💻 technology

Les liens de phishing construisent désormais des espions IA dans votre espace de travail

Un seul lien malveillant de ChatGPT pourrait installer discrètement un agent IA contrôlé par un attaquant dans l'espace de travail de votre entreprise, avec accès à vos e-mails, Slack et fichiers. Des chercheurs en sécurité de Zenity Labs ont prouvé le concept avant qu'OpenAI ne corrige le défaut en juin. Le bug, surnommé AgentForger, transformait les assistants IA en taupes corporatives suivant des commandes par e-mail.

Le vecteur d'attaque semble presque absurdement simple. Un employé clique sur ce qui ressemble à un lien légitime de ChatGPT, peut-être intégré dans un e-mail concernant la mise à niveau de leurs outils d'IA ou le test d'une nouvelle fonction. Ce simple clic déclenche le générateur d'agents de ChatGPT pour construire un assistant IA malveillant utilisant des paramètres cachés dans l'URL elle-même. L'agent se connecte à tous les services d'entreprise déjà reliés par l'employé (Outlook, Teams, Slack, Google Drive, SharePoint), désactive les invites de confirmation, se publie et commence à fonctionner selon un calendrier. Tout cela à l'insu de la victime. Zenity Labs, la société de sécurité qui a découvert cette vulnérabilité, l'appelle AgentForger car elle forge un initié plutôt que de voler des identifiants. Les attaques de phishing traditionnelles saisissent des mots de passe ou des jetons de session. Cette technique crée quelque chose de bien plus persistant : une IA autonome qui fonctionne grâce aux permissions légitimes de la victime et continue de fonctionner longtemps après la compromission initiale. L'agent malveillant n'a même pas besoin de se connecter à un serveur de commande et de contrôle. Il surveille simplement la boîte de réception de la victime pour des e-mails avec TÂCHE dans le sujet, traitant chacun comme une nouvelle mission. Les scénarios de preuve de concept que Zenity a démontrés ressemblent à une liste de vérification d'espionnage d'entreprise. L'agent voyou pourrait cartographier la structure d'une organisation en parcourant les calendriers, les historiques de chat et les partages de fichiers. Il pourrait rechercher des mots de passe et des clés d'API enfouis dans des messages Slack. Il pourrait envoyer des e-mails de phishing apparemment émanant du propre compte Teams de la victime, les rendant presque impossibles à identifier comme frauduleux. Les attaques de compromission des e-mails professionnels (BEC), où les attaquants se font passer pour des dirigeants pour autoriser des paiements frauduleux, deviennent triviales lorsque l'attaquant contrôle une IA qui a déjà accès aux canaux de communication de l'exécutif. OpenAI a corrigé la vulnérabilité quatre jours après le rapport de Zenity le 4 juin 2026. La société a supprimé le paramètre URL qui permettait aux attaquants d'injecter des instructions dans le générateur d'agents avant toute divulgation publique. C'est un temps de réponse remarquablement rapide, ce qui suggère qu'OpenAI comprenait immédiatement la gravité. Mais le patch ne concerne que cet exploit spécifique. Le problème plus large demeure : les agents IA passent de répondre à des questions à effectuer des actions sur les systèmes d'entreprise, et les équipes de sécurité n'ont aucun mode d'emploi pour cela. Michael Bargury, cofondateur et directeur technique (CTO) de Zenity, le présente comme un échec de confiance envers l'agent. Les contrôles de sécurité existants surveillent les identifiants volés, les emplacements de connexion suspects ou les transferts de données inhabituels. Ils ne sont pas conçus pour détecter un assistant IA qui opère dans ses permissions accordées, utilisant l'accès légitime de la victime, et se comportant exactement comme n'importe quel autre outil d'automatisation en milieu de travail. La surface d'attaque ne ressemble plus à des vulnérabilités logicielles ou à des intrusions réseau. Elle ressemble à votre main-d'œuvre, et la distinction entre un assistant IA utile et un assistant malveillant devient inconfortablement floue.

