Google DeepMind a identifié un risque réel et urgent pour les AI agents (ces agents autonomes qui naviguent sur le web à notre place). Ce n’est pas de la science-fiction. Les sites web peuvent déjà détecter la présence d’un agent IA et lui servir un contenu complètement différent de ce qu’un humain voit.
Une nouvelle taxonomie des attaques
Dans son papier « AI Agent Traps » publié en mars 2026, DeepMind propose la première classification systématique de ces menaces. Elle comprend six catégories d’attaques qui exploitent le fonctionnement même des agents :
- Content Injection Traps → Instructions cachées invisibles aux humains (via HTML, images ou PDF)
- Semantic Manipulation Traps → Manipulation du raisonnement par un langage persuasif
- Cognitive State Traps → Empoisonnement de la mémoire et des connaissances
- Behavioural Control Traps → Contrôle direct des actions de l’agent
- Systemic Traps → Attaques en cascade dans les systèmes multi-agents
- Human-in-the-Loop Traps → Exploitation des biais humains pour faire valider des actions dangereuses
Des attaques déjà possibles aujourd’hui
Tout d’abord, les attaquants n’ont pas besoin de pirater le modèle IA lui-même.
Ils ciblent simplement les données que l’agent consomme.
Par exemple, un seul site piégé suffit.
De plus, ces attaques sont particulièrement dangereuses dans les environnements multi-agents.
Un agent contaminé peut transmettre les informations à d’autres agents, ce qui crée un effet cascade.
C’est déjà une réalité dans de nombreux outils d’automatisation entreprise en 2026.
Enfin, il existe une asymétrie totale de détection : l’humain ne voit rien, et l’agent non plus.
Il devient donc impossible de vérifier ce que l’agent a réellement « lu ».
Les conséquences concrètes
Les risques sont multiples :
- Actions non désirées
- Fuites de données
- Achats frauduleux
- Perte de contrôle
Cependant, le papier de DeepMind ne prédit pas la fin du monde. Il souligne surtout que nous avons sous-estimé cette surface d’attaque. Les solutions actuelles (nettoyage de prompts, sandbox, etc.) restent insuffisantes.
En résumé (2026)
Les premiers exploits réels devraient apparaître très rapidement.
C’est pourquoi les entreprises qui déploient des agents web sans protections solides prennent un risque important en matière de sécurité, de fraude et de réputation.
Pour les utilisateurs particuliers, les agents personnels (comme Claude Projects ou Cursor) deviennent vulnérables dès qu’ils naviguent sur le web.
Crédits :
Basé sur le papier « AI Agent Traps » de Google DeepMind (mars 2026) .
Auteurs : Matija Franklin, Nenad Tomašev, Julian Jacobs, Joel Z. Leibo et Simon Osindero.
https://papers.ssrn.com/sol3/papers.cfm?abstract_id=6372438
