2026-10-17

Resilience & Cyber-Security

prompt injection, data poisoning, agent abuse, adversarial-aware defense, non-human identity

1. 49,8 % des entreprises ont subi des actions non autorisées d'agents IA — et seules 17,5 % sont capables de les stopper en temps réel

— Salt Security, State of Agentic AI and API Security 2H 2026, 14 octobre 2026

L'Insight : Selon une enquête menée auprès de plus de 380 professionnels de la sécurité, près d'une organisation sur deux a constaté ou suspecté des actions inattendues ou non autorisées de la part d'agents IA au cours des douze derniers mois. Parmi ces incidents, plus de la moitié impliquaient des appels API non autorisés ou des transactions non souhaitées, et plus de 40 % concernaient des modifications ou suppressions de données.

Le chiffre : 17,5 % seulement des organisations déclarent pouvoir interrompre automatiquement un agent se comportant de façon anormale en production ; plus de 60 % admettent qu'il leur faudrait plusieurs heures — voire plusieurs jours — pour reconstituer l'activité d'un agent de la veille.
Ce qu'il contredit : Le discours des éditeurs selon lequel les guardrails d'agents IA en production seraient désormais « enterprise-ready ».
Ce qu'il ne dit pas : Quelle proportion de ces incidents a réellement provoqué une brèche matérielle plutôt qu'une simple violation de politique interne. La définition large d'« action non autorisée » — de l'appel API hors périmètre jusqu'à la suppression de données — dilue la mesure de sévérité réelle.

Lecture du consultant : Le vrai problème n'est pas que les agents agissent mal — c'est que les équipes sécurité ne disposent pas encore des primitives d'observabilité pour détecter et stopper l'anomalie avant qu'elle se propage. L'absence de traçabilité de bout en bout (instruction → outils → résultat) transforme chaque déploiement agentique en boîte noire opérationnelle. La priorité n'est pas le blocage préventif mais l'instrumentation de la chaîne d'action : AgBOM, logs d'appels d'outils, kill switch testés.

Risque / Limite : Salt Security est un éditeur de sécurité API avec un intérêt commercial direct à amplifier la perception du risque. Les chiffres sont néanmoins corroborés par plusieurs médias indépendants (Security Today, IT Security Guru, Security Boulevard), ce qui renforce leur crédibilité relative.

Lien : securitytoday.com Date de publication : 14 octobre 2026 Fraîcheur : 🟢 <7j Fiabilité de la source : probable Cadre d'analyse : donnée/benchmark

2. CVE-2026-90970 (CVSS 9,9) : une faille critique dans l'AI Gateway de GitLab permet l'exécution de commandes arbitraires depuis un template de prompt

— Rescana + Security Affairs, 3 octobre 2026

L'Insight : Une vulnérabilité de neutralisation incorrecte (CWE-1336) dans le moteur de templating Jinja2-style de GitLab Duo Agent Platform permet à tout utilisateur authentifié d'échapper au sandbox de templates et d'exécuter des commandes arbitraires sur l'hôte AI Gateway — sans élévation de privilège supplémentaire. GitLab a publié des correctifs pour les versions 19.2.4, 19.3.2 et 19.4.1 et a déjà déployé le patch sur ses instances hébergées ; les déploiements self-hosted restent exposés jusqu'à mise à jour.

Le vecteur : Injection via un template de flux personnalisé exploitant les balises {{ variable }} du moteur Jinja2 ; accessible à tout utilisateur disposant d'un accès Duo Agent Platform, sans droits administrateur.
La surface exposée : Toutes les installations GitLab self-hosted en versions 18.1.6 à 19.2.3 / 19.3.1 / 19.4.0. Dans les entreprises ayant activé Duo sur leurs pipelines CI/CD, la compromission de l'AI Gateway donne accès aux runners, aux secrets Vault et aux dépôts de code source.
La mitigation : Mise à jour immédiate vers 19.2.4+, 19.3.2+ ou 19.4.1+ ; en attente du patch, désactiver ou restreindre l'accès Duo Agent Platform aux seuls comptes de service nécessaires.

