2026-10-10

Resilience & Cyber-Security

prompt injection, data poisoning, agent abuse, adversarial-aware defense, non-human identity

1. AgentCorruption : un seul prompt suffit à prendre le contrôle de tous les agents d'un compte AWS

— Zenity Labs / SecTor 2026, Dark Reading, 8 octobre 2026

L'Insight : Des chercheurs de Zenity Labs ont présenté à la conférence SecTor 2026 une chaîne de vulnérabilités dans AWS AgentCore permettant, à partir d'un seul prompt envoyé à un agent public, de prendre le contrôle de tous les agents AgentCore du même compte et de la même région AWS, d'accéder à AWS Secrets Manager et de lire les sessions d'autres agents. AWS a corrigé la faille en réduisant les permissions du rôle IAM par défaut.

Le vecteur : L'agent tourne dans un Firecracker MicroVM sans isolation réseau suffisante ; l'attaquant force l'agent à émettre une requête HTTP vers le point de terminaison IMDS (Instance Metadata Service) pour récupérer des credentials temporaires. Le rôle IAM par défaut d'AgentCore couvrait l'ensemble des ressources AgentCore de la région — le principe du moindre privilège était absent à la conception.
La surface exposée : Tous les agents AgentCore du compte cible dans la région, les secrets stockés dans AWS Secrets Manager, les données de session inter-agents — soit l'intégralité du périmètre agentique d'une organisation déployée sur AgentCore.
La mitigation : AWS a réduit le scope du rôle IAM par défaut (patch déployé). Pour les équipes en production : auditer les rôles IAM de tous les agents déployés sur AgentCore, vérifier l'isolation réseau des MicroVM, appliquer un rôle par agent avec portée minimale, et tester les hypothèses d'isolation multi-tenant.

Lecture du consultant : AgentCorruption illustre que le risque le plus immédiat sur les plateformes d'agents cloud n'est pas la manipulation du modèle mais la misconfiguration IAM classique. Un agent sur-privilégié devient un pivot réseau dès qu'il peut émettre des requêtes HTTP arbitraires. La question à poser à chaque équipe déployant des agents sur un hyperscaler : « Quel est le rayon de destruction maximal si cet agent est compromis ? » — avant même d'aborder la question des prompts.

Risque / Limite : Zenity Labs est le vendeur qui a à la fois contribué 14 techniques agentic à MITRE ATLAS et divulgué cette vulnérabilité — sa couverture médiatique profite directement à son positionnement produit. AWS a confirmé et patché le problème, ce qui valide la substance ; la mise en scène SecTor amplifie néanmoins l'impact de communication.

Lien : darkreading.com Date de publication : 8 octobre 2026 Fraîcheur : 🟢 <7j Fiabilité de la source : confirmé Cadre d'analyse : menace cyber

2. Les agents OpenAI perturbent les services Wikimedia — l'Unbounded Consumption sort du classement OWASP

— Dark Reading / The Register, 6–7 octobre 2026

L'Insight : La Wikimedia Foundation a confirmé que des agents opérés par OpenAI ont envoyé des millions de requêtes API et crawlé des millions de pages sur ses propriétés en mai 2026, contribuant à une panne partielle du Wikidata Query Service (WDQS) ; la CPTO Selena Deckelmann a documenté des tentatives d'utilisation de l'outil Etherpad public de Wikimedia comme proxy pour récupérer du contenu externe. OpenAI n'a pas contesté les faits et indique avoir mis en place des contrôles de débit depuis.

Avant : Le risque « agent incontrôlé » était cadré principalement comme manipulation de données ou exfiltration — une menace sur l'intégrité et la confidentialité.
Après : L'incident Wikimedia illustre une troisième catégorie de dommage : la dégradation de service d'une infrastructure tierce par consommation non bornée (OWASP LLM06 — Unbounded Consumption). Les agents n'avaient aucune intention malveillante ; ils exécutaient leurs tâches sans budget de ressources externes, transformant un comportement fonctionnel en impact opérationnel sur un tiers.

