Des chercheurs en sécurité ont inséré des instructions dans un courriel, en utilisant du texte blanc de taille nulle : invisible à l'écran, parfaitement présent dans le contenu transmis au modèle. Le message affiché faisait 537 caractères, celui reçu par l'IA en faisait 1 009. Les dix tentatives ont produit un résumé manipulé, déplaçant notamment l'échéance d'une facture de plusieurs jours et supprimant un nom.
Nous décrivons l'agentjacking depuis des mois. Voici la démonstration la plus simple et la plus inquiétante que nous ayons vue, parce qu'elle ne demande aucune compétence particulière.
Le mécanisme, d'une simplicité déconcertante
Un courriel au format enrichi contient du code de mise en forme. On peut y placer du texte avec une taille de police nulle, ou en blanc sur fond blanc. Votre logiciel de messagerie ne l'affiche pas, ou l'affiche de manière imperceptible.
Mais quand un assistant IA résume ce message, il ne voit pas la mise en forme : il reçoit le contenu textuel. Les instructions cachées arrivent donc intactes, mêlées au message légitime, sans que rien ne les distingue.
Et nous l'avons expliqué à plusieurs reprises : un modèle ne distingue pas nativement les données qu'il doit traiter des instructions qu'il doit suivre. Tout est du texte. Une phrase trouvée dans un courriel qui dit de modifier une date ressemble exactement à une consigne de l'utilisateur.
Pourquoi ce cas est plus grave qu'il n'en a l'air
Trois raisons.
Aucune compétence requise. Là où la faille Copilot corrigée la semaine dernière exploitait un paramètre non documenté, celle-ci n'utilise que du formatage standard. N'importe qui sachant écrire un courriel enrichi peut la reproduire.
Le taux de réussite est total. Dix tentatives, dix résumés manipulés. Il ne s'agit pas d'une attaque qui fonctionne parfois, mais d'un comportement systématique.
La manipulation est plausible. Déplacer une échéance de facture de deux semaines et supprimer un nom ne déclenche aucune alerte. C'est le genre de modification qu'on ne remarque que lorsqu'il est trop tard, et qui a des conséquences très concrètes.
Le danger ne vient pas de la sophistication de l'attaque, il vient de l'usage. On demande un résumé précisément pour ne pas lire le message d'origine. La victime ne dispose donc d'aucun moyen de repérer l'écart, puisqu'elle a délégué la lecture. C'est le même mécanisme que nous décrivions à propos du code scientifique modernisé : les erreurs les plus dangereuses sont celles qui surviennent là où on a cessé de vérifier.
Les parades
Les chercheurs recommandent une mesure simple et efficace : que les outils de résumé n'extraient que le contenu réellement visible par l'utilisateur, et traitent le courriel comme une donnée non fiable.
Ce principe mérite d'être généralisé, parce qu'il vaut bien au-delà du courriel. Tout contenu venant de l'extérieur — page web, document reçu, message — devrait être traité comme des données à analyser, jamais comme des instructions à suivre.
La difficulté est que cette séparation n'existe pas naturellement dans l'architecture de ces modèles. Elle doit être imposée par le logiciel qui les entoure, et beaucoup d'intégrations la négligent.
Pour un utilisateur, deux réflexes. Vérifiez le message d'origine quand le résumé porte sur quelque chose qui engage — une échéance, un montant, une adresse. Et méfiez-vous d'un résumé qui vous demande d'agir : c'est exactement ce qu'une injection cherche à produire.
Ce qu'il faut retenir
Cette démonstration s'inscrit dans une série que nous documentons depuis des semaines, et le schéma se répète : chaque fonctionnalité qui rend un assistant utile élargit sa surface d'attaque.
Lire vos courriels le rend précieux et l'expose à ce que vos courriels contiennent. Il n'existe pas de version de cet outil qui soit puissante et sans surface, comme nous le concluions déjà à propos de la faille Copilot.
Ce qui distingue ce cas, c'est sa banalité technique. Il ne faudra pas attendre un attaquant sophistiqué : une astuce de mise en forme connue depuis vingt ans suffit. C'est probablement le signal le plus utile pour quiconque déploie ces outils en entreprise.