Lecture du consultant : CVE-2026-90970 illustre le vecteur le plus sous-estimé de la sécurité IA : le sandbox de templating n'est pas un périmètre de sécurité fiable dès lors qu'il accepte des entrées contrôlées par l'utilisateur. C'est la même classe de vulnérabilité que les injections SQL des années 1990, transposée à la couche IA. Pour les RSSI, c'est un signal que toute infrastructure AI Gateway — maison ou commerciale — doit être auditée avec une grille de menace spécifique, distincte des scanners de vulnérabilités classiques.

Risque / Limite : Aucune exploitation dans la nature n'est documentée à ce jour. La criticité 9,9 suppose qu'un attaquant dispose d'un compte GitLab authentifié avec accès Duo — ce qui réduit la surface d'attaque externe mais aggrave le risque interne (insider, compromission de compte).

Lien : rescana.com Date de publication : 3 octobre 2026 Fraîcheur : 🟡 <30j Fiabilité de la source : confirmé Cadre d'analyse : menace cyber

3. OWASP LLM Top 10 2026 + Agent Control Standard (CSA) : l'Excessive Agency monte au rang 3 et un standard d'audit agentique entre en vigueur

— Cloud Security Alliance (CSA) + OWASP GenAI Project, août 2026

L'Insight : La mise à jour 2026 de l'OWASP Top 10 pour les LLM propulse l'Excessive Agency de la 6e à la 3e place, reflétant l'accumulation d'incidents de production liés aux systèmes agentiques. En parallèle, le CSA Agent Control Standard introduit un cadre déclaratif avec points d'application de politique et Agent Bill of Materials (AgBOM) pour tracer, inspecter et instrumenter les agents autonomes en production.

L'obligation : Adopter les dix catégories ASI01–ASI10 (OWASP Top 10 for Agentic Applications) couvrant le détournement d'objectifs, l'abus d'outils, la confusion d'identité et les défaillances en cascade multi-agents ; produire un AgBOM pour chaque agent en production. Le retrait de System Prompt Leakage au profit de Hidden Context Exposure reconnaît que mémoire agent, réponses d'outils et état applicatif sont désormais aussi sensibles que le prompt système lui-même.
L'échéance : Framework publié en août 2026 ; pas de contrainte réglementaire directe, mais déjà référencé dans les appels d'offres gouvernementaux US/UE comme critère de maturité sécurité IA.
L'exposition pour l'entreprise : Les organisations déployant des agents sans conformité ASI s'exposent à un blast radius non maîtrisé : un agent peut propager une action non souhaitée à travers N outils et N systèmes connectés sans qu'aucun contrôle intermédiaire ne l'intercepte.

Lecture du consultant : L'AgBOM est le concept le plus actionnable de cette mise à jour : il transpose au périmètre agentique la logique du Software Bill of Materials qui a transformé la gouvernance des dépendances open source après Log4Shell. Pour les équipes sécurité, c'est le point d'entrée concret vers la visibilité agentique — avant de déployer un kill switch, il faut savoir ce qu'on peut arrêter. Un inventaire agentique (quels agents, quels outils, quelle portée d'action) est la première démarche défendable à proposer à un COMEX.

Risque / Limite : OWASP et CSA sont des organisations à but non lucratif reconnues (sources primaires indépendantes), mais le framework n'est pas certifiable : il n'existe pas encore de label de conformité ASI auditable par un tiers. Le risque est que les entreprises cochent les cases sans mettre en place les contrôles opérationnels correspondants.

