OWASP Agentic Security (ASI) Top 10 (2026) : les risques des systèmes d'IA agentique

L'OWASP Agentic Top 10 (ASI01–ASI10) est la liste des risques liés aux agents IA autonomes publiée le 9 décembre 2025 par l'OWASP GenAI Security Project sous l'égide de l'Agentic Security Initiative (ASI). Il complète le LLM Top 10, désormais bien établi, avec des menaces propres aux agents qui découlent de l'autonomie, de l'utilisation d'outils, de la coordination multi-agents et de la mémoire persistante. Cette liste sert de référence aux déployeurs en Europe qui utilisent des agents en production et doivent justifier leurs risques auprès de l'audit, des autorités de contrôle et de la direction.

• Ce que c'est : un registre des risques évalué par des pairs, avec dix classes de menaces propres aux agents, et non un catalogue de contrôles.
• Pourquoi elle est nécessaire : les agents planifient, choisissent des outils, écrivent en mémoire et agissent, ce qui élargit la surface d'attaque au-delà de ce que modélise le LLM Top 10.
• Points de vigilance : la numérotation T1 à T15 du guide OWASP de février 2025 est souvent citée comme ASI01 et suivants, ce qui entraîne des confusions.

Quelle liste est laquelle ? Le piège de la taxonomie

L'OWASP publie désormais toute une famille d'artefacts de sécurité de l'IA qui se recoupent. Pour les équipes risques et achats, une délimitation nette est décisive :

• OWASP LLM Top 10 (LLM01:2025–LLM10:2025) : risques liés aux modèles et aux applications pour toute application d'IA générative, qu'elle soit conversationnelle, basée sur le RAG, de type copilote ou agentique.
• OWASP Agentic Top 10 (ASI01–ASI10, 2026) : risques des agents autonomes, publié le 9 décembre 2025.
• OWASP AI Exchange, AIVSS, MCP Top 10, Agentic Skills Top 10 (AST10) : artefacts complémentaires pour la base de connaissances, la notation et le niveau protocole ou skills.

Important : une liste candidate avec « Memory Poisoning » en ASI01, qui circule encore beaucoup, remonte au guide OWASP de février 2025 : Agentic AI: Threats and Mitigations décrivait dans sa version 1.0 un total de 15 menaces, numérotées de T1 à T15 (la version actuelle, la 1.1 de décembre 2025, va jusqu'à T17). Memory Poisoning y figure en T1. Beaucoup d'articles pratiques de 2025 ont repris cet ordre sous le nom « ASI01 » et le citent encore aujourd'hui. Seule cette lecture est dépassée, pas le guide : le Top 10 final le désigne comme sa taxonomie de référence et rattache ses menaces aux entrées ASI. Memory Poisoning (T1) relève d'ASI06, Overwhelming Human in the Loop (T10) d'ASI09, Repudiation & Untraceability (T8) d'ASI08 et d'ASI09.

Pourquoi les systèmes agentiques ont besoin de leur propre liste

Le LLM Top 10 a été rédigé pour des systèmes qui, pour l'essentiel, répondent : un prompt entre, une réponse sort, éventuellement ancrée par du RAG. Les systèmes agentiques, eux, planifient, raisonnent, choisissent des outils, écrivent en mémoire et agissent, avec un minimum de validation humaine étape par étape. L'OWASP le résume ainsi : les systèmes agentiques héritent de tous les risques des LLM et introduisent des classes de vulnérabilités entièrement nouvelles liées à l'autonomie, à l'intégration d'outils, à la coordination multi-agents et à l'état persistant.

Le framework open source de red teaming DeepTeam décrit l'effet d'amplification de façon concise : ASI01 (Agent Goal Hijack) = LLM01 (Prompt Injection) × LLM06 (Excessive Agency), mais avec une exécution en plusieurs étapes qui multiplie les dégâts au-delà d'une réponse isolée. Selon DeepTeam, ASI07, ASI08 et ASI10 sont de nouvelles classes de vulnérabilités sans équivalent direct dans le LLM Top 10. Dans l'annexe A de l'Agentic Top 10, l'OWASP associe aussi des risques LLM à ces entrées (ASI07 : LLM02, LLM06 ; ASI08 : LLM01, LLM04, LLM06 ; ASI10 : LLM02, LLM09).

Les dix risques en un coup d'œil

Le tableau suivant résume la liste canonique, la catégorie de contrôle principale et les risques associés du LLM Top 10. Le rattachement aux LLM suit l'annexe A de l'OWASP Top 10 for Agentic Applications 2026. La mention « pas d'équivalent direct » est reprise de DeepTeam.

