Un article soumis à arXiv le 26 août, « EVOMAL: Self-Poisoning in Self-Evolving Coding Agents », décrit un mode d’échec propre aux agents qui s’améliorent en inscrivant des compétences dans une bibliothèque partagée avant de les réutiliser plus tard. C’est le résultat le plus important de la semaine en matière de sécurité des agents, et le chiffre qu’on en retiendra sera le mauvais.
Le mécanisme
Les agents auto-évolutifs récupèrent une compétence existante, en imitent la structure pour en écrire une nouvelle, puis stockent le résultat pour une récupération future. L’article montre que lorsqu’une compétence récupérée contient une charge utile malveillante enveloppée dans un code structurel apparemment bénin — que les auteurs appellent une banner — l’agent qui l’imite reproduit la structure avec la charge utile, puis enregistre et exécute sa propre copie. L’attaquant dépose une compétence et ne l’active jamais. Ce sont les agents qui assurent la propagation, et chaque copie devient une source pour la suivante. Les compétences déposées se multiplient de 4,9 à 9,0 fois dans une bibliothèque empoisonnée.
Ce que le cadrage habituel ignore
L’abstract contient 86,7 %, et c’est ce chiffre que les titres retiendront. Il est mesuré dans la condition la plus favorable de l’article : lorsque les compétences déposées sont adaptées à des familles de tâches spécifiques. Le résultat général — six modèles, 153 tâches — donne un taux d’auto-empoisonnement de 20,3 % à 41,8 %. Si l’on retire la banner structurelle, le taux tombe à 11,1 % sur DeepSeek-V4-Pro. La synthèse honnête est donc qu’environ un run sur trois à un sur cinq s’auto-empoisonne dans des conditions réalistes, ce qui est déjà alarmant sans le chiffre sur mesure, et que la technique de la banner fait l’essentiel du travail. Présenter 86,7 % comme le taux revient à faire passer pour générique une attaque qui exige une préparation par famille de tâches.
Le résultat qui devrait inquiéter les opérateurs
La persistance est le vrai résultat. Après le retrait des compétences initialement déposées de la bibliothèque, l’auto-empoisonnement se poursuit à 68 % à la cinquième ronde sur Qwen3. Les propres copies des agents sont devenues la source de l’infection. Cela casse la réponse standard à un dépôt d’artefacts empoisonné — identifier les mauvaises entrées, les supprimer, passer à autre chose. Ici, la suppression des graines laisse une bibliothèque qui se réinfecte, et rien ne permet clairement de distinguer une compétence malveillante dérivée d’une compétence légitime écrite dans le même style de maison.
La défense, et ses limites
Les auteurs proposent un contre-prompt qui réduit le taux d’auto-empoisonnement à 6,7 % au maximum. C’est une forte réduction, pas une élimination. Un résiduel de 6,7 % face à un mécanisme qui se cumule au fil des rondes et multiplie les copies de 4,9 à 9,0 fois, c’est un feu ralenti, pas éteint. La conclusion structurelle — une bibliothèque de compétences partagée, modifiable et auto-récupérable est une surface d’attaque qui grossit avec l’usage — n’est pas traitée par le prompting, alors que les plateformes d’agents se construisent précisément dans cette direction.