FR
Vela montre comment les interfaces Web laissent passer des attaques connues
The Agent in the Middle: How AI-Mediated Access Reshapes Web Vulnerability Exploitation · arXiv:2610.35541
En termes simples
L’article demande si des failles connues d’un site Web causent encore des effets nuisibles lorsqu’un agent d’IA sert d’intermédiaire pour accéder au même service. Les auteurs présentent Vela, un système de test qui compare l’accès ordinaire au site, les appels directs aux outils du service et les appels effectués par un agent.
Pour chaque faille, une vérification indépendante cherchait un effet réel, comme une modification des données. Dans le dispositif de référence, l’agent a atteint tous les effets que les appels directs pouvaient produire.
Ce résultat concerne les cas et le dispositif testés ; il ne s’étend pas à tous les sites Web ni à tous les agents.
La recherche
Si un agent d’IA devient un moyen d’accéder à un service Web, cette couche supplémentaire arrête-t-elle les attaques contre des failles déjà présentes sur le serveur ? La réponse dépend en partie des opérations et des données que le service expose. Les restreindre peut bloquer des attaques, mais aussi supprimer des fonctionnalités légitimes.
Vela compare des attaques Web connues selon trois chemins d’accès et montre comment la conception de l’interface influe sur les effets vérifiés qui restent possibles.
Vela compare trois chemins d’accès aux mêmes serveurs Web vulnérables : l’accès habituel au site, les appels directs aux opérations proposées par le service et l’exécution par un agent d’IA. Dans le dispositif de référence, l’interface orientée flux de travail permettait d’exprimer 40 des 44 cas, et les appels directs comme Claude Code ont produit l’effet vérifié dans les 40. L’agent n’a donc écarté aucune des attaques autorisées par cette interface.
Avec Claude Code, modifier l’interface a fait varier le taux de conservation, de 95 % des cas avec l’accès par points de terminaison à 39 % avec l’accès par requêtes.
Cette dernière interface prenait aussi en charge moins de parcours légitimes recensés. Dans les configurations testées, ces comparaisons suggèrent que la conception de l’interface a davantage influé sur l’exposition que le choix de l’agent.
Ces résultats portent sur 44 vulnérabilités connues, trois interfaces conçues par les auteurs, ainsi que sur les agents, les requêtes et les limites d’exécution testés. Ils n’estiment pas la fréquence des vulnérabilités dans les services Web et ne permettent pas de prédire les résultats avec d’autres interfaces, d’autres agents ou d’autres combinaisons des deux.
Ce que montrent les preuves
- La question testée par Vela
Vela est un banc d’essai exécutable qui vérifie si des attaques connues contre des serveurs Web produisent toujours un effet de sécurité vérifié selon le chemin d’accès. Les auteurs comparent l’accès habituel au site, les appels directs aux opérations proposées par le service et les appels effectués par un agent d’IA.
La mesure principale, le maintien de la conséquence, correspond à la part des cas de vulnérabilité validés où le chemin testé produit l’effet prédéfini au moins une fois.
- L’agent ajoute peu de protection
Le dispositif de référence associe Claude Code à une interface orientée flux de travail, qui propose des outils pour des tâches légitimes avec des données d’entrée encadrées. Sur 44 cas de vulnérabilité validés, les appels directs pouvaient en exprimer 40 et ont produit l’effet vérifié dans les 40.
L’agent a lui aussi produit l’effet dans les 40 cas. Ainsi, 91 % de l’ensemble des cas ont été conservés, et l’agent n’a écarté aucune des attaques que cette interface permettait d’exprimer.
- Le choix de l’agent change peu de cas
Pour voir si ce résultat variait selon l’agent, les auteurs ont gardé la même interface et testé Claude Code, Codex et Grok Build. Ils ont conservé les effets dans 38 à 40 des 44 cas.
L’examen des traces n’a attribué aucune perte au niveau de l’agent à un refus ou à une modification supprimant les données de l’attaque ; Grok Build a perdu deux cas réalisables à cause d’appels mal formés ou abandonnés. Ces résultats montrent des taux de conservation similaires dans ces tests, et non un classement fiable des agents.
- La conception de l’interface influe sur l’exposition
Les auteurs ont ensuite gardé Claude Code et modifié l’interface. La conservation allait de 95 % des cas avec l’accès par points de terminaison à 39 % avec l’accès par requêtes.
L’interface par requêtes prenait aussi en charge moins de parcours légitimes parmi les 50 recensés. Cette comparaison suggère que, dans les configurations testées, la conception de l’interface influait davantage sur l’exposition que le choix de l’agent. Elle montre aussi qu’un accès plus restreint supprimait des opérations utiles.
Détails
- Auteurs de l’article original
- Ruozhao Yang, Jiongchi Yu, Ming Hu, Xiaofei Xie
- Soumis à arXiv
- Licence
- CC BY 4.0