Le prompt « Repeat‑After‑Me » contourne six cadres d’agents IA, le montrent les chercheurs

Le 9 octobre 2026, une équipe de chercheurs affiliés à Penn State, à l'Université de Montpellier et à Dartmouth a publié un article commun détaillant une nouvelle technique d’attaque baptisée « Repeat‑After‑Me ». Cette technique exploite une faiblesse de conception des agents orchestrés par IA, leur permettant d’exécuter des appels d’outils fournis par un adversaire malgré les mécanismes de protection intégrés.

Les expériences menées portent sur six cadres d’agents IA largement déployés dans l’industrie : LangChain / LangGraph, Microsoft Agent Framework, Microsoft AutoGen, Google Agent Development Kit 2.0, AWS Strands Agents et CrewAI. Tous les six ont montré une vulnérabilité face au prompt spécialement conçu, confirmant la portée générale du problème.

Principe du prompt « Repeat‑After‑Me »

L’attaque commence par une requête qui semble inoffensive, contenant l’expression « repeat after me :». Le modèle de langage interprète cette phrase comme une consigne d’écho et renvoie le texte qui suit à l’identique. Si ce texte inclut une charge d’appel d’outil, le cadre d’orchestration le traite comme une requête légitime et déclenche l’exécution de l’outil sous‑jacent.

Dans la démonstration réalisée avec LangGraph version 1.2.0, le modèle Llama 3.1 8B exécuté via Ollama a d’abord refusé la requête, mais a tout de même émis la chaîne brute d’appel d’outil. Après une reformulation hypothétique, le modèle a généré un appel structuré qui a été exécuté avant que le refus ne soit effectivement appliqué, prouvant la viabilité de l’exploit.

Portée des vulnérabilités découvertes

Au‑delà du contournement basé sur le prompt, les auteurs ont mené une campagne de fuzzing massive sur 273 serveurs d’orchestration multi‑outils (MCP) open‑source. Cette campagne a mis en évidence 253 bugs de sécurité confirmés sur 118 serveurs, touchant 343 outils différents.

Les failles les plus graves recensées comprennent 64 traversées de chemin, 7 vulnérabilités de falsification de requête côté serveur (SSRF), 5 incidents de fuite de données et 3 vulnérabilités d’injection de commandes OS. Le reste des bugs relève principalement d’injections de sortie ou de problèmes de journalisation.

Le cadre de fuzzing ToFu

Pour pallier ces lacunes, les chercheurs ont présenté ToFu, un cadre de fuzzing qui exploite les métadonnées des outils, les mappe aux entrées CWE correspondantes et génère automatiquement des contrôles de sécurité. ToFu crée des harnesses et des oracles sémantiques en analysant les traces d’exécution et en assainissant les résultats obtenus.

• Génération automatique de harnesses de fuzzing à partir des spécifications d’outil
• Oracles sémantiques construits à partir de l’introspection d’exécution
• Modèles de contrôles de sécurité basés sur les CWE
• Tests en lot de milliers d’instances d’outil
• Rapports de bugs vérifiés avec charges reproductibles

L’article souligne que de nombreux outils accordent implicitement confiance aux sorties du LLM pour désinfecter les entrées, même lorsque ces entrées proviennent d’autres outils ou de sources externes. Cette confiance tacite élargit considérablement la surface d’attaque, ouvrant la porte à des exploits en chaîne à travers plusieurs composants orchestrés.

Les mainteneurs de LangGraph ont été informés de l’absence de contrôles pré‑exécution et ont reconnu le problème, tandis qu’aucune réponse publique n’a été enregistrée de la part des équipes responsables de LangChain, Microsoft, Google, AWS ou CrewAI au moment de la rédaction de l’étude.

Implications pour les organisations francophones

Pour les entreprises et institutions francophones qui utilisent ces cadres d’agents, les conclusions signifient que tout flux de travail piloté par un LLM et intégrant des outils externes doit être considéré comme potentiellement vulnérable jusqu’à ce que des correctifs concrets soient déployés.

Parmi les mesures d’urgence recommandées figurent la désactivation de l’exécution automatique d’outils, l’imposition d’une validation stricte des entrées en dehors du LLM, ainsi que l’intégration du fuzzing de type ToFu dans les pipelines d’intégration continue afin de détecter les failles de confiance avant qu’elles ne soient exploitées.

En outre, les équipes de sécurité sont invitées à surveiller les mises à jour des fournisseurs de cadres, à auditer les logs d’appels d’outils et à mettre en place des politiques de moindre privilège pour les outils exposés aux appels de modèles de langage.

Enfin, la publication de ToFu ouvre la voie à une automatisation plus fiable du test de sécurité des frontières de confiance entre LLM et outils, offrant aux organisations un levier supplémentaire pour renforcer leurs défenses dans un écosystème d’IA de plus en plus interconnecté.

En résumé, le prompt « Repeat‑After‑Me » expose une faiblesse structurelle commune à plusieurs cadres d’agents IA, tandis que le cadre ToFu propose une réponse méthodologique robuste. Les acteurs francophones doivent dès à présent réviser leurs configurations, appliquer les correctifs suggérés et intégrer des tests de fuzzing continus pour prévenir de futures compromissions.