Le red teaming de SK Shieldus AI passe des tests de modèles aux actions des agents

Le red teaming de SK Shieldus AI s'est étendu au-delà des garde-fous des modèles pour couvrir le comportement des agents, les systèmes médicaux, les données connectées et les services externes. Cet élargissement compte, car les agents peuvent agir, et non seulement générer du texte dangereux.

L'entreprise affirme que son groupe de hackers éthiques, EQST, développe des scénarios d'attaque pour des systèmes combinant modèles, applications, informations privées et outils opérationnels. L'équipe applique également ses méthodes à l'IA médicale, où une décision manipulée peut affecter la sécurité des patients.

Il ne s'agit pas seulement d'une nouvelle histoire de compétition de hacking. Microsoft, OWASP et des chercheurs en sécurité ont déjà montré que l'injection de prompts peut contourner les défenses modernes. SK Shieldus cherche désormais à transformer son expérience des compétitions en tests reproductibles pour les entreprises.

Ce changement accroît la pression sur les fournisseurs de sécurité comme sur les acheteurs en entreprise. Les tests d'intrusion traditionnels examinent les frontières logicielles, les autorisations et les catégories de vulnérabilités connues. Les tests d'agents doivent également déterminer si une IA suit des instructions hostiles dissimulées dans des informations qu'elle était autorisée à lire.

Ce que SK Shieldus a changé dans le red teaming de l'IA

SK Shieldus élargit la cible, passant d'un modèle d'IA isolé à l'environnement complet dans lequel un agent prend des décisions et exécute des actions.

L'entreprise a annoncé cette extension via son groupe de hackers éthiques EQST le 18 septembre 2026. Selon le premier rapport sur la sécurité de l'IA, EQST cible les modèles, les données connectées, les applications, les services externes et les environnements d'agents.

Cette portée reflète l'architecture des agents en entreprise. Un modèle fournit généralement la couche de raisonnement, tandis que les logiciels qui l'entourent lui donnent accès aux fichiers, messages, bases de données et applications métier.

Les attaquants n'ont pas besoin de compromettre chaque composant. Il leur suffit d'une entrée de confiance qui modifie le comportement de l'agent, ou d'une autorisation excessive qui transforme une erreur en action.

L'injection de prompts est au cœur de ce problème. Elle consiste à placer des instructions malveillantes dans un contenu traité par un système d'IA, comme un e-mail, une page web, une image ou un document.

Une attaque indirecte n'exige pas qu'un utilisateur saisisse la commande hostile. L'agent récupère le contenu dans le cadre d'une tâche normale et peut prendre le texte intégré pour une instruction légitime.

EQST affirme utiliser une collection propriétaire de scénarios d'attaque et une méthodologie de test interne. L'objectif est de révéler des risques de sécurité qu'une organisation pourrait avoir du mal à identifier lors d'un examen interne.

L'équipe a également contribué à un guide de red teaming de la sécurité de l'IA publié par le ministère sud-coréen des Sciences et des TIC et la Korea Internet and Security Agency. Le guide du 7 juillet couvre la préparation, l'exécution, l'organisation des équipes et le reporting.

Cette attention portée au processus est importante. Un jailbreak ingénieux peut susciter de l'attention, mais une évaluation en entreprise nécessite des cibles définies, des preuves, des niveaux de gravité, des conseils de remédiation et un nouveau test fiable.

L'extension s'inscrit également dans l'approche plus large de SK Shieldus, qui considère les agents d'IA comme des identités non humaines. Il s'agit d'acteurs logiciels qui nécessitent des identités et des autorisations contrôlées, car ils interagissent avec les systèmes de l'entreprise.

En août, l'entreprise a déclaré étendre les pratiques de confiance zéro aux agents. Son approche traite chaque requête d'agent comme nécessitant une vérification d'identité, une autorisation limitée et une évaluation continue.

Cette extension de la confiance zéro complète le red teaming. Les contrôles d'identité limitent ce qu'un agent peut atteindre, tandis que les tests adversariaux examinent comment ces contrôles échouent sous pression.

