International AI Safety ReportUsage malveillant§2.1.3, Box 2.1
Les systèmes d’IA deviennent eux-mêmes des cibles
Observée dans des incidents réels85 dossiers correspondants
La mise en garde
Des attaquants peuvent manipuler des systèmes d’IA par injection de prompt, données empoisonnées et composants compromis, afin de modifier leur comportement ou d’en extraire des informations sensibles.
Paraphrase de la source. Source: International AI Safety Report 2026, 3 févr. 2026, section 2.1.3, Box 2.1, page 62. Synthèse par International AI Safety Report: internationalaisafetyreport.org.
Ce que montre le registre
Des instructions cachées qui font divulguer des e-mails et des fichiers par des assistants, des agents de programmation détournés, des paquets et extensions malveillants visant les développeurs d’IA, et des failles d’outils d’IA activement exploitées. Beaucoup de cas d’injection de prompt sont des démonstrations de chercheurs ; la plupart des attaques de la chaîne d’approvisionnement se sont produites dans le monde réel.
Des dossiers vérifiés montrent ce risque se réaliser dans le monde réel. Premier cas réel enregistré : 30 déc. 2022 · Déjà enregistré à la publication de cette recherche.
Dossiers correspondants par trimestre
Observée dans des incidents réelsTest en laboratoire ou démonstration de chercheurs
Historique du statut
| Date | Statut | Dossiers correspondants | Changement |
|---|---|---|---|
| 18 oct. 2026 | Observée dans des incidents réels | 84 | Début du suivi |
Suivi depuis le 18 oct. 2026. Une ligne est ajoutée quand le statut change, quand le premier cas réel est rattaché, et une fois par mois : l’historique montre ainsi quand un avertissement est passé de la recherche à la réalité. research_history.json
Tous les dossiers correspondants
- Un ajout non divulgué à jqwik ordonne aux agents de codage IA de supprimer la sortie des applications
- Une injection de prompt cachée dans un acte judiciaire ordonne aux IA relectrices de donner raison à son auteur
- De fausses pages de téléchargement de Codex sur Google Sites diffusent un logiciel malveillant macOS via ClickFix
- Injection SQL dans le proxy LiteLLM (CVE-2026-42208) activement exploitée
- La porte dérobée macOS.Gaslight injecte de faux prompts dans les outils de triage de logiciels malveillants par LLM
- Faille SSRF de MLflow (CVE-2026-64849) activement exploitée, exposant des services internes
- Un skill OpenClaw malveillant distribue le RAT Remcos et GhostLoader
- RCE par injection de code dans Ray (CVE-2025-62593) activement exploitée
- Le Red Agent de Wiz atteint le Jira interne de Snowflake via une faille GitHub Actions dans une PR assistée par Copilot · Test en laboratoire ou démonstration de chercheurs
- GTG-50020 : un extorqueur piège le bac à sable d'évaluation d'un fournisseur d'IA, puis 30 sociétés
- Un prompt implanté fait copier par ChatGPT les données Gmail de victimes vers l'attaquant · Test en laboratoire ou démonstration de chercheurs
- DUSTMAKER de TeamPCP se cache dans les dossiers .claude et .cursor et trompe les scanners LLM
- La passerelle MCP de LiteLLM accepte tout jeton Bearer (CVE-2026-59822) ; exploitation confirmée
- La CISA liste comme exploitée une SSRF des webhooks MLflow (CVE-2026-64849) vers les métadonnées
- La RCE de Ray via navigateur (CVE-2025-62593) exploitée par le botnet RondoDox entre au KEV
- Langflow : quatre nouvelles entrées au KEV en 2026, du vol de jeton à la chaîne auto_login
- DuneSlide : deux failles 9.8 de Cursor font évader une injection de prompt du bac à sable · Test en laboratoire ou démonstration de chercheurs
- Sapphire Sleet piège plus de 140 paquets npm Mastra via un compte mainteneur détourné
- SearchLeak : une chaîne en un clic dans la recherche de M365 Copilot exfiltre des données via Bing · Test en laboratoire ou démonstration de chercheurs
- Des serveurs MCP npm typosquattés se signalent à l'installation en imitant les paquets officiels
- La CISA ajoute au KEV la RCE activement exploitée de la passerelle IA LiteLLM (CVE-2026-42271)
- Des pirates trompent le chatbot de support IA de Meta pour s'emparer de comptes Instagram
- Le paquet npm piégé codexui-android vole des jetons OpenAI Codex
