2026-09-05

Resilience & Cyber-Security

prompt injection, data poisoning, agent abuse, adversarial-aware defense, non-human identity

1. Excessive Agency monte de la 6e à la 3e place dans l'OWASP LLM Top 10 2026 — première édition construite sur 7 714 incidents réels, pas uniquement sur le vote des experts

— OWASP GenAI Security Project, Top 10 for LLM Applications 2026 + Agent Control Standard, 1er septembre 2026

L'Insight : Pour la première fois, le classement OWASP des vulnérabilités LLM intègre des données d'incidents réels (7 714 cas, poids 25 %) au vote communautaire (75 %), produisant une liste validée empiriquement plutôt que purement normative. Excessive Agency — la capacité d'un agent à agir au-delà de ce que la tâche requiert — monte du rang 6 au rang 3, co-publiée avec un Agent Control Standard inédit définissant les contrôles minimaux pour les systèmes agentiques.

L'obligation : Le nouveau Agent Control Standard précise quatre domaines de contrôle — traçabilité des identités d'agents, scoping des permissions en lecture/écriture/exécution, mécanismes d'interruption humaine, et journalisation des appels d'outils — constituant la première définition opérationnelle cross-industry de la gouvernance agentique.
L'échéance : Aucune obligation réglementaire directe, mais les politiques de cyberassurance et les audits SOC 2 / ISO 42001 intègrent historiquement les listes OWASP dans leurs exigences en 6 à 12 mois ; la liste a dépassé 10 000 téléchargements en 48 heures.
L'exposition pour l'entreprise : Toute organisation déployant des agents LLM avec des outils d'écriture de fichiers, d'appel d'API externe ou d'exécution de commandes sans contrôle de portée d'autorisation est désormais dans le périmètre documenté de la menace #3 — un risque de gouvernance reconnu au même titre que le SSRF ou l'injection SQL.

Lecture du consultant : Le signal fort n'est pas la liste elle-même, mais la méthodologie : en ancrant le classement sur des incidents réels, l'OWASP rend les audits d'agents opposables — un CISO peut désormais argumenter devant son conseil que l'absence de contrôles de scoping sur ses agents est une vulnérabilité connue et mesurée, pas une hypothèse théorique. L'Agent Control Standard est actionnable immédiatement comme baseline d'audit pour toute équipe sécurité encadrant des déploiements agentiques.

Risque / Limite : La pondération 75/25 conserve une majorité de vote subjectif ; l'OWASP ne publie pas la liste brute des 7 714 incidents ni leur méthode de vérification. La communauté dépasse 30 000 membres, mais reste dominée par des entreprises de sécurité et des fournisseurs de cloud — le biais vendor dans la hiérarchisation des risques n'est pas nul.

Lien : genai.owasp.org Date de publication : 01 septembre 2026 Fraîcheur : 🟢 <7j Fiabilité de la source : confirmé Cadre d'analyse : régulation / norme

2. 80 identités non humaines pour 1 humain en entreprise — et seulement 28 % des organisations peuvent tracer les actions d'un agent jusqu'à son sponsor humain

— Cloud Security Alliance, "Governing AI Agent Identities: An Identity Maturity Model for AI Agents", 20 août 2026 — données appuyées par GitGuardian, State of Secrets Sprawl 2026, mars 2026

L'Insight : Le CSA publie un modèle de maturité en cinq niveaux pour la gouvernance des identités agentiques, au moment où les données GitGuardian révèlent que les fuites de credentials liés aux services IA ont bondi de 81 % en un an — 8 des 10 types de secrets à la croissance la plus rapide sont des tokens IA. Le ratio NHI/humain atteint 80:1 dans l'entreprise type, mais plus de 16 % des organisations ne suivent même pas la création d'identités IA.