ASI01 : Agent Goal Hijack

Un attaquant manipule les objectifs, le choix des tâches ou les chemins de décision d'un agent, via une injection de prompt, des sorties d'outils manipulées, des artefacts malveillants, des messages inter-agents falsifiés ou des données externes empoisonnées. L'agent n'a pas besoin d'être « défectueux » : il suit des instructions qu'il croit légitimes, parce que les modèles ne savent pas séparer de manière fiable instructions et données. Incident documenté : EchoLeak (CVE-2025-32711, CVSS 9,3) dans Microsoft 365 Copilot, la première injection de prompt zero-click réelle dans un système en production. Un e-mail piégé a contourné le classificateur XPIA et exfiltré des contenus sensibles sans le moindre clic (Aim Labs, juin 2025).

ASI02 : Tool Misuse & Exploitation

L'agent agit dans le cadre de ses droits autorisés, mais utilise un outil légitime de façon non sécurisée : il supprime des données, appelle de manière excessive des API coûteuses, exfiltre des informations. Différence avec ASI03 : l'accès est légitime, l'usage ne l'est pas. Cas documenté : Amazon Q Developer (CVE-2025-8217). Des instructions manipulées dans la version 1.84.0 de l'extension VS Code auraient, avec les flags --trust-all-tools --no-interactive, supprimé des systèmes de fichiers et des ressources cloud sans confirmation (analyse du code malveillant chez PointGuard AI) ; environ un million de développeurs avaient installé l'extension. Dans l'annexe D de l'Agentic Top 10 (ASI Agentic Exploits & Incidents Tracker), l'OWASP rattache le cas à ASI01, ASI02 et ASI04.

ASI03 : Identity & Privilege Abuse

Les agents travaillent avec des droits étendus. Si un agent est compromis, l'attaquant hérite de ses autorisations. L'héritage des privilèges est le risque systémique dominant, car les identités des agents sont mal modélisées dans des systèmes IAM conçus pour les humains. La recommandation : traiter chaque agent comme une Non-Human Identity (NHI) à part entière, avec des primitives comme Microsoft Entra Agent ID (désormais en disponibilité générale), les rôles d'agent AWS IAM et des identifiants à courte durée de vie.

ASI04 : Agentic Supply Chain Vulnerabilities

Contrairement à LLM03 (chaîne d'approvisionnement statique : données d'entraînement, modèle de base, bibliothèques au moment du build), ASI04 couvre ce que les agents chargent dynamiquement à l'exécution : serveurs MCP, plugins, outils externes, Agent Cards, sous-agents. Cas documenté : postmark-mcp (Koi Security, septembre 2025), le premier serveur MCP malveillant découvert en conditions réelles ; chaque message envoyé était copié en secret à l'attaquant, avec 1 643 téléchargements avant son retrait. Contre-mesure : un « agentic SBOM » (AIBOM) et l'application d'un registre de confiance.

ASI05 : Unexpected Code Execution

Beaucoup d'agents génèrent et exécutent du code en tant que fonctionnalité. Rien qu'en décembre 2025, SecOps Group a documenté plus de 30 CVE sur de grandes plateformes de codage par IA. Exemple : CurXecute (CVE-2025-54135), un prompt empoisonné issu d'un message Slack public pouvait réécrire ~/.cursor/mcp.json et exécuter des commandes de l'attaquant à chaque démarrage de Cursor. Contrôle : sandboxes isolées et éphémères (gVisor, Firecracker), listes de commandes autorisées, pas d'auto-approbation.

ASI06 : Memory & Context Poisoning

Les agents conservent une mémoire persistante : historique, préférences, contexte appris, stores RAG. Une seule injection réussie peut empoisonner durablement la mémoire ; chaque session future hérite de la compromission. Cas documentés : l'attaque contre la mémoire de Google Gemini (Johann Rehberger, février 2025) avec « delayed tool invocation » et les travaux de recherche de Lakera (novembre 2025), dans lesquels des agents compromis ont développé de fausses croyances persistantes et les ont défendues face aux questions d'humains. Un comportement d'agent dormant.