Lien : labs.cloudsecurityalliance.org Date de publication : août 2026 Fraîcheur : 🟡 <30j Fiabilité de la source : confirmé Cadre d'analyse : régulation/norme

4. Les identités non-humaines prolifèrent à 144 pour 1 — et 97 % des agents IA héritent de plus de droits qu'ils n'en ont besoin

— NHIMG + GitGuardian, NHI Reality Report 2026, 2026

L'Insight : Selon les données agrégées du Non-Human Identity Management Group (NHIMG) et du rapport annuel GitGuardian, les identités non-humaines (NHI) — tokens, clés API, service accounts, agents IA — surpassent désormais les utilisateurs humains dans un ratio de 144:1 dans les environnements cloud enterprise. 97 % des NHI sont sur-provisionnées par rapport à leur périmètre fonctionnel, 71 % n'ont pas vu leurs credentials renouvelés dans les délais recommandés, et 70 % des incidents liés aux identités sont imputables à une activité IA autonome.

Avant : Les programmes IAM étaient conçus autour des utilisateurs humains ; les NHI constituaient une catégorie résiduelle (comptes de service, bots) gérée de façon ad hoc. Les outils PAM n'avaient pas été pensés pour des entités dont la fenêtre d'existence peut se mesurer en millisecondes.
Après : Chaque agent IA déployé crée une ou plusieurs NHI qui s'authentifient, traversent des périmètres systèmes en secondes, héritent ou étendent des droits lors du spawn de sous-tâches, puis disparaissent — un profil d'activité invisible aux outils PAM/IAM classiques. 68 % des équipes sécurité admettent ne pas pouvoir distinguer un agent légitime d'un acteur malveillant s'en faisant passer pour un.

Lecture du consultant : Le vacuum de gouvernance NHI est le chaînon manquant entre détection (savoir que des agents agissent) et contrôle (pouvoir les stopper, les auditer, les révoquer). La première action défensive est un inventaire NHI automatisé — pas un tableur — avec durée de vie maximale imposée sur les credentials et scope de moindre privilège appliqué dès la création, non en post-audit.

Risque / Limite : NHIMG est un groupement d'industrie dont plusieurs membres sont éditeurs de solutions NHI — biais de cadrage évident. Les ratios (144:1, 97 %) varient significativement selon le secteur et la maturité cloud ; les appliquer comme benchmark universel serait trompeur. Le chiffre de 70 % d'incidents liés à l'IA est auto-déclaratif et non audité par un tiers indépendant.

Lien : nhimg.org Fraîcheur : 🟡 <30j Fiabilité de la source : probable Cadre d'analyse : bascule structurelle

Signaux stratégiques de la semaine

Le périmètre d'attaque s'est déplacé de la couche modèle vers l'infrastructure agentique : CVE-2026-90970 et les incidents d'actions non autorisées montrent que la menace principale n'est plus l'adversarial prompt au sens étroit, mais la chaîne complète d'exécution — templates, passerelles, outils, identités. Les classes de vulnérabilités classiques (injection, sandbox escape) réapparaissent à une nouvelle couche que les scanners traditionnels ne couvrent pas.
La gouvernance des identités non-humaines est le nouveau périmètre de contrôle de l'IA en entreprise : Le ratio 144:1 et l'incapacité à stopper un agent en temps réel (17,5 %) convergent vers un même déficit : les organisations déploient des agents sans avoir mis en place les primitives d'identité, de traçabilité et de révocation qu'ils exigent.
⚖️ Ce qui contredit le consensus : Le discours dominant présente les frameworks (OWASP, MITRE ATLAS, AgBOM) comme la réponse au risque agentique — or seules 19 % des entreprises pratiquent le red-teaming adversarial de leurs systèmes IA, et 16 % valident leur supply chain IA. L'accumulation de standards sans adoption opérationnelle produit une fausse confiance systémique analogue à celle documentée pour les pipelines d'évaluation IA (cf. brief 2026-10-13).

1. 49.8% of enterprises have experienced unauthorized AI agent actions — and only 17.5% can stop them in real time

— Salt Security, State of Agentic AI and API Security 2H 2026, October 14, 2026

The Insight: A survey of more than 380 security and technology professionals found that nearly one in two organizations confirmed or suspected unexpected or unauthorized AI agent actions in the past twelve months. Among incidents reported, more than half involved unauthorized API calls or transactions, and more than 40% involved data modification or deletion.