Le chiffre : 29 millions de secrets exposés sur GitHub public en 2025 (+34 % en un an, record absolu), avec un saut de 81 % spécifiquement pour les credentials d'API de services IA ; les dépôts internes sont six fois plus susceptibles de contenir des secrets hardcodés que les dépôts publics, et seulement 15 % des organisations se déclarent hautement confiantes dans leur capacité à prévenir une attaque NHI.
Ce qu'il contredit : La supposition que l'identité des agents IA forme une catégorie radicalement nouvelle nécessitant un outillage inédit ; dans la majorité des incidents liés à l'IA répertoriés, le vecteur initial est un secret hardcodé ou un token non rotaté — c'est-à-dire une défaillance d'hygiène IAM classique, amplifiée par la capacité de l'agent à raisonner sur ses propres accès.
Ce qu'il ne dit pas : Le ratio 80:1 NHI/humain inclut des identités dormantes, mal configurées ou héritées ; la surface « active et exploitable » est plus restreinte, mais la quasi-absence de visibilité rend cette distinction théoriquement inopérante pour la majorité des équipes sécurité.

Lecture du consultant : Le modèle de maturité CSA structure un chemin progressif — inventaire, classification, scoping, rotation, audit — que les équipes sécurité peuvent mapper sur leurs outils existants (PAM, SIEM, CSPM) sans attendre une refonte de l'infrastructure. La priorité opérationnelle immédiate : inventorier et révoquer les tokens d'API IA en clair dans les dépôts internes, puis instaurer une rotation systématique des credentials agentiques.

Risque / Limite : Le CSA est une organisation à adhésion avec des sponsors vendors (Palo Alto, Google, Microsoft) ; le modèle de maturité prescrit des solutions que ces membres commercialisent. Les données GitGuardian reflètent les secrets détectables par leur propre outillage — la méthodologie sous-estime les vecteurs non-textuels (variables d'environnement chiffrées, HSM, secrets injectés à l'exécution).

Lien : cloudsecurityalliance.org Date de publication : 20 août 2026 Fraîcheur : 🟡 <30j Fiabilité de la source : probable Cadre d'analyse : donnée / benchmark

3. La passerelle LLM utilisée par CrewAI, DSPy et Microsoft GraphRAG compromise via un scanner de sécurité piégé — 2 488 domaines d'entreprise exposés en 40 minutes

— Datadog Security Labs / LiteLLM, Security Update — Suspected Supply Chain Incident, 24–27 mars 2026

L'Insight : Le groupe TeamPCP a compromis l'infrastructure de publication de LiteLLM en piégeant d'abord Trivy, le scanner de sécurité open-source intégré dans son pipeline CI/CD, pour voler les credentials PyPI du mainteneur. Le payload — un fichier .pth qui s'auto-exécute à chaque démarrage de l'interpréteur Python sans import explicite — a harvesté des secrets dans environ 2 488 domaines d'entreprise et ~434 000 runs CI/CD pendant 40 minutes d'exposition avant quarantaine PyPI.

Le vecteur : TeamPCP a ciblé Trivy (scanner de vulnérabilités open-source) pour obtenir les credentials de publication LiteLLM — une attaque en deux temps exploitant la confiance implicite accordée aux outils de sécurité dans les pipelines CI/CD ; technique mappée sur MITRE ATLAS AML.T0010 (ML Supply Chain Compromise). Le mécanisme .pth est particulièrement insidieux : il s'exécute sans que le développeur charge explicitement la bibliothèque.
La surface exposée : LiteLLM (95 millions de téléchargements mensuels) sert de couche d'abstraction LLM unifiée pour CrewAI, DSPy, Microsoft GraphRAG et des dizaines de frameworks agentiques ; compromettre ce composant équivaut à placer un intercepteur sur l'ensemble des appels LLM d'une organisation, incluant prompts, réponses et clés d'API modèles.
La mitigation : Activation du Trusted Publishing PyPI (OIDC-based, sans secret statique) ; vérification systématique des hashes de packages via sigstore avant intégration ; isolation des environnements de build IA des secrets de production ; surveillance des fichiers .pth dans les environnements Python de CI/CD.

