Blanchiment de confiance dans MCP : lier la provenance au décodage

What is this?

Le 22 octobre 2026, Eric Yocam, Varghese Vaidyan, Paris Kalathas, Patrick Tague, Bruce DeBruhl et Yong Wang ont publié sur arXiv « Agentic AI Defense: Decode-Time Provenance Binding for MCP » (2610.31974, cs.CR). L’article étudie les agents qui utilisent le Model Context Protocol (MCP) et sont exposés à l’injection de prompt indirecte via des sorties d’outils non fiables.

Les auteurs décrivent un schéma qu’ils nomment cross-modal trust laundering (blanchiment de confiance inter-modal). Des instructions sont dissimulées dans une image, par exemple une signature d’e-mail, au moyen de supports stéganographiques. Un scanner de texte ne les voit jamais. Dès qu’un outil décode l’image, le texte extrait entre dans un flux multi-agents, où il peut passer pour un contenu de confiance ordinaire.

How it works

La faiblesse tient à un problème d’étiquetage plutôt qu’à un problème de prompt. Un contenu initialement non fiable (une image issue d’un e-mail externe) est transformé par un outil en texte brut, et le statut « non fiable » se perd en route. Les agents en aval traitent alors ce texte comme n’importe quel résultat d’outil.

Le banc d’essai du papier est un environnement MCP réel avec trois supports stéganographiques et 24 charges adaptatives. D’après les auteurs, un pipeline non protégé était entièrement compromis (100 % de réussite des attaques), et les filtres par mots-clés ou expressions régulières en laissaient encore passer 62,5 % chacun. Le modèle de menace inclut aussi un agent compromis qui tente de substituer une étiquette de confiance valide.

La défense proposée, la liaison de provenance au décodage, comporte quatre éléments : marquer le contenu comme non fiable au moment du décodage, authentifier les étiquettes de confiance par HMAC, suivre la filiation dans un registre de provenance pour que la contamination suive les contenus dérivés, et appliquer la règle au point d’action, de sorte que les appels d’outils critiques influencés par du contenu contaminé soient bloqués. Dans les tests des auteurs, toutes les attaques ont été bloquées (0 % de réussite), y compris la substitution d’étiquette entre agents médiés. Cet article ne reproduit aucune charge utile ni procédure d’intégration.

Why it matters

De nombreuses piles d’agents analysent le texte à la recherche d’expressions suspectes avant qu’il n’atteigne le modèle. Ces travaux illustrent la fragilité de cette frontière : le contenu dangereux peut arriver sous une forme que le scanner ne sait pas lire, puis devenir du texte plus tard, à l’intérieur d’un composant de confiance. Les chaînes de traitement d’e-mails, de documents et de tickets qui gèrent des pièces jointes sont les plus exposées.

Les auteurs précisent eux-mêmes des limites. Le confinement n’est démontré que dans des environnements MCP entièrement médiés. Les résultats proviennent d’un seul banc d’essai avec 24 charges ; ils plaident pour l’approche sans constituer une garantie. Le taux de réussite des tâches légitimes était de 67 % au départ et n’atteint 100 % qu’avec un mécanisme de promotion de confiance audité : la défense a donc un coût d’usage à maîtriser.

Defenses

• Considérez tout artefact décodé ou transformé (sortie d’OCR, légende d’image, pièce jointe analysée) comme non fiable par défaut, quel que soit le niveau de confiance de l’outil source.
• Faites voyager la provenance avec la donnée : attachez des étiquettes authentifiées et propagez la contamination à tout ce qui dérive d’un contenu non fiable.
• Appliquez le contrôle à l’action, pas seulement à l’entrée : bloquez ou soumettez à validation humaine les appels d’outils à haut risque dont les entrées dépendent de contenu contaminé, conformément aux recommandations OWASP sur le moindre privilège et l’approbation humaine.
• Séparez et identifiez clairement le contenu externe, comme le recommande OWASP LLM01, qui signale aussi les instructions cachées dans les images comme un risque multimodal.
• Ne vous reposez pas uniquement sur des filtres par mots-clés ou expressions régulières ; intégrez les entrées multimodales aux tests adversariaux.
• Auditez tout chemin de « promotion de confiance », car il devient le nouvel endroit que l’attaquant visera.

Status

Élément	Détail
Article	arXiv 2610.31974, soumis le 22 octobre 2026 (v1)
Type	Défense de recherche et évaluation, pas une vulnérabilité éditeur
Correctif éditeur	Sans objet ; aucun produit précis n’est nommé dans le résumé consulté
Code et données	Les auteurs indiquent qu’ils sont publics
Limite de portée	Confinement démontré dans des environnements MCP entièrement médiés