- OpenAI confirme deux appareils d'employés et des dépôts compromis par le ver npm Mini Shai-Hulud
- Le ver Mini Shai-Hulud frappe les paquets TanStack, Mistral AI et Guardrails AI
- Un faux dépôt « OpenAI Privacy Filter » en tête de Hugging Face diffuse un infostealer Rust
- PyTorch Lightning 2.6.3 piégé sur PyPI exécute un voleur d'identifiants basé sur Bun à l'import
- Évasion du bac à sable de Claude Code via des liens symboliques (CVE-2026-39861) · Test en laboratoire ou démonstration de chercheurs
- L'autorisation OAuth d'un outil IA Context.ai compromis mène à une brèche chez Vercel
- RCE de marimo (CVE-2026-39987) exploitée en quelques heures ; NKAbuse hébergé sur Hugging Face
- Injection de prompt : fuite de données d'agents Copilot Studio et Salesforce Agentforce · Test en laboratoire ou démonstration de chercheurs
- La RCE de sévérité maximale du nœud CustomMCP de Flowise (CVE-2025-59528) exploitée activement
- GrafanaGhost : une injection de prompt indirecte fait fuiter des données via l'IA de Grafana · Test en laboratoire ou démonstration de chercheurs
- Des versions empoisonnées de LiteLLM liées à la brèche Mercor exposant des secrets de labos IA
- prt-scan : une campagne dopée à l'IA exploite pull_request_target dans les workflows GitHub
- Une injection de commande via le nom de branche dans OpenAI Codex exposait des jetons GitHub · Test en laboratoire ou démonstration de chercheurs
- « Double Agent » sur Vertex AI : des agents surprivilégiés fuitent identifiants et code · Test en laboratoire ou démonstration de chercheurs
- Check Point découvre un tunnel DNS hors du bac à sable de ChatGPT fuitant conversations et fichiers · Test en laboratoire ou démonstration de chercheurs
- La RCE non authentifiée de Langflow (CVE-2026-33017) exploitée moins de 20 heures après l'avis
- La CISA confirme l'exploitation active d'une injection d'expression RCE de gravité maximale dans n8n
- La recherche IA de Bing promeut de faux installeurs OpenClaw diffusant les stealers Atomic et Vidar
- Une version npm compromise de la CLI Cline installe silencieusement l'agent OpenClaw
- Plus de 230 skills OpenClaw malveillants sur ClawHub diffusent des voleurs de mots de passe
- Des datasets Hugging Face détournés pour servir des RAT Android polymorphes toutes les 15 minutes
- MaliciousCorgi : deux extensions IA pour VS Code à 1,5 M d'installations exfiltrent des fichiers
- BodySnatcher : usurpation sans authentification via le Virtual Agent de ServiceNow (CVE-2025-12420) · Test en laboratoire ou démonstration de chercheurs
- Injection de prompt dans le serveur Git MCP d'Anthropic : accès aux fichiers et exécution de code · Test en laboratoire ou démonstration de chercheurs
- Reprompt : une attaque en un clic détourne des sessions Microsoft Copilot pour voler des données · Test en laboratoire ou démonstration de chercheurs
- GeminiJack : une injection sans clic dans Gemini Enterprise exfiltrait Gmail, Agenda et Docs · Test en laboratoire ou démonstration de chercheurs
- HashJack : des prompts cachés dans les fragments d'URL détournent Comet, Copilot et Gemini · Test en laboratoire ou démonstration de chercheurs
- HackedGPT : Tenable découvre sept failles de ChatGPT dont une injection persistante dans la mémoire · Test en laboratoire ou démonstration de chercheurs
- Une traversée de chemin chez Smithery exposait un accès root à 3 000 serveurs MCP hébergés · Test en laboratoire ou démonstration de chercheurs
- CamoLeak : des commentaires de PR cachés font fuiter des secrets privés à GitHub Copilot Chat · Test en laboratoire ou démonstration de chercheurs
- Gemini Trifecta : journaux, historique et navigation font exfiltrer des données à Gemini · Test en laboratoire ou démonstration de chercheurs
- ForcedLeak : une injection Web-to-Lead et un domaine expiré font fuiter le CRM d'Agentforce · Test en laboratoire ou démonstration de chercheurs
- Premier serveur MCP malveillant : postmark-mcp met l'attaquant en copie de tous les e-mails
- Les agents Notion 3.0 piégés par un PDF en texte blanc font fuiter des données clients · Test en laboratoire ou démonstration de chercheurs
- ShadowLeak : une injection de prompt sans clic fait fuiter des données Gmail à ChatGPT Deep Research · Test en laboratoire ou démonstration de chercheurs