Lecture du consultant : Cet incident établit un précédent structurel : attaquer la couche gateway d'orchestration LLM est plus rentable pour un attaquant que de cibler les modèles directement — un seul package compromis expose l'ensemble du parc agentique d'une organisation. L'alerte NHS England (CC-4761) illustre la diffusion sectorielle rapide de ce vecteur bien au-delà du périmètre tech.

Risque / Limite : L'exposition réelle reste difficile à quantifier — les 2 488 domaines représentent une cartographie de potentiel, pas des victimes confirmées. Datadog est un fournisseur de monitoring cloud avec un intérêt commercial dans la visibilité des supply chains ; les chiffres sont cependant co-confirmés par NHS England, Snyk et Trend Micro.

Lien : securitylabs.datadoghq.com Date de publication : 25 mars 2026 Fraîcheur : ⚪ rapport de fond Fiabilité de la source : confirmé Cadre d'analyse : menace / incident cyber

4. L'injection de prompt indirect est devenue une kill chain complète — 7 assistants de codage IA sur 21 incidents documentés en 2025-2026, avec des CVSS jusqu'à 9,8

— Microsoft Security Blog, "When Prompts Become Shells: RCE Vulnerabilities in AI Agent Frameworks", 7 mai 2026 — éclairé par CSA Research Note, "Indirect Prompt Injection in the Wild 2026"

L'Insight : Microsoft Research documente la progression de l'injection de prompt vers l'exécution de code à distance dans des frameworks largement déployés : CVE-2025-32711 (Microsoft Copilot, CVSS 9.3), CVE-2025-53773 (GitHub Copilot, RCE, CVSS 9.6) et CVE-2025-6514 (infrastructure MCP, CVSS 9.6) illustrent une kill chain formalisée — injection → exfiltration de credentials → mouvement latéral → persistance via backdoor. Malgré ces incidents documentés, 73 % des déploiements IA en production restent exposés à l'injection de prompt, et seulement 34,7 % des organisations ont mis en place une défense dédiée.

Le vecteur : L'injection de prompt indirecte (contenu malveillant dans des documents, pages web ou réponses d'API lus par l'agent) permet à un attaquant externe d'exécuter des instructions arbitraires dans le contexte de l'agent — sans accès direct au système, sans authentification, en exploitant uniquement la capacité de l'agent à lire et agir sur du texte.
La surface exposée : Les assistants de codage IA représentent 7 des 21 incidents du registre 2025-2026 car ils combinent accès au système de fichiers, exécution de commandes shell et credentials de dépôts — une combinaison qui transforme chaque document traité en vecteur d'attaque potentiel ; les assistants de codage sont ciblés dans 33 % des incidents alors qu'ils ne représentent qu'une fraction du marché agentique total.
La mitigation : Isolation des contextes d'exécution par sandboxing (pas d'appels shell non supervisés) ; validation de la provenance des instructions (signalement ou filtrage des prompts hors-canal de confiance) ; principe du moindre privilège sur les outils accessibles à l'agent — contrôles désormais formalisés dans l'OWASP Agent Control Standard (voir item 1).

Lecture du consultant : Le rapport Microsoft représente une clarification importante pour les équipes sécurité : l'injection de prompt n'est plus une curiosité académique mais un CVE avec CVSS > 9 et une procédure d'exploitation documentée. Toute organisation utilisant des agents LLM avec accès aux outils de développement (IDE, dépôts de code, pipelines CI/CD) doit réviser sa posture de sécurité sur ce point en priorité.

Risque / Limite : Microsoft est simultanément chercheur en sécurité et vendeur des produits vulnérables (Copilot, Azure OpenAI Service) — double position qui peut biaiser la présentation des risques relatifs. Le chiffre de 73 % provient d'audits de sécurité conduits par des prestataires avec intérêt commercial dans la détection de ces failles.

