Ce que la recherche de Salt Labs sur Manus signifie pour quiconque déploie des agents IA, et comment combler la faille révélée
Salt Labs a récemment démontré qu'un simple e-mail pouvait détourner la plateforme d'agents IA Manus et accéder aux comptes connectés d'une victime. L'analyse technique complète, preuves, charges utiles et captures d'écran à l'appui, est disponible dans le rapport de notre équipe de recherche, et Dark Reading a été le premier à rapporter cette découverte en exclusivité. Cet article en est une version condensée : ce que cette découverte signifie et ce qu'elle implique pour toute organisation déployant actuellement des agents IA.
Pour les détails techniques complets, lisez le blog de recherche de Salt Labs.
La leçon à retenir
Manus disposait d'une barrière de sécurité. Elle a fonctionné. Elle a détecté l'activité malveillante et a émis une alerte. L'attaque a pourtant réussi car l'alerte est intervenue après l'exécution du code.
Dans un système autonome, aucun humain n'intervient entre l'alerte et l'action. Un contrôle qui se déclenche avec un temps de retard est un contrôle qui n'a pas fonctionné.
C'est la véritable leçon de cette découverte, et elle dépasse largement le cadre d'une seule plateforme. La plupart des solutions de sécurité pour l'IA sont conçues pour inspecter les prompts et le comportement du modèle, c'est-à-dire la conversation. Mais un agent ne se contente pas de discuter. Il agit, accédant à des outils, des API et des comptes connectés à la vitesse de la machine. Lorsque les dommages surviennent dans les actions de l'agent plutôt que dans ses paroles, une barrière de sécurité qui surveille la conversation regarde au mauvais endroit et au mauvais moment.
Pourquoi cela concerne tout le monde, et pas seulement Manus
Le problème spécifique a été corrigé. Le schéma, lui, demeure, car il est d'ordre architectural. Tout agent qui lit des entrées non fiables — e-mail, document, page web, enregistrement — et qui peut agir sur des systèmes connectés présente la même vulnérabilité. Les barrières de sécurité basées sur la reconnaissance de modèles connus passeront toujours à côté des menaces inédites, et les attaquants disposent d'un nombre illimité de nouveaux stratagèmes. Parallèlement, l'agent dispose souvent d'un accès étendu aux systèmes mêmes que l'attaquant cherche à atteindre.
Il ne s'agit pas d'une préoccupation hypothétique pour l'avenir. Les entreprises connectent dès aujourd'hui leurs agents à leurs e-mails, espaces de stockage, dépôts de code et systèmes métier, souvent avec des accès supérieurs aux besoins réels et une visibilité limitée sur les actions réelles de ces agents une fois lancés.
Ce que les organisations peuvent faire
Combler cette lacune ne signifie pas ralentir l'adoption de l'IA. Cela signifie être capable de voir et de gouverner ce que font vos agents. En pratique, cela repose sur quelques principes :
- Partez du principe que des entrées non fiables atteindront le chemin d'exécution. Considérez tout ce qu'un agent peut lire comme une source potentielle d'instructions malveillantes, car c'est le cas.
- Ne vous reposez pas uniquement sur les barrières de sécurité. Les filtres de reconnaissance de modèles sont une couche nécessaire, mais pas une défense complète. Concevez vos systèmes en prévoyant le cas où une barrière serait contournée.
- Appliquez les contrôles avant l'action, pas après. Une détection qui survient après l'exécution d'une action à fort impact n'a rien empêché du tout. Les contrôles doivent bloquer les actions sensibles avant qu'elles ne soient exécutées.
- Appliquez le principe du moindre privilège à chaque agent. Dans le cas de la faille Manus, l'étendue des dégâts provenait d'un environnement unique contenant des jetons actifs pour chaque service connecté. Un accès limité et ciblé réduit considérablement l'impact d'une éventuelle compromission.
- Obtenez une visibilité sur l'ensemble du parcours. L'attaque s'est propagée depuis un e-mail, à travers le modèle, vers un outil, puis un environnement d'exécution, jusqu'au système d'exploitation, aux jetons stockés et aux comptes tiers.
Aucun contrôle individuel n'a pu détecter l'ensemble du processus. Vous devez être en mesure de le faire.
Comment Salt vous aide
C'est précisément le problème que la plateforme de sécurité pour agents de Salt Security est conçue pour résoudre. Salt identifie les agents, les serveurs MCP et les API en activité dans un environnement, cartographie les connexions et les autorisations entre eux, et surveille le comportement des agents lors de l'exécution. Les équipes de sécurité peuvent ainsi visualiser le parcours complet d'un agent et intervenir dès que son comportement s'écarte de ce qui était prévu.
Là où les garde-fous au niveau du modèle surveillent la conversation, Salt sécurise ce que l'agent fait réellement à travers les outils et les API qu'il utilise, soit la couche où l'attaque Manus, et celles qui lui ressemblent, causent des dommages. Cette combinaison de visibilité sur l'ensemble du parcours de l'agent et d'application des règles au point d'action transforme une détection tardive en une attaque stoppée.
Lire l'étude complète
L'analyse technique complète, preuves à l'appui pour chaque affirmation, est disponible sur le blog de Salt Labs : Inside the Manus Exploit. Pour découvrir comment Salt offre aux équipes de sécurité une visibilité et un contrôle complets sur leur environnement d'agents, rendez-vous sur salt.security et/ou demandez une démonstration dès aujourd'hui.