Aucun de ces deux éléments ne suffit à lui seul. Un agent doté d'un raisonnement solide mais d'un accès excessif reste dangereux. Un agent strictement limité peut tout de même exposer des données ou produire des recommandations nuisibles dans son environnement autorisé.

Le changement notable n'est donc pas une technique d'attaque unique. C'est la décision de tester toute la chaîne reliant une entrée non fiable à une action aux conséquences importantes.

Cette chaîne peut inclure des systèmes de récupération, la sélection d'outils, l'authentification, la mémoire, les écrans d'approbation, la journalisation et les applications en aval. Chaque connexion crée un nouveau point où l'intention peut se perdre ou l'autorité être mal appliquée.

Pour les acheteurs, la sécurité des agents de SK Shieldus porte désormais une promesse plus large. EQST ne teste pas seulement si un modèle refuse des requêtes interdites. Il teste si les agents déployés se comportent de manière sûre lorsque leurs entrées habituelles deviennent hostiles.

Les agents d'IA transforment les failles de modèles en actions métier

Le problème de sécurité central est l'autonomie excessive : une sortie manipulée devient dangereuse lorsque le logiciel dispose d'autorisations suffisantes pour agir.

Un chatbot peut répondre à un prompt hostile par un texte inexact ou restreint. Un agent peut utiliser cette même réponse manipulée pour envoyer un message, divulguer un fichier, modifier un enregistrement ou appeler un autre service.

OWASP définit l'autonomie excessive autour de trois défaillances de conception courantes : des fonctionnalités excessives, des autorisations excessives et une autonomie excessive. Ses recommandations sur le risque d'autonomie décrivent comment l'injection de prompts peut déclencher des actions dommageables via des outils sur-privilégiés.

Prenons un assistant de messagerie qui doit résumer une boîte mail. Un accès en lecture répond à cet objectif. L'autorisation d'envoyer des messages crée une capacité supplémentaire qui n'est peut-être pas nécessaire.

Un e-mail malveillant peut contenir des instructions demandant à l'assistant de rechercher d'autres messages et de transférer des informations sensibles. L'agent peut rencontrer ces instructions lors d'une tâche de récupération autorisée.

La faiblesse s'étend sur plusieurs couches. Le modèle ne distingue pas les données des commandes, l'application expose un outil d'envoi et l'identité dispose de l'autorisation nécessaire pour l'utiliser.

Un benchmark portant uniquement sur le modèle ne capture que la première défaillance. Le red teaming de SK Shieldus AI doit reproduire l'ensemble du parcours s'il veut mesurer le risque opérationnel.

Microsoft a fourni un exemple concret avec son concours LLMail-Inject. Le service simulé pouvait lire des e-mails et agir pour un utilisateur, notamment en envoyant des messages.

Les attaquants ont tenté de placer des instructions dans des e-mails que le service récupérerait. Leur objectif était d'amener l'assistant à effectuer une action que l'utilisateur n'avait jamais demandée.

Le concours comprenait des défenses telles que des classificateurs d'entrée, une analyse d'activation, une évaluation fondée sur des modèles et une hiérarchie d'instructions. Les participants ont néanmoins adapté leurs attaques à différents scénarios et modèles.

Microsoft a enregistré 621 participants, 224 équipes et 370 724 soumissions lors du premier défi. Les résultats sur l'injection de prompts montrent pourquoi une seule évaluation réussie ne peut pas trancher la question.

Les défenseurs modifient les filtres, les prompts et les modèles. Les attaquants changent alors la formulation, le placement, l'encodage, la langue ou le contexte. La sécurité des agents devient une compétition continue plutôt qu'une certification ponctuelle.

C'est aussi pourquoi les données connectées méritent un examen distinct. Les agents en entreprise ingèrent du contenu provenant de sources auxquelles les employés font déjà confiance, notamment des lecteurs partagés, des tickets clients, des wikis internes et des outils collaboratifs.