The figure: Only 17.5% of organizations say they can automatically halt a misbehaving agent in a live environment; more than 60% say reconstructing an agent's previous-day activity would require hours or days of manual investigation.
What it contradicts: Vendor claims that enterprise-grade agentic guardrails are now "production-ready."
What it doesn't say: What share of incidents caused a material breach versus a minor internal policy violation. The broad definition of "unauthorized action" — ranging from an out-of-scope API call to data deletion — blurs the actual severity distribution.

Consultant's reading: The core problem is not that agents misbehave — it is that security teams lack the observability primitives to detect and stop anomalies before they propagate. The absence of end-to-end traceability (instruction → tools → outcome) turns every agentic deployment into an operational black box. The priority is not preventive blocking but instrumenting the action chain: AgBOM, tool-call logs, tested kill switches.

Risk/Limitation: Salt Security is an API security vendor with a direct commercial interest in amplifying risk perception. The figures are nonetheless corroborated by multiple independent outlets (Security Today, IT Security Guru, Security Boulevard), which reinforces their relative credibility.

Link: securitytoday.com Publication date: 14 October 2026 Freshness: 🟢 <7d Source reliability: probable Analytical frame: data/benchmark

2. CVE-2026-90970 (CVSS 9.9): critical GitLab AI Gateway flaw enables arbitrary command execution via prompt template sandbox escape

— Rescana + Security Affairs, October 3, 2026

The Insight: An improper-neutralization vulnerability (CWE-1336) in GitLab Duo Agent Platform's Jinja2-style template engine allows any authenticated user with Duo Agent Platform access to escape the prompt-template sandbox and execute arbitrary commands on the AI Gateway host — without additional privilege escalation. GitLab has released patches in versions 19.2.4, 19.3.2, and 19.4.1 and has already deployed the fix to hosted instances; self-hosted deployments remain exposed until updated.

The vector: Injection via a custom Jinja2 flow template ({{ variable }} tags), classified as CWE-1336; reachable by any user with Duo Agent Platform access — no admin rights required.
The exposed surface: All self-hosted GitLab instances running versions 18.1.6 through 19.2.3 / 19.3.1 / 19.4.0. In organizations with Duo enabled on CI/CD pipelines, compromising the AI Gateway grants access to runners, Vault secrets, and source code repositories.
The mitigation: Immediate upgrade to 19.2.4+, 19.3.2+, or 19.4.1+; in the interim, disable or restrict Duo Agent Platform access to the minimum required service accounts.

Consultant's reading: CVE-2026-90970 demonstrates the most underestimated AI security vector: a template sandbox is not a reliable security boundary when it accepts user-controlled input. This is the same vulnerability class as 1990s SQL injection — transposed to the AI layer. For CISOs, this is a signal that every AI Gateway deployment — homegrown or commercial — must be audited against an AI-specific threat model, distinct from conventional vulnerability scanners.

Risk/Limitation: No exploitation in the wild has been documented to date. The 9.9 CVSS score assumes the attacker holds an authenticated GitLab account with Duo access — which narrows the external attack surface but amplifies insider and compromised-credential risk.

Link: rescana.com Publication date: 3 October 2026 Freshness: 🟡 <30d Source reliability: confirmed Analytical frame: cyber threat

3. OWASP LLM Top 10 2026 + CSA Agent Control Standard: Excessive Agency rises to #3 and a new agentic audit standard enters production

— Cloud Security Alliance (CSA) + OWASP GenAI Project, August 2026

The Insight: The OWASP 2026 LLM Top 10 update moves Excessive Agency from sixth to third place, reflecting documented production incidents tied to agentic systems. The CSA Agent Control Standard, released alongside, introduces a declarative framework with policy enforcement points and an Agent Bill of Materials (AgBOM) for tracing, inspecting, and instrumenting autonomous agents in production.

