Sécuriser l’IA agentique : comment F5 répond au Top 10 OWASP des risques liés aux agents IA

Louise ScullyResponsable senior du marketing produit, sécurité de l’IA et renseignement sur les menaces | F5

Aujourd’hui, l’IA agentique se trouve à peu près au même stade que l’IA générative il y a un an. La plupart des organisations menant des projets d’IA agentique en sont encore à la phase pilote, mais certaines premières charges de travail commencent déjà à interagir avec des systèmes de production. Les équipes vont au-delà des simples requêtes adressées aux modèles et expérimentent des agents d’orchestration, des agents spécialisés dans l’exécution de tâches et des workflows utilisant des outils, capables de coordonner des actions entre différentes applications et différents services.

À mesure que ces systèmes agentiques évoluent, les risques évoluent eux aussi. Dans les interactions traditionnelles avec les grands modèles de langage (LLM), les défaillances commencent et se terminent souvent au cours d’un unique échange question-réponse entre le modèle et les humains. Dans les systèmes agentiques, elles se propagent à travers des plans en plusieurs étapes, l’utilisation d’outils, la gestion et la réutilisation du contexte, ainsi que les interactions entre les agents et les applications existantes.

Le nouveau classement Top 10 de l’OWASP pour les applications agentiques offre une vue structurée des domaines dans lesquels ces risques apparaissent. Il définit dix catégories de défaillances susceptibles de se produire lorsque des modèles et des agents se voient attribuer des objectifs, des outils, un contexte et la capacité d’agir dans différents systèmes. Cette liste s’appuie sur le classement précédemment annoncé, le Top 10 de l’OWASP pour les applications basées sur de grands modèles de langage afin de traiter les menaces liées à l’IA agentique en matière d’autonomie, d’utilisation des outils, de gestion du contexte, de chaînes d’approvisionnement et d’interactions multi-agents.

Grâce à ce nouveau Top 10 de l’OWASP, les responsables de la sécurité et les équipes chargées de la conformité disposent d’un langage commun pour aborder les risques liés à l’IA agentique, coordonner les efforts de sécurité et déterminer les priorités.

Pourquoi est-ce important pour les RSSI ?

Le Top 10 OWASP des risques liés aux systèmes agentiques met en lumière les modes de défaillance qui façonnent l’adoption sécurisée de l’IA. Les RSSI doivent désormais appliquer ces recommandations aux systèmes déjà en cours de mise en production.

F5 accompagne cette démarche grâce aux éléments suivants :

• F5 AI Guardrails, qui applique des politiques de sécurité lors de l’exécution afin d’encadrer le comportement de l’IA à mesure que les systèmes agentiques sont mis en production.
• F5 AI Red Team, qui évalue les systèmes d’IA générative afin de mesurer leur résilience en conditions réelles au niveau du comportement des modèles, des applications et des parcours d’exécution agentiques.
• Indice complet de sécurité de l’IA (CASI) et notation de la résistance agentique (ARS), proposés par F5 Labs, fournissant des référentiels standardisés pour mesurer la résilience des modèles et des systèmes et favoriser des décisions éclairées en matière de sécurité.

À mesure que l’IA agentique se développe, les organisations qui en tireront le meilleur parti seront celles qui intégreront la résilience dès le départ et considéreront la sécurité comme un principe fondamental de la conception et de l’exploitation de ces systèmes.

Top 10 de l’OWASP sur l’IA agentique — Comment ces risques se manifestent

ASI01 – Détournement de l’objectif de l’agent

Lorsque les objectifs d’un agent sont modifiés par une injection de prompt, un contexte empoisonné ou un écart par rapport au plan.

• F5 AI Red Team teste des scénarios d’injection indirecte de prompts issus de sa bibliothèque d’attaques, dans lesquels des sources de contenu contrôlées par des attaquants ou non fiables, telles que des documents, des pages web, des e-mails ou des sorties d’outils, sont utilisées pour introduire des instructions malveillantes et évaluer la facilité avec laquelle les objectifs de l’agent peuvent être détournés.
• F5 AI Guardrails impose la validation des entrées et limite les chemins de raisonnement dangereux ou non conformes pendant l’inférence, réduisant ainsi le risque de comportements indésirables en aval.
• ARS mesure la résilience face à des séquences d’attaque prolongées, pilotées par des agents et comportant plusieurs étapes.

ASI02 – Utilisation abusive et exploitation des outils

Lorsqu’un agent utilise des outils à mauvais escient ou que des attaquants exploitent les interfaces de ces outils comme points de rebond.

• F5 AI Guardrails valide les requêtes liées aux outils lors de l’exécution et limite les schémas de raisonnement susceptibles d’entraîner des interactions dangereuses avec les outils.
• Le CASI et l’ARS reflètent la vulnérabilité aux utilisations abusives dans un ensemble représentatif de schémas d’exécution.

ASI03 – Abus d’identité et de privilèges

Lorsque des agents héritent d’identifiants, de jetons ou de droits d’accès élevés, ou en font un usage abusif.

• F5 AI Guardrails peut détecter les secrets, les identifiants ou les jetons dans le contexte de raisonnement, puis les bloquer ou les consigner avant qu’un outil ne soit appelé avec un accès implicite ou explicite.

ASI04 – Vulnérabilités de la chaîne d’approvisionnement agentique

Risques liés aux serveurs MCP, aux registres, aux packs de prompts distants et aux outils tiers prenant en charge les workflows des agents.