Une charge utile malveillante peut être introduite par n'importe quel contributeur ou compte compromis autorisé à modifier ce contenu. L'agent peut la récupérer ultérieurement sans reconnaître que cette modification constitue une attaque.

Les entrées multimodales ajoutent une autre voie. Des instructions hostiles peuvent apparaître dans une image, un extrait audio ou une vidéo plutôt que dans du texte brut.

En juin, le chercheur d'EQST Byunghyun Kim a remporté la compétition de red teaming IA Judgement Day après avoir utilisé l'injection de prompts multimodale contre des scénarios sectoriels. SK Shieldus a indiqué que les attaques incluaient du texte caché et de faux journaux imitant le style des systèmes.

La compétition couvrait huit scénarios, notamment dans les secteurs médical, aéronautique et de la réponse aux catastrophes. Deux autres chercheurs d'EQST se sont classés cinquième et septième, selon la communication de l'entreprise sur la compétition.

Ces résultats démontrent une expérience pratique dans la conception d'attaques. Ils ne prouvent pas qu'EQST puisse prévenir toutes les attaques similaires dans l'environnement d'un client.

Cette distinction importe, car une compétition présente des règles connues, des objectifs mesurables et un environnement de test isolé. Un déploiement en entreprise comprend des intégrations changeantes, des données incohérentes, des autorisations héritées et des employés aux habitudes d'approbation différentes.

Une mission en entreprise doit traduire la réussite d'une attaque en changements de conception. Parmi les recommandations utiles figurent des périmètres en lecture seule, des outils limités, une validation déterministe, des approbations indépendantes et des limites sur les actions répétées.

Elle doit également examiner l'interface d'approbation. Une étape de confirmation humaine offre une protection limitée lorsque l'agent rédige lui-même la description que la personne examine.

Les attaquants peuvent manipuler cette description ou dissimuler l'importance d'une opération. L'opérateur approuve alors une action dangereuse en pensant qu'elle répond à la demande initiale.

La cible de sécurité n'est donc pas seulement la conformité du modèle. Il s'agit de l'exécution fidèle de l'intention de l'utilisateur à travers chaque frontière franchie par l'agent.

Le palmarès en compétition renforce la crédibilité, pas la preuve

Les résultats d'EQST en compétition démontrent l'existence d'une équipe d'attaque compétente, mais les acheteurs ont encore besoin de preuves que ces compétences produisent des améliorations reproductibles dans les systèmes déployés.

Le groupe a accumulé des résultats dans plusieurs formes de tests de sécurité conventionnels et liés à l'IA. Cette diversité donne à SK Shieldus une base crédible pour étendre son équipe de red teaming IA.

Selon le récit de l'entreprise, EQST s'est classé deuxième au défi Re:LLMail-Inject de Microsoft en août 2025. Le concours portait sur l'injection indirecte adaptative de prompts contre un agent fondé sur les e-mails.

En juin 2026, Byunghyun Kim s'est classé premier à Judgement Day. La compétition s'est déroulée pendant environ huit semaines et a testé des attaques contre des systèmes d'IA dans des scénarios industriels à haut risque.

En août, EQST s'est classé cinquième à HalCTF, un événement de hacking d'agents d'IA organisé à AI Village durant DEF CON 34. Plus de 200 équipes ont participé, selon le rapport de septembre.

L'équipe a également reçu un premier prix, un prix d'excellence et un prix spécial lors d'un défi de red teaming d'IA médicale plus tôt en septembre. Cet événement a examiné la sécurité des patients, la cybersécurité, la confidentialité, l'équité, l'éthique et la sécurité des agents.

Ces résultats couvrent des catégories utiles. Les agents de messagerie révèlent l'injection indirecte de prompts. Les systèmes multimodaux testent des instructions cachées au-delà du texte ordinaire. Les scénarios médicaux relient le comportement du modèle à des décisions sensibles pour la sécurité.