Lien : microsoft.com Date de publication : 07 mai 2026 Fraîcheur : ⚪ rapport de fond Fiabilité de la source : confirmé Cadre d'analyse : menace / incident cyber

Signaux stratégiques de la semaine

Le toolchain du développeur IA est devenu la kill chain : LiteLLM, GitHub Copilot, l'infrastructure MCP — l'attaquant n'entre plus par le modèle mais par les bibliothèques et extensions qui construisent, invoquent et orchestrent l'IA ; compromettre un composant d'infrastructure agentique offre une surface d'exfiltration massive sans jamais toucher le modèle directement.
L'excès d'agence comme premier risque de production : L'ascension d'Excessive Agency de la 6e à la 3e place de l'OWASP 2026, validée par des incidents réels, signale que la menace dominante n'est pas l'attaque adversariale sophistiquée mais l'agent LLM suraprovisionné opérant dans une fenêtre de permissions calibrée pour la commodité de l'intégrateur, pas pour la sécurité.
⚖️ Ce qui contredit le consensus : Malgré la montée en puissance de l'« IA-native security » comme catégorie vendor, les données OWASP 2026 et GitGuardian indiquent que le vecteur initial dans la majorité des incidents reste la dette IAM classique — credentials en dur, comptes de service surapprovisionnés, tokens jamais rotés. Les agents IA amplifient le blast radius de ces défaillances sans créer de vecteur fondamentalement nouveau : des contrôles d'hygiène identitaire de base (inventaire, rotation, principe du moindre privilège) offriraient un ROI supérieur à tout investissement dans de l'outillage IA-spécifique pour la majorité des organisations.

1. Excessive Agency jumps from #6 to #3 in the OWASP LLM Top 10 2026 — the first edition built on 7,714 real-world incidents, not just expert votes

— OWASP GenAI Security Project, Top 10 for LLM Applications 2026 + Agent Control Standard, 1 September 2026

The Insight: For the first time, the OWASP LLM vulnerability ranking integrates real-world incident data (7,714 cases, weighted at 25%) alongside a community vote (75%), producing an empirically grounded list rather than a purely normative one. Excessive Agency — an agent's capacity to act beyond what the task requires — climbs from #6 to #3, co-published with a brand-new Agent Control Standard defining minimum controls for agentic systems.

The obligation: The new Agent Control Standard covers four control domains — agent identity traceability, read/write/execute permission scoping, human-in-the-loop interruption mechanisms, and tool-call logging — constituting the first cross-industry operational definition of agentic governance.
The deadline: No direct regulatory mandate, but cyber-insurance policies and SOC 2 / ISO 42001 audits have historically incorporated OWASP lists into their requirements within 6 to 12 months of publication; the list surpassed 10,000 downloads in 48 hours.
The exposure: Any organization deploying LLM agents with file-writing, external API-calling, or command-execution tools and no authorization scoping is now within the documented perimeter of threat #3 — a recognized governance risk on a par with SSRF or SQL injection.

Consultant's reading: The real signal here is methodological: by anchoring rankings to real incidents, OWASP makes agent audits contestable — a CISO can now argue before their board that the absence of agent scoping controls is a known, measured vulnerability, not a theoretical hypothesis. Adopting the Agent Control Standard as an audit baseline is immediately actionable for any security team overseeing agentic deployments.

Risk/Limitation: The 75/25 weighting preserves a majority subjective vote; OWASP does not publish the raw list of 7,714 incidents or its verification methodology. The community has grown to 30,000 members, but is dominated by security companies and cloud providers — vendor bias in risk prioritization is non-trivial.

Link: genai.owasp.org Publication date: 01 September 2026 Freshness: 🟢 <7d Source reliability: confirmed Analytical frame: regulation / standard

2. 80 non-human identities per human in the enterprise — and only 28% of organizations can trace an agent's actions back to a human sponsor

— Cloud Security Alliance, "Governing AI Agent Identities: An Identity Maturity Model for AI Agents", 20 August 2026 — supported by GitGuardian, State of Secrets Sprawl 2026, March 2026

The Insight: The CSA publishes a five-level maturity model for agentic identity governance, just as GitGuardian data shows AI-service credential leaks surged 81% year-over-year — 8 of the 10 fastest-growing leaked secret types are AI API tokens. The NHI-to-human ratio has reached 80:1 in the average enterprise, yet more than 16% of organizations do not even track the creation of AI-related identities.