ASI07 : Insecure Inter-Agent Communication

Les systèmes multi-agents se coordonnent par messages. Sans authentification, intégrité et politiques solides, il est possible d'injecter de fausses informations, car les messages sont en langage naturel et la confiance est implicite. Cas documenté : Agent Session Smuggling dans le protocole A2A (Palo Alto Unit 42, novembre 2025), une campagne d'ingénierie sociale durable menée d'agent à agent plutôt qu'un coup isolé. Contrôle : mTLS, AgentCards signées cryptographiquement, graphe de collaboration explicite.

ASI08 : Cascading Failures

Dans les workflows multi-agents interconnectés, les erreurs s'additionnent. Un agent compromis peut empoisonner tous les agents avec lesquels il communique, et chaque étape supplémentaire aggrave les dégâts. Contrôle : circuit breakers, plafonds de rayon d'impact définis, bulkheads, kill switches automatiques.

ASI09 : Human-Agent Trust Exploitation

Les agents produisent des résultats soignés, au ton faisant autorité ; les humains ont tendance à les valider les yeux fermés. Le niveau de supervision, censé être un contrôle de sécurité, devient la vulnérabilité (biais d'automatisation). Lien direct avec l'article 14 du règlement européen sur l'IA. Contrôle : des points de validation HITL qui imposent une vérification indépendante des preuves, une interface à engagement forcé au lieu d'un simple bouton « Approuver ».

ASI10 : Rogue Agents

La forme la plus extrême : un agent qui s'écarte fondamentalement de sa fonction prévue, par empoisonnement accumulé de la mémoire, compromission de la chaîne d'approvisionnement ou désalignement émergent. L'OWASP cite le « Replit meltdown » (mi-2025) comme exemple. Il faut le dire honnêtement : jusqu'en mai 2026, aucun « rogue agent en production » entièrement documenté dans une grande entreprise n'avait été confirmé ; c'est un terrain de recherche de pointe et de red teaming. Contrôle : baselines comportementales continues, tâches canaris, kill switches obligatoires.

Scénario : la cascade des achats

Un scénario sans source vérifiée combine ASI08 et ASI09 : un agent d'achats y est progressivement convaincu, sur trois semaines, que sa limite d'autorisation s'élève à 500 000 USD. L'attaquant déclenche ensuite dix fausses commandes pour 5 millions USD. Chaque étape prise isolément paraît plausible (schéma de la grenouille ébouillantée, dérive de mémoire ASI06), les validateurs humains font confiance à la prétention d'autorité croissante de l'agent (ASI09) et l'effet se propage en cascade aux agents de tarification et de conformité en aval (ASI08). Leçon : limiter les dégâts exige des jetons d'idempotence sur les actions critiques, des plafonds stricts de rayon d'impact et des points de validation HITL avec vérification indépendante des preuves, au lieu de se fier uniquement à la recommandation de l'agent.

Positionnement dans le cadre de conformité européen

L'Agentic Top 10 est un registre des risques, pas un catalogue de contrôles. Il vient se superposer aux standards classiques comme ASVS et l'API Security Top 10, sans les remplacer. En complément, MAESTRO (Cloud Security Alliance) fournit la cartographie de l'architecture, MITRE ATLAS (version 5.1.0, novembre 2025, à jour en 2026) le playbook de l'attaquant et AIVSS (version 0.8, mars 2026 ; version 1.0 attendue fin 2026) la notation avec des facteurs d'amplification agentiques. L'article 15 du règlement européen sur l'IA (cybersécurité, robustesse) et l'article 14 (contrôle humain) couvrent conceptuellement de nombreux risques ASI, mais laissent au déployeur les lacunes propres aux agents, comme l'injection indirecte ou les cascades multi-agents. L'article 32 du RGPD s'applique à l'intégrité et à la confidentialité ; l'ISO 42001, NIS2 et DORA encadrent les contextes financiers et les infrastructures critiques.

Pour les agences et les décideurs B2B

Si tu conçois des agents IA pour des clients ou si tu en exploites en interne, tu devrais ancrer ASI01–ASI10 comme checklist obligatoire dans le pitch, l'architecture et le manuel d'exploitation, non pas comme un silo de sécurité, mais intégrée à l'IAM, à la journalisation et aux processus de validation. Pour le B2B en Europe, cela signifie concrètement : chaque identité d'agent traitée comme NHI avec des identifiants à courte durée de vie, auto-approbation désactivée par principe, provenance de la mémoire et isolation des tenants, kill switches dans chaque environnement de production et red teaming trimestriel. En tant qu'agence viennoise, Blck Alpaca t'aide à transformer ce registre des menaces en un registre des risques auditable, capable de tenir face à l'audit, aux autorités de contrôle et à la direction.