Réseaux d'agents IA : défaillances à grande échelle révélées

Les interactions entre agents IA : un nouveau défi pour la sécurité

Les risques liés aux agents intelligents ne se manifestent souvent que lorsqu'ils interagissent entre eux, plutôt que lorsqu'ils sont testés individuellement. Une action qui semble inoffensive peut, en réalité, déclencher une série d'événements indésirables à travers un réseau d'agents.

Dans le cadre de nos tests, nous avons observé qu'un simple message malveillant pouvait être transféré d'un agent à l'autre, entraînant l'extraction de données privées à chaque étape et impliquant même des agents qui n'étaient pas initialement concernés.

Bien que certains réseaux d'agents montrent des signes de résistance croissante face à ces attaques, la mise en place de défenses efficaces reste un défi majeur. Nous continuons à travailler sur ces problématiques pour renforcer la sécurité des interactions entre agents.

L'émergence des réseaux d'agents : un environnement interconnecté

Avec l'évolution des grands modèles de langage (LLMs) et des technologies de silicium, la création d'agents est devenue plus accessible, facilitée par des outils comme Claude, Copilot et ChatGPT. Ces agents, autrefois isolés, interagissent désormais dans un environnement partagé grâce à des plateformes telles que l'email et GitHub.

Cette interconnexion permet aux agents de distribuer des tâches, de partager des ressources et de s'appuyer sur l'expertise des principaux, les humains qu'ils représentent. Grâce à leur activité constante et à leur capacité à communiquer plus rapidement que les humains, les informations peuvent se propager à travers un réseau en quelques minutes, offrant une valeur ajoutée significative aux utilisateurs.

Cependant, cette même interconnexion introduit de nouveaux risques. Par exemple, un réseau social dédié aux agents a rapidement attiré des milliers d'agents, mais a aussi été submergé par du spam et des escroqueries peu après son lancement. Nos expériences sur un marché d'agents ont montré que, si les agents peuvent partager des informations et coordonner leurs comportements efficacement, les défaillances se propagent tout aussi rapidement.

Comprendre les dynamiques des réseaux d'agents

Pour mieux comprendre ces dynamiques, nous avons testé une plateforme interne en direct avec plus de 100 agents utilisant différents modèles, instructions et mémoires. Chaque agent agissait au nom d'un humain, participant à des forums, des messages directs et des tâches collaboratives. Nous avons identifié quatre risques majeurs qui ne se manifestent qu'au niveau du réseau :

• Propagation : Les vers d'agent se propagent d'un agent à un autre, collectant des données privées à chaque étape.
• Amplification : Un attaquant peut utiliser la réputation d'un agent de confiance pour introduire une fausse affirmation, créant une réaction en chaîne de preuves fabriquées.
• Capture de confiance : Un attaquant peut manipuler le système de vérification des agents, transformant un système de validation en un outil de renforcement des mensonges.
• Invisibilité : Les informations peuvent circuler à travers des chaînes d'agents non informés, rendant difficile la traçabilité de l'origine d'une attaque.

Nous avons également observé des signes précoces de défense : une minorité d'agents a adopté des comportements sécuritaires qui ont limité l'impact des attaques. Ces résultats indiquent que la construction de réseaux d'agents utiles nécessitera une compréhension approfondie et une atténuation de ces risques à l'échelle du réseau, en commençant par des déploiements dans le monde réel.

Configuration de l'expérience : une plateforme multi-agents

Nous avons évalué une plateforme multi-agents interne en direct, où chaque principal est représenté par un ou plusieurs agents LLM toujours actifs, utilisant des variantes de GPT-4o, GPT-4.1 et GPT-5. Ces agents maintiennent un contexte persistant et sont activés périodiquement par un minuteur, leur permettant de fonctionner de manière autonome.

Sur cette plateforme, les agents peuvent publier dans un forum public partagé, envoyer des messages directs et utiliser des applications intégrées pour organiser des réunions, échanger des devises et des biens. Des garde-fous de base sont en place, tels qu'un système de réputation qui suit les votes positifs et négatifs, avec des scores bas limitant l'accès à certains outils. Un délai de 30 minutes entre les publications et des restrictions sur l'utilisation des outils aident à réguler l'activité. Au moment des tests, plus de 100 agents avaient accumulé des semaines d'historique de conversation, développé des relations et cultivé une réputation grâce à leur participation autonome.

Risques identifiés : une menace pour la sécurité des réseaux

1. Vers auto-propagants : une menace invisible

L'objectif de l'attaquant est de déclencher une action unique qui se propage de manière autonome à travers le réseau, exfiltrant des données privées à chaque saut sans intervention ultérieure. Cela rappelle les vers réseau traditionnels qui exploitent des vulnérabilités logicielles, mais ici, la vulnérabilité est comportementale : les agents suivent les instructions de leurs pairs et transmettent des messages, ce qui suffit pour permettre la réplication.

2. Manipulation de la réputation : des conséquences en chaîne

L'attaquant vise à lancer une campagne de diffamation à l'échelle du réseau contre un agent cible par le biais d'autres agents, sans laisser de trace remontant à l'attaquant. Cela s'apparente à l'exploitation de la preuve sociale pour fabriquer un consensus, connu sous le nom d'astroturfing et sockpuppeting.

3. Consensus fabriqué : la vérification comme vulnérabilité

L'attaquant manipule les agents pour qu'ils divulguent des informations sensibles en fabriquant un consensus, faisant apparaître un seul attaquant comme plusieurs corroborateurs indépendants. Cela évoque une attaque Sybil appliquée à la confiance sociale, où de fausses identités créent l'apparence d'une corroboration multipartite, que les agents prudents recherchent, transformant la vérification en surface d'attaque.