Le NIST alerte sur les attaques via les outils MCP des agents IA

Le 9 novembre 2026, l'Institut national américain des normes et de la technologie (NIST) a publié une première version publique de la publication spéciale NIST SP 2400-102e2026, intitulée « Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations ». Selon le NIST, le texte est ouvert aux commentaires publics jusqu'au 18 décembre 2026. Le projet alerte notamment sur la chaîne d'approvisionnement des outils que les agents IA appellent via le Model Context Protocol (MCP).

Qu'est-ce que l'apprentissage automatique adverse, et que couvre le projet du NIST ?

L'apprentissage automatique adverse (adversarial machine learning, AML) étudie les attaques qui manipulent volontairement des systèmes d'apprentissage automatique, ainsi que les défenses correspondantes. Selon le NIST, le rapport établit une taxonomie des concepts et définit la terminologie du domaine. La taxonomie suit une hiérarchie conceptuelle qui couvre les grands types de méthodes d'apprentissage automatique, les étapes du cycle de vie d'une attaque, ainsi que les buts, objectifs, capacités et connaissances des attaquants. Le NIST indique qu'elle s'appuie sur une vaste revue de la littérature, des échanges avec des experts de l'AML et les travaux de ses propres spécialistes.

Le projet prolonge la série historique NIST AI 100-2, d'après la page de la publication, qui cite AI 100-2 E2025 parmi les publications liées. Les auteurs mentionnés sont Apostol Vassilev et Maia Hamin (NIST), Alina Oprea (Northeastern University), Alie Fordyce (ElevenLabs) et Xander Davies (U.K. AI Security Institute). Cette édition se concentre sur les attaques contre les systèmes agentiques et leurs parades, traitées en section 4 du rapport, avec un nouvel index des types d'attaques agentiques.

Une précision de vocabulaire s'impose. Les pages du NIST emploient elles-mêmes l'abréviation « SI », développée en « Super Intelligence », pour désigner les systèmes visés, alors que CDO Magazine et iThome décrivent un projet consacré aux systèmes d'IA agentique. Cet article écrit « IA » et suit la description de ces deux médias.

Quelles attaques la taxonomie recense-t-elle ?

Selon CDO Magazine, qui a rendu compte du projet le 12 novembre, le document examine l'empoisonnement des données, l'empoisonnement des modèles, les attaques contre la vie privée et les techniques d'évasion. Pour l'IA générative, il traite les attaques sur la chaîne d'approvisionnement, l'injection de prompt directe et indirecte, l'extraction d'informations et l'altération des modèles. L'injection de prompt consiste à cacher des instructions dans un texte lu par un modèle pour que celui-ci leur obéisse.

Le média taïwanais iThome indique le 13 novembre que le projet couvre l'apprentissage automatique prédictif, l'IA générative et les systèmes d'IA agentique, avec les défenses associées. La partie agentique, précise CDO Magazine, aborde les menaces nées des interactions des agents avec des données externes, des outils, des compétences et d'autres agents : données non fiables, outils et compétences malveillants, flux multi-agents et tâches de longue durée.

Comment empoisonner un outil MCP ?

Le Model Context Protocol (MCP) est un standard qui permet à des agents IA de se connecter à des outils externes proposés par des serveurs tiers. D'après le résumé d'iThome, un agent choisit l'outil à utiliser d'après la description textuelle fournie par le fournisseur de l'outil. Le NIST décrit un attaquant qui glisse des instructions dans la description d'un outil malveillant pour pousser l'agent à choisir l'outil de l'attaquant, voire à modifier son plan initial. Le NIST nomme cette technique l'empoisonnement d'outil (tool poisoning).

Une seconde technique est le « rug pull », selon iThome. L'attaquant enregistre d'abord un serveur MCP d'apparence normale dans un registre public d'outils. Une fois le serveur installé par les utilisateurs, il modifie discrètement les descriptions d'outils fournies, afin que l'agent exécute des opérations malveillantes sans redemander l'accord de l'utilisateur.

iThome ajoute que des travaux cités par le NIST ont constaté ce type de risque sur des serveurs MCP en fonctionnement réel. Le même résumé affirme que les mécanismes actuels d'alignement de sécurité des modèles d'IA restent insuffisants pour bloquer un comportement malveillant transmis par une interface d'outil légitime.

Quelles défenses le NIST suggère-t-il ?

Les deux médias rapportent des listes de parades différentes et complémentaires tirées du projet :

• Vérifier les définitions d'outils par des signatures cryptographiques et des identifiants de version immuables, et isoler l'environnement d'exécution des outils dans un bac à sable (iThome).
• Séparer les instructions de confiance du contenu non fiable, restreindre les flux d'informations, appliquer des contrôles d'accès et des permissions au moindre privilège, et recourir au bac à sable et à la journalisation d'audit (CDO Magazine).

Pourquoi un redémarrage ne suffit-il pas contre l'empoisonnement de la mémoire ?

Au-delà des outils, iThome rapporte que le NIST examine les risques des agents qui exécutent de longues tâches. Si un attaquant implante du contenu malveillant dans la mémoire à long terme d'un agent, ce contenu peut influencer son comportement lors de tâches ultérieures : c'est l'empoisonnement de la mémoire. CDO Magazine explique que les agents récupèrent des informations sur des sites web, dans des fichiers, des bases de connaissances et une mémoire persistante, et que des instructions malveillantes glissées dans ces contenus peuvent entrer dans le contexte de l'agent.

Second risque : la dérive des instructions. Selon iThome, à mesure que les données de travail s'accumulent, un agent peut suivre de moins en moins fidèlement ses consignes et contraintes initiales, ce qui laisse à un attaquant la possibilité de modifier son comportement au fil de plusieurs interactions. Si l'élément empoisonné est le modèle de fondation ou sa couche d'adaptation, un simple redémarrage ou retour en arrière peut ne pas supprimer le comportement malveillant, et il peut falloir remplacer le modèle ou le réentraîner, toujours selon iThome.

Qu'est-ce que cela change pour une entreprise ?

CDO Magazine précise que le projet est volontaire et n'établit aucune exigence légale ou réglementaire. C'est aussi un brouillon : le NIST dit qu'il mettra le document à jour au fil de l'évolution des attaques et des défenses, et il demande des commentaires sur trois questions, à savoir les attaques les plus récentes contre les systèmes actuels et agentiques en particulier, les parades efficaces les plus récentes, et les termes nouveaux à normaliser. Le NIST indique que la taxonomie doit alimenter de futures normes et guides de pratique.

Pour une entreprise française ou européenne qui travaille avec des fournisseurs ou des clients américains, ce projet offre un vocabulaire commun pour interroger ses prestataires et rédiger ses exigences de sécurité. Notre lecture, qui n'est pas une déclaration du NIST : un premier pas consiste à recenser chaque serveur et outil MCP que ses agents peuvent appeler, à figer les versions utilisées, à revérifier les descriptions d'outils après chaque mise à jour, à ne donner aux agents que les permissions nécessaires et à conserver des journaux de leurs actions. Ces contrôles s'inscrivent dans un cadre plus large de gouvernance des agents IA.