Pas besoin de compromettre un binaire : il suffit de glisser des instructions cachées dans une notice que l’agent prend pour parole d’évangile. Microsoft prévient qu’un agent IA branché au Model Context Protocol (MCP) peut être détourné si la description d’un outil est trafiquée. L’attaque ne vise pas le code exécuté, mais le texte que l’agent lit pour décider quoi faire. Dans le scénario décrit par l’éditeur, l’agent collecte tranquillement des factures, puis fait sortir des données d’entreprise via des appels d’outils d’apparence parfaitement légitime.
L’alerte prolonge une série de publications signées Microsoft en juin sur la sécurité des agents IA et les risques propres au MCP, ce protocole de plus en plus utilisé pour brancher des modèles sur des outils externes. Le nœud du problème : une frontière de confiance floue. Une description d’outil n’est que du texte, mais elle pilote le comportement de l’agent comme une consigne en bonne et due forme.
Points clés
- Une description d’outil MCP modifiée avec des instructions cachées peut détourner le comportement d’un agent IA sans compromettre le moindre exécutable.
- Le scénario décrit par Microsoft permet d’exfiltrer des données d’entreprise (factures) via des appels d’outils d’apparence légitime, parfois sans aucune alerte.
- Microsoft recommande de traiter chaque serveur MCP comme une dépendance de production, avec inspection des métadonnées, contrôles DLP et validation humaine pour les actions sensibles.
L’attaque se cache dans la notice
L’enchaînement décrit par Microsoft tient en quelques lignes. Un serveur MCP diffuse une mise à jour. Le nom de l’outil ne bouge pas, sa fonction affichée non plus, mais sa description en langage naturel embarque désormais des instructions dissimulées. L’agent les lit, les suit, puis exécute une action qui dépasse largement la demande initiale.
Le cas d’usage cité est limpide. Un analyste pose une question banale sur un fournisseur. Au passage, l’agent obéit à une consigne planquée et récupère les trente dernières factures impayées. La donnée repart dans l’appel d’outil, où un serveur contrôlé par un attaquant peut la traiter ou l’enregistrer. Et dans certaines configurations, aucune alerte ne sonne. Le crime parfait, ou presque.
Cette famille d’attaques a un nom dans la taxonomie maison : MCP / plugin abuse. La mise à jour du 4 juin ajoute plusieurs modes de défaillance liés aux agents, dont le tool description poisoning, l’injection d’instructions côté serveur et l’override entre serveurs de confiance. Le 30 juin, Microsoft a remis une couche dans un billet consacré au passage des outils IA « de la lecture à l’action ».
Au-delà du malware classique
Le MCP a été conçu pour standardiser la découverte d’outils et l’accès aux données. Sauf que cette standardisation ouvre aussi une belle surface d’attaque. L’agent mélange les instructions de l’utilisateur, les métadonnées de l’outil et le contenu renvoyé par ce même outil. Si une description peut être modifiée sans revue sérieuse, elle devient une consigne invisible.
Microsoft insiste sur la différence avec une compromission logicielle classique. Ici, pas besoin de toucher à un exécutable : il suffit de retoucher le texte que l’agent ingère. L’éditeur recommande de traiter chaque serveur MCP comme une dépendance de production, de limiter les outils autorisés, d’inspecter les métadonnées, d’appliquer des contrôles DLP sur les paramètres de sortie et d’exiger une validation humaine pour les actions sensibles.
Un protocole déjà dans le viseur des chercheurs
Le MCP avait déjà attiré l’œil des chercheurs en 2025, puis au premier semestre 2026, avec des alertes sur les abus de serveur, les injections d’instructions et l’exposition de capacités internes des agents. Dans son billet du 30 juin, Microsoft cite ses propres garde-fous maison : Prompt Shields, Defender for Cloud, Microsoft Purview, Sentinel et Entra Agent ID pour encadrer les usages en entreprise.
Le message ne varie pas : une description d’outil n’est pas une simple notice qu’on lit en diagonale. Dès qu’un agent peut agir sur des données réelles, cette métadonnée fait partie intégrante de la chaîne de confiance. Et tout ce qui entre dans la chaîne de confiance mérite la même méfiance qu’une ligne de code.