Toutefois, les classements mesurent les performances dans les conditions d'un concours. Ils répondent rarement aux questions qu'un responsable de la sécurité des systèmes d'information doit résoudre avant un déploiement.

Combien de constats critiques une équipe a-t-elle découverts dans une application proche de la production ? Lesquels ont pu être reproduits de manière fiable ? À quelle vitesse les ingénieurs les ont-ils corrigés ?

La correction a-t-elle bloqué des variantes d'attaque similaires, ou seulement la charge utile soumise ? Le système a-t-il préservé des fonctionnalités utiles après l'introduction de contrôles plus stricts ?

Les faux positifs comptent également. Une défense qui bloque des documents normaux, des messages clients ou des appels d'outils légitimes peut rendre un agent inutilisable.

Les faux négatifs sont plus graves lorsque le système traite des informations sensibles ou des actions irréversibles. Les acheteurs ont besoin de mesures pour les deux, plutôt que d'une affirmation générale selon laquelle un agent a réussi le red teaming.

Le profil de risque de l’IA générative du NIST recommande des tests adversariaux contre l’injection de prompts, l’empoisonnement des données, l’extraction de modèles et d’autres attaques. Il appelle également à des métriques couvrant les contournements, les accès non autorisés, les tentatives d’intrusion et la remédiation.

Le profil de risque du NIST présente le red teaming comme un élément de la gestion continue des risques. Il ne considère pas un test réussi comme une garantie permanente.

C’est le principal défi du red teaming IA de SK Shieldus. EQST doit transformer des compétences individuelles d’attaquant en un service fournissant des preuves comparables entre clients, secteurs et architectures d’agents.

Une évaluation mature devrait commencer par un inventaire des agents. Les testeurs doivent savoir quelles identités, quels outils, jeux de données, magasins de mémoire, modèles et services externes participent à chaque flux de travail.

L’équipe doit ensuite définir des scénarios de menace liés à des résultats métier. Extraire une chaîne de test inoffensive est différent d’exposer des données de patients, de modifier un enregistrement de paiement ou de changer une configuration de production.

Les testeurs doivent consigner le chemin d’attaque complet. Cela inclut l’entrée hostile, l’événement de récupération, la décision du modèle, l’appel d’outil, la vérification des autorisations, l’étape d’approbation et le résultat final.

La remédiation doit traiter le chemin, plutôt que le prompt. Bloquer une expression précise offre peu de protection si un attaquant peut la reformuler ou la déplacer vers un autre format de données.

Une correction plus robuste pourrait réduire les autorisations, séparer les instructions fiables du contenu non fiable, valider les arguments des outils ou exiger qu’un système indépendant approuve une action à haut risque.

Les nouveaux tests doivent ensuite inclure de nouvelles variantes d’attaque. Sinon, l’évaluation confirme seulement que les développeurs ont bloqué l’exemple connu.

SK Shieldus n’a pas publié de métriques détaillées sur les résultats en entreprise pour ce service élargi. L’annonce de septembre ne précise ni les taux de détection, ni les résultats des nouveaux tests, ni le volume des missions, ni les délais de remédiation des clients.

Cette absence n’invalide pas la capacité. Elle limite ce que les acheteurs peuvent déduire des récompenses et des déclarations de l’entreprise.

L’étape suivante la plus convaincante serait de fournir des preuves anonymisées issues d’évaluations réelles. Des divulgations utiles montreraient les catégories d’attaques, les couches affectées, la gravité, les modèles de remédiation et la récurrence après les corrections.

D’ici là, le parcours d’EQST doit être lu comme une preuve d’expertise offensive. Il ne constitue pas encore une démonstration publique d’une réduction cohérente des risques dans les déploiements d’entreprise.

L’IA médicale augmente le coût d’un échec

L’IA médicale rend le red teaming des agents plus difficile, car sécurité, confidentialité, sûreté clinique et supervision humaine peuvent échouer au sein d’un même flux de travail.