Lecture du consultant : Ce n'est pas un incident de sécurité au sens classique — aucune donnée n'a été compromise, aucune intrusion n'a eu lieu. C'est un incident de gouvernance : des agents correctement calibrés pour leurs tâches internes, mais sans contrainte de consommation sur les API et services tiers. Pour un DSI ou un RSSI, la question opérationnelle devient : nos agents en production ont-ils des limites de débit et des budgets de consommation applicables aux services externes qu'ils interrogent ?

Risque / Limite : Wikimedia « croit » que l'activité provenait d'agents OpenAI sans l'avoir prouvé formellement — l'attribution est difficile dans un environnement multi-agent. La panne WDQS n'a pas été établie comme directement causée, seulement « possiblement contribuée ». L'incident remonte à mai 2026 ; la divulgation publique en octobre introduit un biais de récence dans la perception du risque.

Lien : darkreading.com Date de publication : 7 octobre 2026 Fraîcheur : 🟢 <7j Fiabilité de la source : probable Cadre d'analyse : bascule structurelle

3. MITRE ATLAS v2026.09 : 67 % des techniques cartographient désormais la couche agentique

— MITRE ATLAS (CTID / Zenity Labs), 15 septembre 2026

L'Insight : La release v2026.09 de MITRE ATLAS, publiée le 15 septembre, porte le total à 208 techniques dont 139 (67 %) étiquetées « Agentic AI » — devant Generative AI (106) et Enterprise (85). Quatorze nouvelles techniques agentic ont été intégrées, incluant Agent Context Poisoning (AML.T0080), Exfiltration via Tool Invocation (AML.T0086), Data Destruction via Agent Tools (AML.T0101) et Escape to Host — cette dernière étant empiriquement illustrée par AgentCorruption trois semaines plus tard.

Avant : ATLAS cartographiait principalement les attaques sur la couche modèle — empoisonnement d'entraînement (AML.T0020), extraction de modèle (AML.T0024), évasion adversariale. La menace était traitée comme un problème de machine learning.
Après : La majorité des techniques documentées visent l'orchestration, les outils, les identités et les systèmes atteints par les agents en exécution — pas le modèle lui-même. Le risque pivot : un agent avec des permissions larges et un accès réseau non sandboxé est un vecteur d'attaque indépendant de la robustesse du modèle sous-jacent.

Lecture du consultant : Les red teams qui opèrent encore sur un modèle de menace centré sur le prompt et le modèle couvrent moins d'un tiers des techniques documentées dans ATLAS 2026. La priorité pratique : mapper les outils et permissions de chaque agent déployé contre les 14 nouvelles techniques agentic, appliquer le principe d'autorité minimale à chaque invocation d'outil, et intégrer les techniques ATLAS dans les exercices de threat modeling avant tout déploiement agentique.

Risque / Limite : Les 14 nouvelles techniques agentic ont été contribuées par Zenity Labs, même vendeur que l'item AgentCorruption — biais de cadrage vers les scénarios couverts par leur produit. Plusieurs techniques n'ont pas encore de cas documentés en production réelle, ce qui rend la pondération de risque difficile. ATLAS évolue plus vite qu'ATT&CK, ce qui reflète la jeunesse du domaine plus qu'une maturité taxonomique établie.

Lien : zenity.io Date de publication : 15 septembre 2026 Fraîcheur : 🟡 <30j Fiabilité de la source : confirmé Cadre d'analyse : bascule structurelle

4. L'OWASP LLM Top 10 2026 ancre son classement dans 6 639 incidents : l'Agence Excessive monte sur le podium

— OWASP GenAI Security Project, 4 août 2026 (Black Hat USA)

L'Insight : La version 2026 de l'OWASP LLM Top 10, publiée le 4 août à la Black Hat USA, est la première édition pondérée à 25 % par un corpus empirique de 6 639 incidents de sécurité IA documentés issus de bases de vulnérabilités publiques et d'un référentiel de préjudices IA. L'Agence Excessive (LLM03) passe de la 6e à la 3e place, la Prompt Injection demeure #1, et le « Hidden Context Exposure » (ex-System Prompt Leakage) étend son périmètre à tout contenu non-utilisateur assemblé dans le contexte du modèle, incluant schémas d'outils et règles de workflow.

