Le piège de la sécurité de l'IA caché à la vue de tous

En explorant des sites web populaires à la recherche de scripts de fingerprinting de navigateur, un chercheur a découvert un script inhabituel avec des noms suspects et des caractères invisibles. Ce script, trouvé sur l'un des 10 000 sites web les plus visités d'Internet, contenait des éléments apparemment bénins aux côtés d'un contenu caché troublant.

Le décodage des caractères invisibles a révélé une fausse instruction remplie de sujets déclenchant des mécanismes de sécurité. Ce texte caché incluait un langage lié à des poisons comme la ricine et le fentanyl, ainsi que des termes politiquement sensibles tels que la place Tiananmen, spécifiquement ciblés vers les modèles d'IA chinois.

L'objectif apparent du script était le fingerprinting anti-bot ordinaire, collectant des données telles que les user agents et les fournisseurs de GPU. Cependant, le texte ajouté remplissait une fonction antagoniste distincte : faire échouer l'analyse par IA en déclenchant des filtres de sécurité.

Lors des tests, des modèles commerciaux de pointe comme GPT-6 Astra d'OpenAI et Claude Opus 5.5 ont immédiatement bloqué l'analyse en raison de ces mots-clés intégrés. Même le programme Daybreak Blue d'OpenAI, destiné aux travaux de sécurité approuvés, n'a pas pu contourner les refus d'Astra.

À l'inverse, les modèles open-source et chinois — notamment DeepSeek, GLM et Kimi — ont traité le script sans problème. GLM 5.3 a identifié avec succès les noms de poisons comme des recherches de variables mathématiquement inoffensives et a entièrement dés-obfusqué le code, démontrant une divergence critique dans le comportement de l'IA.

Les chercheurs ont par la suite testé le script sur divers grands modèles de langage (LLM). Les résultats ont révélé une divergence marquée : les modèles commerciaux de pointe comme GPT-6 Astra d'OpenAI et Claude Opus 5.5 et Fable 5.1 d'Anthropic ont soit refusé de traiter le code entièrement, soit interrompu l'analyse en cours de route, invoquant des violations de sécurité. Astra, par exemple, a signalé le code comme un "risque biologique possible" et a refusé de poursuivre.

Ces résultats soulignent une limitation critique. Même avec des niveaux d'accès spécialisés comme Daybreak Blue d'OpenAI — conçu pour les travaux de sécurité approuvés — les modèles ont maintenu leur refus, nécessitant le niveau supérieur Daybreak Red pour un éventuel contournement. Cependant, les modèles open-source et de l'écosystème chinois — spécifiquement DeepSeek, GLM et Kimi — ont analysé le code sans incident, réussissant à dés-obfusquer le script malgré les mots-pièges intégrés.

Ce mécanisme de refus crée un déni d'analyse, aveuglant efficacement les scanners de sécurité automatisés. Lorsqu'un système alimenté par LLM rencontre un tel script, ses garde-fous de sécurité peuvent l'empêcher d'inspecter le reste d'un fichier suspect, laissant du code potentiellement malveillant non examiné. Bien que les versions des modèles, les prompts spécifiques et les niveaux d'accès puissent influencer le comportement, les résultats observés démontrent une vulnérabilité où les filtres de sécurité deviennent un bandeau exploitable.

Les attaquants peuvent utiliser des chaînes déclenchant des refus pour perturber le triage de sécurité basé sur l'IA. En intégrant des commentaires ou des noms de variables faisant référence à des risques biologiques ou à des sujets politiques sensibles au sein de logiciels malveillants, ils peuvent inciter les grands modèles de langage (LLM) commerciaux à refuser ou à interrompre le traitement avant d'atteindre le code nuisible. Cela crée un effet de déni de service contre l'analyse statique pilotée par l'IA, aveuglant efficacement les pipelines de sécurité automatisés.