The figure: 29 million secrets detected on public GitHub in 2025 (+34% year-on-year, an all-time record), with an 81% spike specifically in AI-service API credentials; internal repositories are six times more likely to contain hardcoded secrets than public ones, and only 15% of organizations feel highly confident in their ability to prevent an NHI-based attack.
What it contradicts: The assumption that AI agent identity constitutes a radically new category requiring entirely new tooling; in the majority of catalogued AI-related incidents, the initial vector is a hardcoded secret or unrotated token — a classic IAM hygiene failure amplified by the agent's capacity to reason about its own access.
What it doesn't say: The 80:1 NHI-to-human ratio includes dormant, misconfigured, or legacy identities; the "active and exploitable" surface is smaller, but near-total absence of visibility renders this distinction operationally meaningless for most security teams.

Consultant's reading: The CSA maturity model provides a progressive roadmap — inventory, classification, scoping, rotation, audit — that security teams can map onto existing tooling (PAM, SIEM, CSPM) without waiting for an infrastructure overhaul. The immediate operational priority: inventory and revoke AI API tokens hardcoded in internal repositories, then implement systematic rotation of agentic credentials.

Risk/Limitation: CSA is a membership organization with vendor sponsors (Palo Alto, Google, Microsoft); the maturity model prescribes solutions those members commercially provide. GitGuardian data reflects only secrets detectable by their own tooling — the methodology underestimates non-textual vectors (encrypted environment variables, HSMs, runtime-injected secrets).

Link: cloudsecurityalliance.org Publication date: 20 August 2026 Freshness: 🟡 <30d Source reliability: probable Analytical frame: data / benchmark

3. The LLM gateway used by CrewAI, DSPy, and Microsoft GraphRAG compromised via a poisoned security scanner — 2,488 enterprise domains exposed in 40 minutes

— Datadog Security Labs / LiteLLM, Security Update — Suspected Supply Chain Incident, 24–27 March 2026

The Insight: The TeamPCP group compromised LiteLLM's publishing infrastructure by first backdooring Trivy, the open-source security scanner integrated into LiteLLM's own CI/CD pipeline, to steal the maintainer's PyPI credentials. The payload — a .pth file that auto-executes on every Python interpreter startup without an explicit import — harvested secrets from approximately 2,488 enterprise domains and ~434,000 CI/CD pipeline runs during 40 minutes of live exposure before PyPI quarantine.

The vector: TeamPCP targeted Trivy (an open-source vulnerability scanner) to obtain LiteLLM's publishing credentials — a two-stage attack exploiting the implicit trust placed in security tools within CI/CD pipelines; mapped to MITRE ATLAS technique AML.T0010 (ML Supply Chain Compromise). The .pth mechanism is particularly stealthy: it fires without the developer explicitly loading the library.
The exposed surface: LiteLLM (95 million monthly downloads) acts as the unified LLM abstraction layer for CrewAI, DSPy, Microsoft GraphRAG, and dozens of agentic frameworks; compromising this component places an interceptor on every enterprise LLM call — including prompts, responses, and model API credentials.
The mitigation: Enable PyPI Trusted Publishing (OIDC-based, no static secret); verify package hashes (sigstore) before integration; isolate AI build environments from production secrets; monitor .pth files and Python interpreter hooks in CI/CD build environments.

Consultant's reading: This incident establishes a structural precedent: attacking the LLM orchestration gateway layer is more cost-efficient for an attacker than targeting models directly — a single compromised package exposes an organization's entire agentic fleet. The NHS England cyber alert (CC-4761) illustrates how rapidly this vector propagated across sectors well beyond the tech perimeter.