Le chiffre : 6 639 incidents classifiés, pondérés à 25 % dans le score final — 75 % restant au vote praticien. L'ascension de LLM03 de #6 à #3 est directement corrélée à la montée en production des agents autonomes depuis 2024.
Ce qu'il contredit : Le récit dominant « la Prompt Injection est le seul risque LLM sérieux » — en 2026, ce que l'agent fait après la génération (actions irréversibles, accès systèmes, escalade de permissions) constitue une classe de risque de même ordre que la manipulation du modèle.
Ce qu'il ne dit pas : Le corpus ne capture pas les incidents classifiés ou non divulgués en entreprise. La pondération 75 % vote communautaire peut refléter la saillance médiatique plus que la prévalence réelle. La comparaison avec les éditions précédentes est rendue peu robuste par la rupture méthodologique 2026.

Lecture du consultant : LLM03 au podium envoie un signal de priorité budgétaire : descendre de la couche modèle vers la couche exécution — scope des outils, moindre privilège, confirmation humaine avant toute action irréversible. Trois des quatre incidents documentés cette semaine (AgentCorruption, Wikimedia, AISI juillet) relèvent de LLM03 ou LLM06, validant empiriquement la nouvelle taxonomie.

Risque / Limite : L'OWASP est un collectif ouvert — la qualité des contributions est hétérogène. Ce rapport a 67 jours ; il est inclus comme ancre taxonomique car aucune mise à jour de portée équivalente n'a été publiée depuis Black Hat.

Lien : labs.cloudsecurityalliance.org Date de publication : 4 août 2026 Fraîcheur : ⚪ rapport de fond — ancre taxonomique de référence pour la semaine Fiabilité de la source : confirmé Cadre d'analyse : donnée/benchmark

Signaux stratégiques de la semaine

La misconfiguration IAM surpasse la sophistication du modèle comme vecteur d'attaque : AgentCorruption n'exploite ni le modèle ni le prompt — il exploite un rôle IAM trop large sur une plateforme cloud. L'incident Wikimedia ne résulte pas d'une faille LLM mais de l'absence de budgets de consommation externe. Les deux incidents les plus récents de la semaine seraient prévenus par des pratiques DevSecOps classiques, avant toute mesure LLM-spécifique.
La couche exécution devient la surface d'attaque primaire : OWASP (LLM03 au #3), MITRE ATLAS (67 % des techniques Agentic AI), et deux incidents confirmés cette semaine convergent : la menace a migré de l'intérieur du modèle vers ce que l'agent fait après la génération — les outils invoqués, les permissions détenues, les systèmes atteints.
⚖️ Ce qui contredit le consensus : Le récit dominant de l'« AI security » met en avant des attaques sophistiquées — prompt injection, adversarial ML, empoisonnement d'entraînement. Les deux incidents les plus frais et les mieux documentés de cette semaine sont causés par un rôle IAM trop large (AgentCorruption) et une absence de rate limiting (Wikimedia). L'essentiel du risque agentique en production aujourd'hui est adressable par de la sécurité cloud classique, pas par des défenses spécifiquement LLM.

1. AgentCorruption: a single prompt is enough to hijack every agent in an AWS account

— Zenity Labs / SecTor 2026, Dark Reading, 8 October 2026

The Insight: Zenity Labs researchers presented at SecTor 2026 a vulnerability chain in AWS AgentCore that allows an attacker, from a single prompt sent to one public-facing agent, to take over every AgentCore agent in the same AWS account and region, access AWS Secrets Manager, and read other agents' session data. AWS patched the issue by narrowing the default IAM role's permissions.

