Ressource DSI · offerte
Agents IA : les 7 failles à fermer avant la mise en production
Un agent IA lit des mails, des formulaires, des documents et des tickets. Il agit ensuite avec les droits qu'on lui a donnés. Si un texte caché dans ce contenu lui donne une consigne, il peut obéir.
Cette page présente les 7 failles par lesquelles une consigne entre dans un agent, le test du trio pour savoir quels agents traiter en premier, et une méthode en 5 étapes pour les fermer sans arrêter vos agents. C'est la méthode que corai by Baker Park applique avec les DSI de grands groupes et d'ETI.
Le kit complet, avec la grille Excel et les prompts, vous est envoyé par email.
Par Sébastien Lery, CEO, corai by Baker Park
Recevoir le kit des 7 failles
Les agents arrivent plus vite que les règles
Trois situations reviennent dans nos échanges avec les DSI. Prouver la valeur en maîtrisant le coût. Des données pas prêtes pour les agents. Des pilotes qui ne passent pas à l'échelle.
Cette ressource répond à la troisième. Un agent ne passe pas à l'échelle tant que personne ne connaît ses sources, ses droits et ses flux sortants.
Pourquoi un agent IA ne fait pas la différence entre une donnée et un ordre
Pour un agent, tout ce qu'il lit est du texte. Un champ de formulaire, une ligne de mail, un commentaire dans un ticket peuvent contenir une consigne. L'agent la traite comme une demande, avec ses propres droits. L'OWASP classe ce détournement en tête des risques des applications agentiques.
Fin septembre 2026, les chercheurs de Zenity Labs ont publié un cas concret sur l'agent d'un grand CRM. Un inconnu remplit le formulaire public de prise de contact d'une entreprise, avec une consigne cachée. Un commercial demande ensuite à son agent de l'aider sur ses derniers leads. L'agent lit le lead, interroge la table des comptes clients avec un outil qu'il avait déjà, puis place les données dans l'adresse d'une image. Le simple affichage envoie une requête DNS au serveur de l'attaquant.
L'éditeur a corrigé la faille. Les chercheurs le disent : le schéma n'est propre à aucun éditeur. Et l'injection n'a eu besoin d'aucun droit en plus, les permissions étaient déjà là.
74 %
des répondants s'attendent à ce que leur entreprise utilise des agents IA au moins « modérément » d'ici 2027.
21 %
disent que leur organisation a un modèle de gouvernance mature pour l'IA agentique.
Sources : Deloitte, State of AI in the Enterprise 2026, 3 235 dirigeants métiers et IT, 24 pays · Zenity Labs, « SalesBleed », 24 septembre 2026
Les 3 erreurs les plus fréquentes
Sur le terrain, les mêmes réflexes laissent les failles ouvertes.
- 01
Contrôler ce que l'agent répond, pas ce qu'il lit
Les tests portent sur la qualité des réponses. Personne ne liste les sources que l'agent lit, ni qui peut y écrire.
- 02
Lui donner les droits de l'utilisateur, par confort
L'agent qui aide sur les leads peut aussi lire les comptes, les contrats, les tickets. Le jour où il est détourné, il n'a besoin d'aucun droit en plus.
- 03
Croire qu'un filtre en sortie suffit
Dans le cas publié, le filtre des liens a été contourné. Et une requête DNS part avant tout blocage du trafic web.
Le principe : le test du trio
Un agent devient dangereux quand il réunit trois choses : il consomme des sources externes, il détient des droits sur vos données sensibles, et il peut ouvrir des flux sortants. Le chercheur Simon Willison appelle cette combinaison le « trio fatal ».
Un agent qui réunit les trois est une fuite en attente. Vous n'avez pas besoin de tout verrouiller : coupez un des trois côtés, et la chaîne casse. Le plus souvent, le côté le moins coûteux à couper est celui des droits.
Source : Simon Willison, « The lethal trifecta for AI agents », 16 juin 2025
Les 7 failles par lesquelles une consigne entre dans un agent
Chaque faille est un type de contenu que l'agent lit et auquel une personne extérieure peut écrire. Une seule faille ouverte suffit pour cocher le premier côté du trio. Dans le kit, chaque faille a son signal d'alerte et la mesure qui la ferme.