The obligation: Adopt the ten ASI01–ASI10 categories (OWASP Top 10 for Agentic Applications) covering goal hijacking, tool misuse, identity and privilege abuse, and cascading multi-agent failures; produce an AgBOM for every agent in production. The retirement of System Prompt Leakage in favor of Hidden Context Exposure reflects that agent memory, tool responses, and application state are now as sensitive as the system prompt itself.
The deadline: Framework published August 2026; no direct regulatory mandate, but already referenced in US and EU government procurement as an AI security maturity criterion.
The exposure: Organizations deploying agents without ASI compliance face uncontrolled blast radius: an agent can propagate an unwanted action through N tools and N connected systems with no intermediate control to intercept it.

Consultant's reading: The AgBOM is the most actionable concept in this update: it transposes to the agentic perimeter the Software Bill of Materials logic that transformed open-source dependency governance after Log4Shell. For security teams, it is the concrete entry point to agentic visibility — before deploying a kill switch, you need to know what you can kill. An agentic inventory mission (which agents, which tools, what action scope) is the first defensible action to propose to the C-suite.

Risk/Limitation: OWASP and CSA are recognized independent non-profits (primary sources), but the framework is not certifiable: no auditable third-party ASI compliance label exists yet. The risk is that organizations tick boxes without implementing the corresponding operational controls.

Link: labs.cloudsecurityalliance.org Publication date: August 2026 Freshness: 🟡 <30d Source reliability: confirmed Analytical frame: regulation/standard

4. Non-human identities now outnumber humans 144-to-1 — and 97% of AI agents hold more access than their function requires

— NHIMG + GitGuardian, NHI Reality Report 2026, 2026

The Insight: According to aggregated data from the Non-Human Identity Management Group (NHIMG) and GitGuardian's annual report, non-human identities (NHIs) — tokens, API keys, service accounts, AI agents — now outnumber human users 144:1 across enterprise cloud environments. 97% of NHIs are over-provisioned relative to their functional scope, 71% have not had credentials rotated within recommended timeframes, and 70% of identity-related security incidents are linked to autonomous AI activity.

Before: Identity and access management programs were designed around human users; NHIs were a residual category (service accounts, bots) governed ad hoc. PAM tools were not designed for entities whose existence window can be measured in milliseconds.
After: Every deployed AI agent creates one or more NHIs that authenticate, traverse system boundaries in seconds, inherit or extend permissions when spawning sub-tasks, and then disappear — an activity profile invisible to conventional PAM and IAM tooling. 68% of security teams admit they cannot distinguish a legitimate agent from a malicious actor impersonating one.

Consultant's reading: The NHI governance vacuum is the missing link between detection (knowing agents are acting) and control (being able to stop, audit, or revoke them). The first defensive action is an automated NHI inventory — not a spreadsheet — with enforced maximum credential lifetimes and least-privilege scope applied at creation time, not discovered in post-incident review.

Risk/Limitation: NHIMG is an industry consortium with several vendor members who sell NHI management solutions — obvious framing bias. The ratios (144:1, 97%) vary significantly by sector and cloud maturity; applying them as universal benchmarks would be misleading. The 70% incident attribution figure is self-reported and has not been independently audited.

Link: nhimg.org Freshness: 🟡 <30d Source reliability: probable Analytical frame: structural shift

Strategic Signals This Week

The attack surface has shifted from the model layer to agentic infrastructure: CVE-2026-90970 and the wave of unauthorized agent actions show that the primary threat is no longer adversarial prompting in the narrow sense, but the full execution chain — templates, gateways, tools, identities. Classic vulnerability classes (injection, sandbox escape) are reappearing at a new layer that conventional scanners do not cover.
Non-human identity governance is the new AI control perimeter in the enterprise: The 144:1 ratio and the inability to halt agents in real time (17.5%) converge on the same deficit: organizations are deploying agents without the identity, traceability, and revocation primitives they require.
⚖️ What contradicts the consensus: The dominant narrative frames frameworks (OWASP, MITRE ATLAS, AgBOM) as the answer to agentic risk — yet only 19% of enterprises conduct adversarial red-teaming of their AI systems, and only 16% validate their AI supply chain. Accumulating standards without operational adoption generates the same systemic false confidence documented for AI evaluation pipelines (cf. brief 2026-10-13).