Un assistant médical peut résumer des informations sur les patients, récupérer des références cliniques, planifier des soins ou recommander une action suivante. Chaque tâche peut impliquer des données sensibles et des décisions dépendantes du temps.

Le risque évolue encore lorsqu’une IA devient un agent. Elle peut se connecter à des dossiers, à des sources de connaissances externes, à des systèmes de communication ou à des dispositifs médicaux, plutôt que de simplement générer une réponse.

Une instruction injectée pourrait déformer les éléments de preuve que l’agent récupère. Elle pourrait aussi influencer une recommandation, exposer des informations personnelles ou diriger un outil au-delà de sa tâche prévue.

Un filtre de sécurité sur le modèle sous-jacent ne peut pas examiner toutes les conséquences en aval. L’application environnante doit imposer des limites d’accès, valider les résultats et préserver des décisions humaines responsables.

Le Challenge Red Team 2026 des produits médicaux numériques d’IA avancée reflète ce problème plus large. Les participants ont testé des moyens de contourner les protections en matière de sécurité des patients, de confidentialité, d’équité, d’éthique, de cybersécurité et de sécurité des agents.

Les récompenses d’EQST suggèrent que l’équipe peut travailler dans ces différentes catégories. SK Shieldus affirme que cette expérience l’aide à étendre le red teaming IA aux environnements médicaux.

Pourtant, un challenge reste distinct d’un programme de validation clinique. Les systèmes médicaux opèrent selon des flux de travail, des populations de patients, des contraintes de données et des responsabilités professionnelles spécifiques.

Une équipe de red team peut identifier un chemin d’attaque. Elle ne peut pas, à elle seule, déterminer l’efficacité clinique, le risque résiduel acceptable ou la répartition appropriée des responsabilités entre le logiciel et les cliniciens.

Cette limite devrait façonner la conception du service. Les constats de sécurité doivent être reliés à l’ingénierie de la sûreté, à l’examen de la confidentialité, à la gouvernance des produits et à la surveillance après déploiement.

Par exemple, un agent pourrait récupérer un document incorrect après avoir rencontré des métadonnées manipulées. Le problème immédiat ressemble à une atteinte à l’intégrité de la récupération.

L’impact clinique dépend de ce qui suit. Un assistant à faible risque peut afficher une source pour examen humain. Un système plus autonome pourrait utiliser le document pour prioriser un patient ou recommander une intervention.

La même faiblesse technique porte donc une gravité différente selon les déploiements. Les rapports de red team doivent prendre en compte les autorisations réelles, l’autorité de décision et les possibilités de correction humaine.

Les tests médicaux nécessitent également des cas limites représentatifs. Un système peut se comporter de manière sûre avec un langage ordinaire, mais échouer lorsque les dossiers contiennent des abréviations, des notes contradictoires, des annotations d’images ou du texte externe copié.

Les attaquants peuvent exploiter ces ambiguïtés. Ils peuvent également imiter une mise en forme fiable, des déclarations d’autorité, des avis système ou des instructions cliniques.

Le résultat de Judgement Day offre un indice pertinent. EQST aurait augmenté le taux de réussite des attaques en élaborant des entrées ressemblant à des journaux système et en ciblant des exceptions absentes du prompt système.

Cette méthode attaque les signaux de confiance, et pas seulement les mots interdits. Elle teste si l’IA peut distinguer la source et l’autorité des informations dans un contexte complexe.

Un dossier médical contient de nombreux signaux de ce type. Les notes proviennent de différents professionnels, systèmes, moments et niveaux de certitude. Un agent ne doit pas traiter chaque chaîne de caractères comme une instruction dotée d’une autorité égale.

Le problème révèle également un compromis. Ajouter un contexte large peut améliorer l’utilité de l’agent, mais chaque nouvelle source étend la surface d’entrée non fiable.

Accorder davantage d’outils peut réduire le travail administratif, mais chaque outil ajoute des actions possibles. Une plus grande autonomie peut raccourcir un flux de travail tout en réduisant le temps disponible pour l’examen.