À l'inverse, les défenseurs utilisent une tactique similaire avec des context bombs dans des canary tokens. Ces chaînes de caractères courtes et cachées sont conçues pour forcer un agent IA à interrompre une intrusion après avoir rencontré un leurre. Par exemple, Tracebit, une entreprise de sécurité américaine, a rapporté un succès significatif en utilisant des context bombs lors d'attaques simulées.

Les tests de Tracebit ont impliqué cinq modèles de premier plan dans le compte cloud d'une fausse entreprise sur 152 cycles d'attaque. Claude Opus 4.8, qui obtenait un accès administrateur complet dans 93 % des exécutions normales, a atteint ce résultat zéro fois lorsqu'une seule context bomb était placée. Sur l'ensemble des modèles, l'accès administrateur est passé de 57 % des exécutions à 5 %.

Cette technique exploite le comportement du modèle plutôt que d'identifier de manière fiable un attaquant. Bien qu'efficaces dans les tests rapportés par Tracebit, les context bombs tirent parti des garde-fous de sécurité inhérents à l'IA pour transformer les mécanismes de protection de l'attaquant en un coupe-circuit défensif. Pour en savoir plus sur la découverte sous-jacente, consultez Why Is This Fingerprinting Script Creating Bioweapons?.

Ce défi dépasse la simple obfuscation ; il expose une tension critique dans la sécurité de l'IA. Les politiques de refus généralisées, conçues pour prévenir les abus, peuvent devenir par inadvertance un bandeau pour les défenseurs. Hugging Face, par exemple, s'est tourné vers un modèle GLM 5.2 auto-hébergé pour la réponse aux incidents après que les filtres de sécurité d'IA commerciaux ont bloqué l'analyse de plus de 17 000 actions d'attaquants, invoquant une incapacité à distinguer l'activité malveillante de l'investigation médico-légale.

Le compromis est frappant : des mesures de sécurité strictes peuvent entraver un travail de sécurité légitime, mais les assouplir risque de rendre les modèles plus utiles aux attaquants. Alors que des modèles comme GPT-6 Astra et Claude Opus ont refusé d'analyser des scripts suspects, des modèles ouverts comme DeepSeek, GLM et Kimi les ont traités, identifiant les déclencheurs de refus intégrés et procédant à la dés-obfuscation.

Les équipes de sécurité doivent aborder cela de manière proactive. Testez les modèles d'IA pour leur comportement de refus face à des exemples contradictoires connus et des exploits potentiels. Mettez en œuvre des approches d'analyse en couches qui combinent l'IA avec des outils traditionnels et, surtout, une révision humaine. Concevez des flux de travail médico-légaux qui supposent qu'aucun modèle ne sera toujours conforme, en garantissant que le contournement manuel et les chemins d'analyse alternatifs restent viables. Ce changement donne la priorité à une analyse fiable plutôt qu'aux interdictions globales, faisant de l'IA un partenaire plus robuste en matière de défense.

Comment un script peut-il pousser une IA à refuser de l'analyser ?

Il peut inclure du texte caché ou des leurres contenant des sujets qui déclenchent les filtres de sécurité d'un modèle, amenant le système à refuser ou à s'arrêter avant d'expliquer le code.

Le script de fingerprinting lui-même était-il malveillant ?

L'enquête décrite dans la vidéo a révélé un script anti-bot et de fingerprinting de navigateur assez standard. Son texte caché semblait conçu pour entraver l'analyse par IA.

Cette technique peut-elle être utilisée par des attaquants ?

Oui. Les attaquants peuvent placer du texte déclenchant un refus dans des logiciels malveillants ou des fichiers suspects pour perturber les analyses de sécurité et le triage basés sur l'IA.

Comment les équipes de sécurité peuvent-elles réduire le risque ?

Utilisez plusieurs méthodes d'analyse, préservez la révision humaine, testez les outils face à du contenu déclenchant des refus et évitez de dépendre d'un seul modèle ou fournisseur.