CrowdStrike ajoute les attaques contre la planification des agents à sa taxonomie d'injections de prompt, qui compte 222 techniques

CrowdStrike a publié une nouvelle version de sa taxonomie publique des injections de prompt, qui atteint 222 techniques. Dans un billet daté du 29 octobre, les chercheurs Vanessa Villa et Jim Hoagland s'intéressent à une catégorie quasi inexistante à l'époque où l'injection de prompt consistait à piéger un chatbot : les attaques contre la manière dont les agents autonomes planifient leur travail.

Viser le plan plutôt que la requête

Un agent reçoit un objectif, le découpe en sous-tâches, choisit ses outils puis agit. Selon CrowdStrike, un attaquant capable d'influencer le contexte à partir duquel l'agent planifie peut faire passer une action interdite pour l'étape suivante logique, sans jamais envoyer de requête qu'un filtre repérerait.

Deux nouvelles entrées décrivent ce mécanisme. Goal Decomposition Exploitation (PT0227) glisse une tâche supplémentaire dans le découpage de l'objectif, ou modifie ce que fait une étape. Dans l'exemple de CrowdStrike, un agent chargé de corriger des tests en échec finit par envoyer des fichiers de configuration vers un prétendu service de diagnostic, ce qui revient à une exfiltration de données. Constraint-Driven Task Steering (PT0228) agit de façon indirecte : l'attaquant bloque le chemin habituel de l'agent pour que la solution de repli qu'il a préparée devienne celle qui est retenue.

Autres ajouts

La mise à jour introduit aussi Session State Spoofing (PT0240), qui insère un faux résumé système, par exemple une note de compactage du contexte ou un journal de mémoire, présentant des faits ou des autorisations inventés comme un historique vérifié. CrowdStrike juge ce risque surtout pertinent pour les systèmes qui compressent leur contexte ou conservent des journaux d'état. Output Exclusion Prompting (PT0237) interdit les formulations qu'un modèle emploie d'ordinaire pour refuser ou nuancer.

Le billet classe également des techniques selon l'étape du traitement qu'elles perturbent : jetons de contrôle et balises, évaluation logique, capacité d'attention et génération de la réponse. Certaines figuraient déjà dans la taxonomie, comme Cognitive Token Suppression, ajoutée lors de la mise à jour de juillet qui avait fait dépasser la barre des 200 entrées.

Recommandations et limites

CrowdStrike recommande de sécuriser le plan dans son ensemble plutôt que chaque requête ou réponse, d'évaluer chaque étape dans son contexte, d'aligner les défenses sur les phases du traitement et de tester la couverture branche par branche. L'éditeur invite aussi à décrire les incidents avec un vocabulaire commun et à garder une visibilité en temps réel sur ce que font les agents. Le billet sert en partie à promouvoir son produit Falcon Guardian ; il ne précise ni le nombre de techniques ajoutées dans cette version, ni la fréquence de ces attaques en conditions réelles. Une version interactive de la taxonomie est consultable sur le site de CrowdStrike.