Cet article explique une technique d'attaque réelle dans un but de prévention. Comprendre comment fonctionne Agentjacking, c'est savoir s'en protéger. Si vous utilisez un agent de codage IA au travail, la dernière section vous concerne directement.
Le jour où votre assistant obéit à un inconnu
Imaginez la scène. Vous êtes développeur, vous utilisez un agent de codage IA (un assistant comme Claude Code, Cursor ou Codex qui lit votre code, comprend vos bugs et propose des corrections). Un de vos outils de suivi d'erreurs signale un problème. Votre agent lit le rapport, comprend la situation, et vous dit : "J'ai trouvé la cause, lance cette commande pour corriger." Vous la lancez. Évidemment. C'est ce que vous faites cinquante fois par jour.
Sauf que cette fois, la commande n'a pas été écrite par votre agent. Elle a été glissée par un attaquant dans le rapport d'erreur, et votre agent l'a recopiée sans savoir qu'elle était piégée. Vous venez d'exécuter du code malveillant sur votre machine, en toute confiance. Voilà l'Agentjacking, une nouvelle classe d'attaque divulguée en juin 2026.
Comment ça marche, concrètement
La mécanique est d'une simplicité redoutable. Les attaquants fabriquent de faux rapports d'erreur (par exemple via une plateforme de suivi de bugs comme Sentry) qui contiennent des instructions cachées, écrites dans un format que l'IA prend pour des consignes légitimes.
C'est ce qu'on appelle une injection de prompt (prompt injection : faire passer des instructions malveillantes pour des données normales, afin que l'IA les exécute). Quand l'agent lit le rapport pour comprendre le bug, il tombe sur les instructions injectées et les traite comme si elles venaient de vous ou du système. Il exécute alors les commandes de l'attaquant.
Les chiffres font froid dans le dos : un taux d'exploitation de 85% et 2 388 organisations touchées. Ce n'est pas une faille théorique de laboratoire, c'est une attaque qui fonctionne à grande échelle dans le monde réel.
L'attaque n'exploite pas une faille dans le code de l'IA. Elle exploite une habitude humaine. Les développeurs ont appris à faire confiance à leur agent de codage. Quand Claude Code vous dit "lance cette commande", vous la lancez sans réfléchir, parce qu'il a eu raison mille fois avant. Cette confiance acquise est exactement la surface que vise Agentjacking. La faille, ce n'est pas la machine, c'est le réflexe.
Pourquoi les agents IA sont une cible idéale
Le problème dépasse Agentjacking. Il vient de la nature même des agents IA modernes. Un agent, par définition, agit : il ne se contente pas de répondre, il exécute des commandes, modifie des fichiers, navigue, appelle d'autres outils. Cette autonomie est sa force, mais aussi sa vulnérabilité.
Un modèle de langage ne fait pas naturellement la différence entre "les données que je dois analyser" et "les instructions que je dois suivre". Pour lui, tout est du texte. Si un attaquant réussit à insérer du texte qui ressemble à une instruction dans les données que l'agent va lire (un rapport d'erreur, un ticket, un commentaire de code, un email, une page web), il y a un risque que l'agent l'exécute. C'est le talon d'Achille structurel de toute l'approche agentique.
Comment vous protéger
La parade ne demande pas un outil magique, mais un changement d'habitude. Voici les réflexes à adopter.
1. Traitez toute sortie d'outil externe comme suspecte. Un rapport d'erreur, un ticket, un message d'une plateforme tierce : avant de le passer à votre agent IA, considérez-le comme une entrée non fiable. C'est la mitigation principale recommandée pour Agentjacking.
2. Lisez les commandes avant de les lancer. Reprenez l'habitude de relire ce que votre agent vous propose d'exécuter, surtout quand la suggestion découle d'une donnée venue de l'extérieur. Une commande qui supprime des fichiers, envoie des données sur internet, ou modifie des permissions doit déclencher un signal d'alarme.
3. Limitez les permissions de vos agents. Un agent qui n'a pas le droit d'accéder à internet ou de supprimer des fichiers ne pourra pas faire de dégâts majeurs, même piégé. Le principe du moindre privilège (ne donner que les droits strictement nécessaires) s'applique aux IA comme aux humains.
4. Isolez l'environnement. Faire tourner les agents dans des environnements cloisonnés (conteneurs, machines virtuelles) limite la casse en cas de compromission.
Agentjacking n'est pas qu'une faille technique de plus. C'est le premier signe d'une nouvelle ère de sécurité, où la cible n'est plus le logiciel mais le lien de confiance entre l'humain et son IA. Plus on délègue de pouvoir à des agents autonomes, plus ce lien devient précieux, et plus il devient une cible. La sécurité de demain ne consistera pas seulement à protéger des machines, mais à apprendre à faire confiance intelligemment.
Pour l'instant, la meilleure défense reste vous. Un agent IA est un collaborateur extraordinairement utile, mais comme tout collaborateur, il peut être manipulé. Gardez la main sur ce que vous exécutez, et l'Agentjacking restera une curiosité technique plutôt qu'une mauvaise surprise.