Risk/Limitation: Actual exposure remains difficult to quantify — the 2,488 domains represent a potential impact map, not confirmed victims. Datadog is a cloud security vendor with commercial interest in supply chain visibility; figures are however co-confirmed by NHS England, Snyk, and Trend Micro.

Link: securitylabs.datadoghq.com Publication date: 25 March 2026 Freshness: ⚪ older/foundational Source reliability: confirmed Analytical frame: cyber threat / incident

4. Indirect prompt injection has evolved into a complete kill chain — 7 of 21 documented AI coding-assistant incidents in 2025-2026 carry CVSS scores up to 9.8

— Microsoft Security Blog, "When Prompts Become Shells: RCE Vulnerabilities in AI Agent Frameworks", 7 May 2026 — with CSA Research Note, "Indirect Prompt Injection in the Wild 2026"

The Insight: Microsoft Research documents the progression of prompt injection into remote code execution across widely deployed frameworks: CVE-2025-32711 (Microsoft Copilot, CVSS 9.3), CVE-2025-53773 (GitHub Copilot, CVSS 9.6), and CVE-2025-6514 (MCP infrastructure, CVSS 9.6) illustrate a formalized kill chain — injection → credential exfiltration → lateral movement → persistence. Despite these documented incidents, 73% of production AI deployments remain exposed to prompt injection, while only 34.7% of organizations have deployed dedicated defenses.

The vector: Indirect prompt injection (malicious content embedded in documents, web pages, or API responses read by the agent) lets an external attacker execute arbitrary instructions within the agent's context — without direct system access, without authentication, exploiting only the agent's capacity to read and act on text.
The exposed surface: AI coding assistants account for 7 of the 21 incidents in the 2025-2026 registry because they combine filesystem access, shell command execution, and repository credentials — a combination that turns every document the agent processes into a potential attack vector; coding assistants represent 33% of incidents despite being a fraction of the total agentic market.
The mitigation: Isolate execution contexts via sandboxing (no unsupervised shell calls); validate instruction provenance (flag or filter prompts arriving outside a trusted channel); apply least-privilege principles to agent-accessible tools — controls now formalized in the OWASP Agent Control Standard (see item 1).

Consultant's reading: The Microsoft report delivers an important clarification for security teams: prompt injection is no longer an academic curiosity but a CVE with CVSS > 9 and a documented exploitation procedure. Any organization running LLM agents with access to development tooling (IDEs, code repositories, CI/CD pipelines) must treat this as a priority posture revision, not a roadmap item.

Risk/Limitation: Microsoft is simultaneously a security researcher and the vendor of the affected products (Copilot, Azure OpenAI Service) — a dual position that may skew the presentation of relative risks. The 73% exposure figure comes from security audits conducted by providers with a commercial interest in detecting these flaws.

Link: microsoft.com Publication date: 07 May 2026 Freshness: ⚪ older/foundational Source reliability: confirmed Analytical frame: cyber threat / incident

Strategic Signals This Week

The AI developer toolchain is the new kill chain: LiteLLM, GitHub Copilot, MCP infrastructure — attackers are no longer entering through the model but through the libraries and extensions that build, invoke, and orchestrate AI; compromising one agentic infrastructure component delivers a massive exfiltration surface without ever touching the model directly.
Excessive agent authority as the dominant production risk: OWASP's promotion of Excessive Agency from #6 to #3, validated by real-world incident data, signals that the primary AI threat is not the sophisticated adversarial attack but the over-provisioned LLM agent operating with permission scopes calibrated for integrator convenience, not security.
⚖️ What contradicts the consensus: Despite the rise of "AI-native security" as a vendor category, both the OWASP 2026 incident data and GitGuardian's findings converge on the same root cause: classic IAM debt — hardcoded credentials, over-provisioned service accounts, unrotated tokens. AI agents amplify the blast radius of these failures without creating a fundamentally new attack vector; basic identity hygiene controls (inventory, rotation, least-privilege) would deliver higher ROI than purpose-built AI security tooling for the majority of organizations.