Mon avis

C'est le scénario cauchemardesque que tout le monde redoutait lorsque les entreprises ont commencé à brancher l'IA dans tout sans réfléchir au modèle de sécurité. Nous avons passé des décennies à construire des défenses périmétriques, une authentification multifactorielle et des systèmes de détection d'intrusion. Tout cela devient inutile lorsque la menace n'est pas de pénétrer mais de construire un assistant ayant l'apparence légitime que vos propres systèmes font implicitement confiance. La partie effrayante n'est pas que cette vulnérabilité ait existé (elle est corrigée maintenant). La partie effrayante est qu'elle révèle à quel point nous sommes mal préparés pour des agents IA qui agissent de manière autonome en notre nom. La réaction rapide d'OpenAI mérite des éloges, mais nous jouons à un jeu de taupe. Chaque nouvelle plateforme d'agent IA, chaque outil d'automatisation en milieu de travail, chaque intégration entre l'IA et les systèmes d'entreprise crée de nouvelles opportunités pour cette classe d'attaque. Les équipes de sécurité doivent commencer à considérer les agents IA comme des employés à haut risque avec un accès illimité, car c'est effectivement ce qu'ils sont. Le vieux modèle où vous protégez le périmètre et faites confiance à tout à l'intérieur est mort. Nous avons besoin d'architectures zero-trust qui supposent que chaque agent, chaque action automatisée et chaque assistant IA pourrait être compromis.

Et ensuite ?

Les vendeurs de sécurité se précipiteront pour proposer des outils de surveillance pour les agents IA, mais la plupart échoueront à résoudre le véritable problème. Le défi n'est pas de détecter un comportement anormal (ces agents opèrent dans des permissions légitimes). Le défi est d'établir la provenance : savoir quel agent a été créé par qui, quand, et pour quel but. Attendez-vous à ce qu'OpenAI et Microsoft introduisent des registres d'agents et des flux de travail d'approbation au cours du prochain trimestre, nécessitant probablement une approbation humaine pour tout agent ayant un accès en écriture aux données de l'entreprise. Google Workspace suivra dans les six mois. Le véritable test viendra lorsque la première grande violation en utilisant cette technique touchera une entreprise du Fortune 500, ce qui semble inévitable étant donné combien d'organisations ont déjà déployé des agents IA dans leurs opérations. Cette violation déclenchera une réponse réglementaire. L'Agence de Protection de la Vie Privée de Californie (CPPA) et les mécanismes d'application de la loi de l'Union Européenne sur l'IA qualifieront probablement les agents IA autonomes de systèmes à haut risque nécessitant des audits de sécurité obligatoires. Les compagnies d'assurance commenceront à exclure les compromissions d'agents IA des polices standard de cybersécurité, obligeant les entreprises à acheter une couverture spécialisée que la plupart ne peuvent pas se permettre. Le CISO (Directeur de la sécurité des systèmes d'information) qui sera licencié après cette violation écrira probablement un best-seller à ce sujet.