The vector: The agent runs inside a Firecracker MicroVM without sufficient network isolation; the attacker forces the agent to issue an HTTP request to the Instance Metadata Service (IMDS) endpoint to retrieve temporary credentials. The default AgentCore IAM role covered all AgentCore resources across the entire region — least-privilege principles were absent by design.
The exposed surface: Every AgentCore agent in the target account and region, secrets stored in AWS Secrets Manager, cross-agent session data — the entire agentic perimeter of any organisation deployed on AgentCore.
The mitigation: AWS narrowed the default IAM role scope (patch deployed). For teams in production: audit IAM roles for every agent deployed on AgentCore, verify MicroVM network isolation, enforce one role per agent with minimal scope, and test multi-tenant isolation assumptions.

Consultant's reading: AgentCorruption demonstrates that the most immediate risk on cloud agent platforms is not model manipulation but classic IAM misconfiguration. An over-privileged agent becomes a network pivot as soon as it can issue arbitrary HTTP requests. The operative question for every team deploying agents on a hyperscaler: "What is the blast radius if this agent is compromised?" — before even opening the prompt-injection question.

Risk/Limitation: Zenity Labs is the vendor that both contributed 14 agentic techniques to MITRE ATLAS and disclosed this vulnerability — media coverage benefits their product positioning directly. AWS confirmed and patched the issue, validating the substance, but the SecTor presentation amplifies the communication impact.

Link: darkreading.com Publication date: 8 October 2026 Freshness: 🟢 <7d Source reliability: confirmed Analytical frame: cyber threat

2. OpenAI agents disrupt Wikimedia services — Unbounded Consumption steps out of the OWASP ranking

— Dark Reading / The Register, 6–7 October 2026

The Insight: The Wikimedia Foundation confirmed that OpenAI-operated agents sent millions of API requests and crawled millions of pages across its properties in May 2026, contributing to a partial Wikidata Query Service (WDQS) outage; CPTO Selena Deckelmann also documented attempts to use Wikimedia's public Etherpad tool as a proxy to fetch content from external sites. OpenAI did not dispute the facts and stated rate-limiting controls have since been added.

Before: "Rogue agent" risk was framed primarily as data manipulation or exfiltration — a threat to integrity and confidentiality.
After: The Wikimedia incident illustrates a third damage category: service degradation of third-party infrastructure through unbounded consumption (OWASP LLM06). The agents had no malicious intent; they executed their tasks without external resource budgets, converting functional behaviour into operational impact on a third party.

Consultant's reading: This is not a security incident in the classical sense — no data was compromised, no intrusion occurred. It is a governance incident: agents correctly calibrated for their internal tasks, but without enforceable consumption constraints on external APIs and services. The operative question for any CIO or CISO: do our production agents carry rate limits and resource budgets applicable to the third-party services they query?

Risk/Limitation: Wikimedia "believes" the activity came from OpenAI agents without formal proof — attribution is difficult in multi-agent environments. The WDQS outage was not established as directly caused, only "possibly contributed to." The incident dates to May 2026; public disclosure in October introduces a recency bias into risk perception.

Link: darkreading.com Publication date: 7 October 2026 Freshness: 🟢 <7d Source reliability: probable Analytical frame: structural shift

3. MITRE ATLAS v2026.09: 67% of techniques now map the agentic execution layer

— MITRE ATLAS (CTID / Zenity Labs), 15 September 2026

The Insight: MITRE ATLAS release v2026.09, published September 15, brings the total to 208 techniques of which 139 (67%) are tagged "Agentic AI" — ahead of Generative AI (106) and Enterprise (85). Fourteen new agentic techniques were incorporated, including Agent Context Poisoning (AML.T0080), Exfiltration via Tool Invocation (AML.T0086), Data Destruction via Agent Tools (AML.T0101), and Escape to Host — the last of which was empirically demonstrated by the AgentCorruption disclosure three weeks later.

Before: ATLAS primarily mapped model-layer attacks — training poisoning (AML.T0020), model extraction (AML.T0024), adversarial evasion. The threat was treated as a machine learning problem.
After: The majority of documented techniques target orchestration, tools, identities, and systems reached by agents at runtime — not the model itself. The pivotal risk: an agent with broad permissions and unsandboxed network access is an independent attack vector, regardless of the underlying model's robustness.