- Les formulaires web publics : contact, demande de devis, candidature, réclamation.
- Les emails entrants : boîtes partagées, support, achats, recrutement.
- Les documents et pièces jointes, y compris les espaces partagés avec des tiers.
- Les pages web que l'agent consulte pour chercher ou faire de la veille.
- Les tickets et commentaires : support client, ITSM, notes du CRM.
- Le code, les wikis et les bases de connaissances qui reçoivent des contributions externes.
- Les connecteurs et outils tiers : serveurs MCP, plugins, extensions.
La méthode en 5 étapes
Ces étapes ferment les failles sans arrêter les agents en service.
- 01
Lister tous vos agents, y compris ceux que vous n'avez pas construits
Ceux de vos équipes, ceux des directions métiers, et ceux intégrés par vos éditeurs dans le CRM, la messagerie ou la suite bureautique.
- 02
Cocher les 7 failles pour chaque agent
Une question par faille : l'agent lit-il ce type de contenu, et quelqu'un d'extérieur peut-il y écrire ?
- 03
Noter ses droits et ses flux sortants
Les données qu'il peut lire au-delà de sa tâche, et tout ce qui peut faire sortir une information : lien, image, mail, message, appel d'API.
- 04
Appliquer le test du trio, puis couper un côté
Quand les trois côtés sont réunis, on coupe avant toute nouvelle mise en production : un droit retiré, une source isolée ou une sortie bloquée.
- 05
Refaire le test à chaque nouveau connecteur
Un agent sûr aujourd'hui peut réunir le trio demain. Le test se refait à chaque ajout, et une fois par trimestre pour l'ensemble.
Le conseil à retenir
« Avant la mise en production, exigez trois réponses : quelles sources l'agent consomme, quels droits il détient, quels flux sortants il peut ouvrir. »
Trois questions, une par côté du trio. Si l'équipe qui a construit l'agent ne sait pas répondre aux trois, l'agent n'est pas prêt pour la production.
[ Le kit complet ]
Le kit des 7 failles
Tout ce qu'il faut pour passer vos agents au test du trio et décider lesquels traiter en premier. Le kit vous est envoyé par email.
- La grille Excel : un agent par ligne, les 7 failles à cocher et un verdict calculé pour chaque agent.
- La carte des 7 failles, avec le signal d'alerte et la mesure qui ferme chacune.
- La règle de décision du test du trio, avec un exemple complet.
- Les 7 questions à poser à l'éditeur, ou à l'équipe qui construit l'agent.
- Les 8 signaux d'un agent à risque et le rituel trimestriel.
- Trois prompts prêts à copier pour auditer vos agents avec Claude.
Offert. Le lien arrive par email.
Questions fréquentes
Qu'est-ce qu'une injection de prompt indirecte ?
C'est une consigne cachée dans un contenu que l'agent lit : un formulaire, un mail, un document, un ticket. L'agent la traite comme une demande et l'exécute avec ses propres droits, sans que l'utilisateur ne voie rien.
Comment sécuriser un agent IA avant la mise en production ?
En répondant à trois questions : quelles sources il consomme, quels droits il détient, quels flux sortants il peut ouvrir. Si les trois sont réunis, on coupe un des côtés avant la mise en production.
Pourquoi un filtre sur les réponses de l'agent ne suffit-il pas ?
Un filtre se contourne. Dans le cas publié par Zenity Labs en septembre 2026, le filtre des liens a été contourné, et une requête DNS partait avant tout blocage du trafic web.
Quels agents IA sont les plus exposés ?
Ceux qui lisent du contenu venu de l'extérieur, accèdent à des données sensibles et peuvent faire sortir une information. Un agent CRM qui lit les leads d'un formulaire public et affiche des images en fait partie.
Combien d'entreprises ont une gouvernance mature des agents IA ?
Selon Deloitte (State of AI in the Enterprise 2026), 21 % des répondants disent que leur organisation a un modèle de gouvernance mature pour l'IA agentique.
À quelle fréquence faut-il auditer ses agents IA ?
À chaque nouveau connecteur ou nouvelle source branchée sur un agent, puis une fois par trimestre pour l'ensemble. Un agent sûr aujourd'hui peut réunir le trio demain.