- WhiteCobra inonde Open VSX et le VS Code Marketplace de 24 extensions voleuses de cryptos
- s1ngularity : des paquets Nx piégés détournent les CLI Claude et Gemini pour voler des secrets
- Des jetons OAuth du chatbot IA Drift volés pour piller plus de 700 tenants Salesforce
- Brave montre qu'un commentaire Reddit peut détourner Perplexity Comet pour voler des codes Gmail · Test en laboratoire ou démonstration de chercheurs
- Le chatbot Lena de Lenovo poussé à émettre une charge XSS volant les cookies de session des agents · Test en laboratoire ou démonstration de chercheurs
- Une injection dans Copilot bascule VS Code en auto-approbation pour une RCE (CVE-2025-53773) · Test en laboratoire ou démonstration de chercheurs
- AgentFlayer : un seul document Google Drive empoisonné fait fuiter des clés d'API à ChatGPT · Test en laboratoire ou démonstration de chercheurs
- Invitation Is All You Need : des invitations d'agenda piégées font piloter la domotique par Gemini · Test en laboratoire ou démonstration de chercheurs
- Claude Code : une injection de commande contourne la confirmation (CVE-2025-54795 et -54794) · Test en laboratoire ou démonstration de chercheurs
- CurXecute et MCPoison : des failles de configuration MCP de Cursor permettent d'exécuter du code · Test en laboratoire ou démonstration de chercheurs
- Gemini CLI détourné via un README empoisonné pour exfiltrer silencieusement des identifiants · Test en laboratoire ou démonstration de chercheurs
- Un pirate glisse un prompt d'effacement de données dans l'extension VS Code Amazon Q Developer
- Une fausse extension « Solidity Language » sur Open VSX dérobe 500 000 $ à un développeur Cursor
- Du texte caché dans un e-mail fait produire de fausses alertes aux résumés Gemini pour Workspace · Test en laboratoire ou démonstration de chercheurs
- Une injection via ticket de support fait fuiter des jetons à Cursor couplé au MCP Supabase · Test en laboratoire ou démonstration de chercheurs
- Nikkei révèle la présence de prompts cachés demandant aux évaluateurs IA de faire l’éloge des articles dans 17 prépublications issues de 14 universités · Test en laboratoire ou démonstration de chercheurs
- Le malware Skynet embarque une injection de prompt pour tromper les outils d'analyse par IA
- La porte dérobée Pickai se propage via des failles de ComfyUI à près de 700 serveurs d'images IA
- La RCE de Langflow (CVE-2025-3248) exploitée pour diffuser le botnet Flodrix
- EchoLeak : injection de prompt zéro clic dans Microsoft 365 Copilot (CVE-2025-32711) · Test en laboratoire ou démonstration de chercheurs
- Des paquets PyPI imitant le SDK Alibaba AI Labs cachent un infostealer dans un modèle PyTorch
- Une injection de prompt dans GitLab Duo fait fuiter du code privé via du texte caché dans des MR · Test en laboratoire ou démonstration de chercheurs
- Les paquets npm sw-cur et aiide-cur installent une porte dérobée dans Cursor sur macOS
- nullifAI : des modèles à pickle corrompu sur Hugging Face échappent à Picklescan
- De faux paquets PyPI « deepseeek » et « deepseekai » volent les secrets des développeurs DeepSeek
- La bibliothèque d'IA Ultralytics piratée via GitHub Actions pour diffuser un cryptomineur sur PyPI
- Un paquet malveillant « torchtriton » frappe PyTorch via PyPI par confusion de dépendances
Les mêmes dossiers dans d’autres recherches
- Observée dans des incidents réels Vie privée et sécurité · MIT AI Risk Repository · 85 en commun
- Observée dans des incidents réels Des IA puissantes sont divulguées ou volées · CAIS · 2 en commun
Des mises en garde d’autres sources liées à certains des mêmes dossiers.
Autres mises en garde de ce groupe
- Observée dans des incidents réels Les faux générés par l’IA alimentent la fraude et l’extorsion
- Signes précoces Des contenus d’IA servent à influencer ce que les gens croient
- Observée dans des incidents réels Criminels et pirates étatiques utilisent l’IA dans leurs cyberattaques
- Observée dans des incidents réels L’IA mène une part croissante de chaque attaque, sans autonomie complète
- Rien d’enregistré pour l’instant L’IA apporte une aide de niveau expert pour les armes biologiques et chimiques