• F5 AI Guardrails détecte et bloque, lors de l’exécution des workflows d’agents, les instructions cachées ou les prompts injectés intégrés aux données utilisées par les agents, y compris celles provenant de sources fiables ou préalablement approuvées.
• CASI et ARS mesurent les risques à l’échelle du système, en tenant compte de la manière dont les vulnérabilités se propagent entre les modèles et les schémas d’exécution, plutôt que de traiter chaque composant de manière isolée.

ASI05 – Exécution de code inattendue

Lorsque des agents génèrent, exécutent ou modifient du code, des scripts shell ou des configurations de manière non sécurisée.

• F5 AI Guardrails applique des politiques granulaires aux sorties liées au code, en imposant des listes d’autorisation et en bloquant les modèles à haut risque.
• CASI et ARS consignent ces comportements sur un ensemble représentatif de chemins d’exécution.

ASI06 – Gestion du contexte et manipulation de la récupération

Lorsque le contexte persistant ou récupéré est empoisonné, manipulé ou dérive.

• F5 AI Red Team évalue des scénarios dans lesquels des agents utilisent et réutilisent un contexte non fiable ou trompeur fourni par les entrées d’exécution habituelles, afin de déterminer comment la dégradation du contexte affecte le raisonnement et les actions en aval.
• F5 AI Guardrails inspecte le contexte récupéré afin d’identifier les violations de politiques et détecte les charges utiles d’injection de prompt avant qu’elles n’influencent le comportement du modèle.
• CASI et ARS mesurent la résilience face à l’empoisonnement du contexte d’exécution et à la propagation par injection.

ASI07 – Communication inter-agents non sécurisée

Lorsque des agents échangent des messages sans protection du canal, sans authentification ni contrôle d’intégrité.

• F5 AI Guardrails peut détecter et signaler en temps réel les intentions de délégation des agents, notamment lorsqu’un agent ou un gestionnaire d’agents détermine quel agent doit être sollicité pour effectuer une tâche, et appliquer des contrôles fondés sur des politiques afin de limiter les raisonnements de délégation à haut risque.
• CASI et ARS permettent de mieux comprendre comment les schémas d’exécution en plusieurs étapes et impliquant plusieurs agents augmentent le risque systémique au fil du temps.

ASI08 – Défaillances en cascade

Lorsque plusieurs risques se cumulent au fil des étapes, des agents ou des systèmes.

• F5 AI Guardrails limite l’étendue des dommages grâce à des quotas, des contrôles de politiques et une application à l’exécution.
• CASI mesure la résilience face à divers vecteurs d’attaque, tandis qu’ARS évalue jusqu’où les défaillances peuvent se propager lors d’une exécution agentique prolongée et en plusieurs étapes.

ASI09 – Exploitation de la confiance entre humains et agents

Lorsque des agents exploitent la confiance humaine au moyen d’instructions convaincantes ou trompeuses.

• F5 AI Guardrails étiquette et bloque les contenus dangereux, et consigne les décisions à des fins d’audit.
• F5 AI Red Team simule des techniques d’ingénierie sociale afin d’améliorer la conception des workflows et de sensibiliser les opérateurs.

ASI10 – Agents malveillants

Lorsque des agents compromis ou déviants persistent au sein de systèmes complexes sans être détectés.

• F5 AI Guardrails applique les politiques de manière cohérente à mesure que le comportement des agents évolue, en bloquant les schémas d’exécution dangereux ou les tentatives d’exfiltration de données.
• CASI et ARS détectent les dérives comportementales en suivant l’évolution mesurable des signaux de risque au fil du temps.

Comment F5 assure la sécurité de l’IA pour les workflows agentiques

La sécurité de l’IA est un élément essentiel de la F5 Application Delivery and Security Platform (ADSP). Les workflows agentiques introduisent de nouveaux risques liés à la manière dont les prompts, les outils, le contexte et les agents interagissent au niveau des applications et des API. Toutefois, ces interactions empruntent toujours les mêmes voies Web, API, de plan de données et de plan de contrôle que les entreprises protègent déjà aujourd’hui.

En étendant les contrôles de sécurité et la visibilité aux comportements lors de l’inférence, F5 permet aux organisations de faire face aux risques liés aux agents d’IA tout en s’appuyant sur les fondements de sécurité des applications auxquels elles font déjà confiance.

F5 continue de soutenir les efforts de l’ensemble de la communauté visant à renforcer les pratiques de sécurisation de l’IA, notamment les travaux de l’OWASP GenAI Security Project.

En savoir plus sur F5 AI Red Team et F5 AI Guardrails.

À propos de l’auteur

Louise ScullyResponsable senior du marketing produit, sécurité de l’IA et renseignement sur les menaces | F5

Louise Scully est Senior Manager en marketing produit pour la sécurité de l’IA et le renseignement sur les menaces chez F5. Au cours de sa carrière, elle a exercé dans les domaines du marketing produit, de la gestion de produits, de la stratégie de mise sur le marché, de la communication, du leadership d’opinion et du développement de catégories, dans les secteurs de la sécurité de l’IA et des technologies d’entreprise. Avant de rejoindre F5, Louise a dirigé le marketing chez CalypsoAI et Artomatix, contribuant à la commercialisation de technologies et de travaux de recherche en IA.

Autres articles de Louise Scully