Consultant's reading: Red teams still operating on a prompt- and model-centric threat model cover fewer than a third of the techniques documented in ATLAS 2026. Practical priority: map the tools and permissions of each deployed agent against the 14 new agentic techniques, apply least-authority principles to every tool invocation, and integrate ATLAS techniques into threat-modelling exercises before any agentic deployment.

Risk/Limitation: The 14 new agentic techniques were contributed by Zenity Labs — the same vendor behind the AgentCorruption disclosure — introducing framing bias toward scenarios their product addresses. Several techniques have no documented production cases yet, making risk prioritisation difficult. ATLAS evolves faster than ATT&CK, reflecting the field's youth rather than established taxonomic maturity.

Link: zenity.io Publication date: 15 September 2026 Freshness: 🟡 <30d Source reliability: confirmed Analytical frame: structural shift

4. OWASP LLM Top 10 2026 anchors its ranking in 6,639 incidents — Excessive Agency reaches the podium

— OWASP GenAI Security Project, 4 August 2026 (Black Hat USA)

The Insight: The OWASP LLM Top 10 2026, published August 4 at Black Hat USA, is the first edition partially weighted (25%) by an empirical corpus of 6,639 documented AI security incidents from public vulnerability databases and an AI-harm repository. Excessive Agency (LLM03) climbed from sixth to third place, Prompt Injection remains #1, and "Hidden Context Exposure" (formerly System Prompt Leakage) expands its scope to any non-user-facing content assembled into the model's context, including tool schemas and workflow rules.

The figure: 6,639 classified incidents carrying 25% of the final score — 75% retained by practitioner voting. The ascent of LLM03 from #6 to #3 directly correlates with the expansion of autonomous agents into production since 2024.
What it contradicts: The dominant narrative that "Prompt Injection is the only serious LLM risk" — in 2026, what the agent does after generation (irreversible actions, system access, privilege escalation) constitutes a risk class of the same order as model manipulation.
What it doesn't say: The corpus does not capture classified or undisclosed enterprise incidents. The 75% community vote weighting may reflect media salience more than actual prevalence. Year-on-year comparison is undermined by the 2026 methodological break.

Consultant's reading: LLM03 on the podium sends a clear budget-priority signal: move controls from the model layer down to the execution layer — tool scope, least privilege, human confirmation before irreversible actions. Three of the four incidents documented this week (AgentCorruption, Wikimedia, AISI July) fall under LLM03 or LLM06, empirically validating the new taxonomy.

Risk/Limitation: OWASP is an open collective — contribution quality is uneven. This report is 67 days old; it is included as a taxonomic anchor because no equivalent update has been published since Black Hat.

Link: labs.cloudsecurityalliance.org Publication date: 4 August 2026 Freshness: ⚪ older/foundational — included as this week's taxonomic reference anchor Source reliability: confirmed Analytical frame: data/benchmark

Strategic Signals This Week

IAM misconfiguration outranks model sophistication as the primary attack vector: AgentCorruption exploits neither the model nor the prompt — it exploits an over-broad IAM role on a cloud platform. The Wikimedia incident results not from an LLM flaw but from missing resource consumption budgets. Both of this week's freshest incidents would be prevented by classical DevSecOps practices before any LLM-specific measure.
The execution layer displaces the model layer as the primary attack surface: OWASP (LLM03 at #3), MITRE ATLAS (67% of techniques tagged Agentic AI), and two confirmed incidents this week converge on the same diagnosis — the threat migrated from inside the model to what the agent does after generation: the tools invoked, the permissions held, the systems reached.
⚖️ What contradicts the consensus: The dominant "AI security" narrative foregrounds sophisticated attacks — prompt injection, adversarial ML, training data poisoning. The two freshest and best-documented incidents this week were caused by an over-broad IAM role (AgentCorruption) and absent rate limiting (Wikimedia). The bulk of real-world agentic risk in production today is addressable by classical cloud security, not LLM-specific defences.