable .

Préoccupations de sécurité plus larges pour les systèmes multi-agents

Cet incident a mis en évidence plusieurs risques systémiques qui s'étendent bien au-delà de l'ADK de Google :

Les frontières de confiance entre agents sont fondamentalement faibles. Lorsqu'un agent peut en invoquer un autre avec des privilèges plus élevés, l'injection de prompt dans l'agent de moindre privilège devient un vecteur d'attaque de la chaîne d'approvisionnement . L'agent de faible privilège exposé à Internet pouvait être manipulé par injection de prompt pour franchir cette frontière et invoquer l'agent hautement privilégié en son nom .

L'injection de prompt est un défaut systémique du framework, et non simplement un défaut du modèle. Des recherches de Check Point publiées simultanément ont révélé près d'une douzaine de failles critiques dans les principaux frameworks d'agents IA, concluant que "le contenu contrôlé par des invites peut manipuler le comportement des agents d'une manière qui contourne les contrôles de sécurité prévus" . Les chercheurs ont passé un an à analyser les frameworks d'agents et ont découvert que, dans de nombreux cas, le contenu contrôlé par des invites pouvait franchir la frontière pour pénétrer dans la logique même du framework de confiance .

La classe d'attaque est nouvelle et ne peut pas être corrigée par les modèles seuls. Même si les LLM individuels sont sécurisés contre l'injection de prompt, la conception architecturale des systèmes multi-agents — où les agents font implicitement confiance aux messages provenant d'autres agents — crée de nouvelles surfaces d'attaque qui nécessitent des contrôles de sécurité au niveau du framework .

La définition des autorisations par défaut dans les frameworks d'agents est souvent trop permissive. Sans frontières de privilèges strictes entre les agents, des exploits similaires sont probables sur d'autres plateformes. Des recherches de Palo Alto Networks publiées plus tôt en 2026 ont révélé que la définition des autorisations par défaut dans Vertex AI de Google Cloud pouvait permettre à un agent compromis d'obtenir un accès privilégié aux données et à l'infrastructure .

Implications pour la sécurité de l'IA

Alors que les organisations déploient de plus en plus de systèmes multi-agents pour la revue de code, l'intégration continue et l'automatisation interne, l'incident de l'ADK sert d'avertissement critique. L'attaque démontre que l'IA multi-agents introduit de nouvelles surfaces d'attaque qui nécessitent des contrôles de sécurité au niveau de l'architecture et du framework — et pas seulement au niveau du modèle ou de l'invite. Les équipes qui construisent des systèmes multi-agents devraient mettre en œuvre des frontières de privilèges strictes, valider les communications entre agents et traiter l'injection de prompt comme une vulnérabilité du framework plutôt que comme une bizarrerie du modèle.