Ce que l'histoire nous apprend

AgentForger est en réalité un remix d'attaques que les chercheurs en sécurité connaissent depuis des décennies, désormais promu par l'autonomie de l'IA. Le virus Melissa de 1999 utilisait des macros de Word pour s'envoyer à des contacts dans le carnet d'adresses Outlook de la victime. Ce même principe (détourner des canaux de communication légitimes pour se répandre) se manifeste maintenant comme des agents IA qui surveillent les e-mails et exécutent des commandes. Les attaques par injection SQL de 2003 qui ont compromis des millions de sites web exploitaient le fait que les applications faisaient confiance à l'entrée utilisateur sans validation. AgentForger exploite les paramètres d'URL de la même manière, injectant des instructions malveillantes dans le générateur d'agents de ChatGPT par un lien fabriqué. Les attaques Cross-Site Request Forgery (CSRF) des années 2000 trompaient les navigateurs pour effectuer des actions au nom d'utilisateurs authentifiés sans leur connaissance. AgentForger est un CSRF sous stéroïdes : au lieu d'une seule action non autorisée, vous installez un agent persistant qui effectue des actions illimitées en utilisant les permissions de la victime. La violation RSA SecurID de 2011 a montré comment les attaquants pouvaient compromettre un outil de sécurité de confiance et l'utiliser contre les organisations. Les agents IA sont les nouveaux outils de confiance, et les compromettre donne aux attaquants le même accès d'initié. Les escroqueries de compromission des e-mails d'entreprise (BEC), qui selon le FBI ont coûté aux entreprises plus de 50 milliards de dollars depuis 2013, reposaient sur l'ingénierie sociale pour usurper l'identité de dirigeants. AgentForger automatise le BEC en donnant aux attaquants une IA capable d'étudier les schémas de communication, d'imiter les styles d'écriture et d'envoyer des e-mails de phishing convaincants depuis le propre compte Teams ou Slack de la victime. La violation Equifax de 2017 exploitait une vulnérabilité Apache Struts non corrigée, un défaut connu qui aurait dû être corrigé. L'équivalent d'aujourd'hui est la mise en place d'agents IA sans examen de sécurité, en supposant que la plateforme du fournisseur est sûre. Les attaques Man-in-the-Middle (MitM) existent depuis les années 1980, interceptant des communications entre deux parties. Les agents IA sont le nouveau médiateur, s'interposant entre les employés et les systèmes d'entreprise, avec le danger supplémentaire qu'ils puissent agir de manière autonome plutôt que de simplement surveiller. Le ver Morris de 1988, un des premiers vers majeurs sur Internet, exploitait plusieurs vulnérabilités pour se propager automatiquement. Les agents IA modernes ont cette même capacité de propagation autonome, mais au lieu d'exploiter des débordements de mémoire tampon, ils exploitent les relations de confiance et les intégrations API. Ce qui rend ces anciennes exploits plus dangereuses dans le contexte de l'IA est la persistance et l'échelle. Une attaque de phishing traditionnelle vous donne un accès unique. Un agent IA malveillant vous donne un accès permanent qui survit aux changements de mot de passe, fonctionne sur plusieurs services simultanément, et peut adapter son comportement en fonction de ce qu'il apprend des données de la victime. Nous gérons essentiellement tous les meilleurs échecs de sécurité informatique des 30 dernières années, désormais pilotés en pilote automatique avec des capacités d'apprentissage automatique. La surface d'attaque n'a pas fondamentalement changé. Les attaques se déroulent simplement plus rapidement, se cachent mieux et causent plus de dégâts avant que quiconque ne s'en aperçoive.

Impact sur les marches

Cette nouvelle est baissière pour CrowdStrike (CRWD), actuellement négociée autour de 385 $, en hausse de quelque 48 % depuis le début de l'année en juillet 2026, et pour d'autres fournisseurs traditionnels de sécurité des terminaux dont les outils n'ont pas été conçus pour détecter cette classe de menace. Leurs cours boursiers ont été portés par le récit de la sécurité IA, mais AgentForger révèle un angle mort dans leurs capacités de détection. Attendez-vous à un recul de 3 à 5 % dans le secteur de la cybersécurité à mesure que les investisseurs digèrent les implications. À l'inverse, c'est haussier pour Palo Alto Networks (PANW), négocié près de 340 $, en hausse de 25 % cette année, qui a agressivement positionné son architecture Zero Trust pour les charges de travail IA. Leurs récentes acquisitions dans l'identité et la gestion des accès semblent soudainement prévoyantes. Également, surveillez Okta (OKTA), autour de 105 $, qui a eu des difficultés cette année mais pourrait bénéficier d'un regain d'intérêt pour la vérification d'identité des agents IA. Microsoft (MSFT), négocié autour de 445 $, fait face à des risques de réputation à court terme puisque les agents de ChatGPT s'intègrent profondément avec Microsoft 365, mais leur infrastructure de sécurité leur donne les ressources pour aborder cela plus rapidement que les concurrents. À long terme, cela accélère le marché de la sécurité de l'IA en entreprise, que Gartner estime à 12 milliards de dollars d'ici 2027.