Les pièces que vous n'avez pas écrites

Une application IA moderne assemble des pièces venues d'ailleurs : des poids de modèle téléchargés, des bibliothèques, des serveurs MCP qui donnent des outils à l'agent, des jeux de données, parfois des prompts trouvés en ligne. Chacune est une porte d'entrée possible, et aucune n'a été relue par vous.

Les poids de modèle

Certains anciens formats de fichiers de modèle, fondés sur la sérialisation Python (« pickle »), peuvent exécuter du code à l'ouverture. Charger un modèle dans ce format depuis une source inconnue revient à lancer un programme inconnu. Les formats qui ne contiennent que des données, comme safetensors ou GGUF, ont été conçus pour éviter ce risque. Vérifiez aussi la provenance : un modèle republié par un compte anonyme sous un nom familier peut avoir été modifié.

Les serveurs MCP et les outils tiers

• Les descriptions d'outils sont lues par le modèle, comme une consigne. Un serveur malveillant peut y cacher des instructions : c'est ce qu'on appelle l'empoisonnement d'outil.
• Une description peut changer après votre validation : vous avez approuvé un outil inoffensif, une mise à jour le modifie.
• Des permissions trop larges : un serveur qui demande l'écriture sur tous vos dépôts pour une tâche de lecture.

Les paquets qui n'existent pas

Les modèles de code recommandent parfois des bibliothèques qui n'existent pas, avec des noms plausibles. Des études publiées en 2024 et 2025 ont montré que le phénomène est fréquent et, surtout, reproductible : le même nom inventé revient d'une requête à l'autre. Un attaquant peut donc enregistrer ces noms et y publier du code malveillant, qu'installera le prochain développeur qui fait confiance à la suggestion.

Les données

Un modèle peut être empoisonné, pendant son entraînement ou son affinage, par quelques documents piégés. Une étude publiée en octobre 2025 par Anthropic, l'institut britannique de sécurité de l'IA et l'Institut Alan Turing a montré qu'environ 250 documents suffisaient à implanter une porte dérobée dans des modèles de toutes les tailles testées, quel que soit le volume total de données. Un index documentaire alimenté par des sources ouvertes est exposé de la même façon.

Les défenses

• Un inventaire : savoir quels modèles, bibliothèques et serveurs vous utilisez, dans quelle version.
• Des versions figées et des mises à jour délibérées, jamais automatiques pour ce qui touche aux outils d'un agent.
• Une liste blanche de serveurs MCP, des descriptions relues, des permissions minimales, une exécution isolée.
• Vérifier qu'un paquet existe, qu'il est maintenu et largement utilisé avant de l'installer, surtout s'il a été suggéré par une IA.