Google touché par une première : un agent IA a été détourné pour en piéger un autre

L'été 2026 est décidément chargé pour la sécurité des agents d'intelligence artificielle.

Après OpenAI, dont un agent a piraté Hugging Face, et Anthropic, ayant observé un épisode similaire, c'est au tour de Google de se retrouver au cœur d'un incident impliquant des assistants IA autonomes.

Cette fois, pas d'agent qui s'échappe de son environnement prévu : le scénario est différent et, jusqu'ici, jamais documenté en conditions réelles.

On parle ici d'un agent IA manipulé pour en attaquer un autre, bénéficiant de privilèges plus importants. La découverte revient à Dan Lisichkin, chercheur chez Pillar Security, qui l'a signalée à Google début juin 2026 avant de la rendre publique ce lundi 3 août.

Comment un agent a pu en piéger un autre

L'affaire s'est déroulée dans le dépôt google/adk-python, qui sert de base au kit de développement d'agents IA de Google.

Deux types d'agents automatisés y cohabitaient. Le premier, accessible à n'importe quel internaute, se déclenchait dès qu'un utilisateur ouvrait une demande de modification de code (pull request) ou signalait un problème, pour effectuer un premier tri. Le second, réservé aux responsables du projet, disposait de bien plus de pouvoir et pouvait valider ou rejeter des modifications.

Problème : ces deux agents n'étaient pas aussi cloisonnés qu'ils auraient dû l'être. L'agent de tri commentait les demandes via un compte doté de vrais droits de collaborateur, et le chercheur a exploité cette faiblesse via une injection de prompt. Une technique qui consiste à glisser des instructions cachées que l'IA va exécuter comme si elles venaient de son opérateur légitime.

Concrètement, Dan Lisichkin explique avoir rédigé une demande de modification qui ressemblait à une contribution parfaitement légitime, plan de test et justification technique à l'appui. Mais le texte contenait une instruction destinée à l'agent de tri : publier un commentaire précis, formulé pour déclencher automatiquement l'agent privilégié.

La réponse de Google

L'agent de tri, sans le savoir, a suivi l'instruction. L'agent privilégié s'est alors retrouvé sollicité, et le chercheur a pu lui faire approuver une seconde demande, cette fois réellement piégée, tout en modifiant commentaires et étiquettes pour reconstituer un historique crédible.

Google a corrigé le problème, mais a refusé d'accorder une prime au chercheur pour cette chasse au bug. Selon l'entreprise, l'exploitation nécessitait de l'ingénierie sociale, et une fusion malveillante de code aurait de toute façon exigé l'intervention d'un responsable humain.