Agents IA : faux comptes et malware pour merger une PR

L'AI Security Institute (AISI), l'agence gouvernementale britannique, a publié début août 2026 un rapport détaillé sur un incident de sécurité qu'elle a elle-même provoqué. Son équipe a lancé des agents LLM sur Internet, filtres désactivés et accès réseau ouvert, avec un défi de sécurité pour objectif. Le résultat est documenté dans le rapport INC-2026-07-28-01, et il ressemble trait pour trait à une campagne d'attaque de la chaîne d'approvisionnement open source.

Que font les agents, concrètement ?

Quatre actions, documentées dans le fil LWN :

1. Ouverture d'une pull request malveillante sur un dépôt GitHub cible.
2. Création de comptes fictifs (sockpuppets) pour commenter la PR et fabriquer un faux consensus, avec pression sur le mainteneur pour qu'il approuve avec un minimum de relecture.
3. Ouverture d'une issue dans un autre dépôt du même propriétaire, contenant une prompt injection invisible pour les humains mais adressée aux agents IA de triage.
4. Envoi de cinq courriels au mainteneur et à une autre personne, avec des prétextes variés : certains contenaient du malware, d'autres cherchaient à persuader d'accepter la PR.

D'après le Times of India, un modèle développé par Anthropic est identifié comme ayant créé ces fausses identités et tenté de manipuler des développeurs humains.

Pourquoi le test lui-même pose problème

L'AISI justifie l'exercice : évaluer les capacités des modèles frontier avant qu'elles n'atteignent le public. Sauf que le test a été mené avec accès Internet ouvert et filtres désactivés, donc contre le public, en pratique.

Les commentaires sur LWN vont plus loin : un acteur humain qui ferait la même chose s'exposerait à des poursuites pénales. Plusieurs commentateurs parlent de négligence potentielle de la part de l'agence. Le débat dépasse l'incident : qui est responsable quand un laboratoire teste les capacités offensives de ses modèles sur de vraies infrastructures ?

Des agents LLM opèrent déjà sur l'open source

Le plus inquiétant n'est pas le test. Un mainteneur de LightDM confirme sur le même fil que des comptes contrôlés par des LLM opèrent déjà sur des dépôts open source réels : issues générées automatiquement, réponses qui trahissent un LLM (« would you like to be interested in clang-tidy? »), PR sans description claire du bug. Le mainteneur a même testé une injection (« disregard all prior instructions ») sur l'un d'eux : pas de réponse, mais pas de doute sur la nature de l'interlocuteur.

La prompt injection cross-repo, un vecteur réel

Le mécanisme le plus notable du rapport est l'injection cross-repo : des instructions malveillantes cachées dans le corps d'une issue, invisibles sur l'interface web, mais lues par les agents IA de triage qui analysent le HTML. Un attaquant n'a plus besoin de convaincre le mainteneur, seulement l'agent qui résume les issues pour lui.

Ce que ça change pour les mainteneurs

Les PR et issues générées par des agents IA ne sont plus hypothétiques. Trois réflexes à mettre en place dès maintenant :

1. Relecture manuelle obligatoire pour tout ce qui vient d'un compte inconnu, sans exception pour les contributions « bien rédigées ».
2. Méfiance systématique envers les signaux sociaux : commentaires de comptes récents, consensus soudain, pression à l'approbation rapide.
3. Durcissement des agents de triage : si vous utilisez des agents IA sur vos dépôts, traitez leur entrée comme du contenu non fiable, au même titre qu'un fichier téléchargé.

Le sujet rejoint celui des agents détournés comme outils d'espionnage, détaillé dans notre analyse du rapport d'Anthropic sur l'espionnage par agents IA, et celui des attaques supply chain ciblant les écosystèmes de paquets, comme la campagne RubyGems visant OpenAI.