Protection des applications d'agents OWASP Top 10

Sécuriser les applications agiles : les 10 risques majeurs OWASP et le modèle du Trifecta mortel

Le Trifecta est un simple checklist pour repérer les risques : des données privées (bases de données, secrets), des entrées non fiables (contenu web, e-mails) et des canaux sortants (HTTP, e-mail). Lorsque les trois se combinent, une injection indirecte de prompts peut déclencher des fuites. Stratégie : rompre au moins un lien ou appliquer des contrôles infaillibles.

• Données privées : accès juste-à-temps, jetons à durée limitée, minimisation des données.
• Communication externe : listes blanches de domaines, DLP, validation humaine pour les sorties.
• Contenu non fiable : balisage des sources, séparation données/contrôle, portails de politique.
• Mémoire persistante : TTLs, notation de confiance, espaces nominaux par client.

Analysez chaque revue à la recherche du Trifecta : accès illimité ? Il est temps de revoir votre architecture.

Les 10 risques majeurs OWASP Agentic : menaces et contre-mesures

ASI01 Hijacking du but de l’agent. Attaque : injection indirecte via les sorties d’outils. Défense : portails de politique, approbations à haut impact, journalisation de la dérive des objectifs, balisage des sources.

ASI02 Mauvais usage d’outils. Attaque : paramètres malveillants dans les chaînes. Défense : listes blanches d’outils, limitation du rayon d’action, corrélation des chaînes.

ASI03 Abus d’identité. Attaque : réutilisation de jetons, privilèges transitoires. Défense : jetons JIT, permissions ciblées sur la tâche, revalidation.

ASI04 Chaîne d’approvisionnement. Attaque : compromission des descripteurs. Défense : verrouillage de version, signature des artefacts, listes blanches de sources.

ASI05 RCE imprévu. Attaque : injection d’évaluation. Défense : isolation d’exécution, pas de réseau par défaut, séparation génération/exécution.

Approfondissement : menaces liées à la mémoire et à la communication

ASI06 Poisoning de la mémoire. Attaque : contamination RAG pour un impact durable. Défense : segmentation par locataire, TTLs, retour en arrière en quarantaine.

ASI07 Inter-agent. Attaque : spoofing, répétitions. Défense : mTLS, signature des messages, nonces et horodatages.

ASI08 Défaillances en cascade. Attaque : propagation d’erreurs. Défense : séparation planificateur/exécuteur, interrupteurs de circuit, journaux de traçabilité.

ASI09 Confiance humaine. Attaque : lavage de consentement. Défense : approbations différées, confirmations multi-étapes.

ASI10 Agents rebelles. Attaque : dérive d’objectif. Défense : interrupteurs d’urgence, bases comportementales, revues périodiques.

Points d’entrée : entrée utilisateur, RAG, outils. La planification fixe les objectifs, la mémoire construit la confiance, les échanges inter-agents exigent des protocoles solides.

Scénarios réels en production

Agent entreprise pour e-mails/documents (ASI01-03,09).

Risques : e-mails comme instructions, augmentation de privilèges, biais opérationnels.

Contremesures :

• Séparer lecture et action.
• Approbation explicite pour les sorties.
• Suivi de la traçabilité des actions.

Agent RAG avec base de connaissances (ASI06,08).

Risques : ingestion non fiable, contamination progressive.

Contremesures :

• Notation de confiance basée sur la source.
• TTLs et retour en arrière.
• Isolation par locataire.

Orchestrateur d’outils (ASI02,04,05,07,10).

Risques : appels d’outils malveillants, attaques sur la chaîne d’approvisionnement, cascades.

Contremesures :

• Listes blanches d’opérations par outil.
• Vérifications de provenance.
• Quotas et portails de politique.

Feuille de route d’implémentation

Phase 1 : Inventaire (audit Trifecta), sécurisation des sorties, activation des logs.

Phase 2 : Portails de politique, jetons JIT, approbations à haut impact.

Phase 3 : Segmentations de mémoire, traçabilité des lignées, réponse aux incidents (interrupteurs d’urgence).

Cette approche progressive réduit les risques sans refonte complète.

Points clés

• Le Trifecta brise les chaînes mortelles : minimisez au moins un facteur.
• Les 10 risques OWASP ciblent les transferts données → instruction → action.
• Les détecteurs d’injection sont des bonus — l’architecture reste reine.
• Le suivi de traçabilité et la détection d’anomalies sont indispensables pour les cascades.
• Les bases comportementales et les interrupteurs d’urgence gèrent les agents rebelles.

— Editorial Team