Les organisations ne peuvent pas résoudre ces tensions par un prompt universel. Elles ont besoin de contrôles architecturaux alignés sur les conséquences de chaque action.

La récupération à faible risque peut se dérouler automatiquement avec journalisation. La divulgation de données sensibles peut exiger une validation des politiques. Un changement clinique ou opérationnel peut nécessiter une approbation humaine indépendante.

L’interface utilisateur doit clairement montrer l’action prévue, le dossier affecté, la source d’information et l’autorisation utilisée. Elle ne doit pas s’appuyer uniquement sur un résumé généré par l’agent.

L’IA médicale offre à SK Shieldus un terrain d’épreuve exigeant. Y réussir montrerait qu’EQST peut relier les exploits techniques à des contrôles opérationnels critiques pour la sécurité.

Un échec révélerait la faiblesse consistant à traiter le red teaming IA comme un test d’intrusion élargi. La sécurité des agents exige une vision plus large de la qualité des décisions, de l’autorité et de la responsabilité humaine.

Le véritable test est la reproductibilité en entreprise

SK Shieldus doit démontrer que son équipe de red team IA peut produire des constats cohérents, même lorsque les modèles, outils, sources de données et autorisations évoluent en permanence.

Les tests d’applications traditionnelles partent souvent d’une version relativement stable. Un agent peut modifier son comportement après une mise à jour du modèle, une révision du prompt, un changement de connecteur ou un ajustement des autorisations.

Une nouvelle source de documents peut introduire du contenu hostile. Un nouvel outil peut accroître l’impact d’une faiblesse existante du modèle. Un flux d’approbation révisé peut créer un nouveau chemin de contournement de la supervision humaine.

Cette volatilité rend les tests annuels insuffisants pour les déploiements importants. Les organisations ont besoin d’évaluations avant la mise en production, après des changements matériels et pendant les opérations continues.

Les attaques automatisées peuvent aider à étendre la couverture. Elles peuvent générer des variantes de prompts, tester plusieurs contextes et répéter des scénarios sur différents modèles.

L’automatisation a aussi ses limites. Elle tend à s’optimiser pour des objectifs mesurables et peut manquer des hypothèses organisationnelles qu’un attaquant humain remettrait en question.

Des spécialistes humains peuvent identifier ces hypothèses. Ils pourraient remarquer qu’un agent en lecture seule peut tout de même créer une recommandation préjudiciable, ou qu’un écran d’approbation masque les arguments réels de l’outil.

Le service le plus solide combinera les deux approches. Les vérifications automatisées apportent fréquence et couverture de régression, tandis que les équipes humaines de red team explorent des chemins d’attaque inattendus.

La base de scénarios de SK Shieldus pourrait soutenir ce modèle. Les attaques réutilisables peuvent devenir des tests de régression après que les chercheurs les ont validées sur un système réel.

Cependant, la bibliothèque doit évoluer. Les exemples publics deviennent rapidement des données d’entraînement pour les défenseurs, tandis que les attaquants modifient l’encodage, le contexte, la langue et le format de livraison.

Les recherches de Microsoft illustrent ce cycle. Après le premier tour, sa compétition mise à jour a ajouté une liste de blocage de haute précision, une désinfection, des classificateurs plus robustes et des instructions révisées.

Les chercheurs ont ensuite reçu une nouvelle occasion de s’adapter. Ce processus reflète la sécurité réelle en entreprise, où l’atténuation d’hier devient la cible de test de demain.

La reproductibilité dépend aussi du reporting. Deux évaluateurs devraient appliquer des critères de gravité comparables, même lorsque leur créativité d’attaque diffère.

Les rapports devraient séparer les vulnérabilités du modèle des défaillances de l’application. Ils devraient également identifier les faiblesses concernant l’identité, la conception des autorisations, la provenance des données, les outils et les interfaces utilisateur.

Une étiquette unique telle que « injection de prompt » masque trop d’éléments. Une attaque peut révéler un texte indésirable, tandis qu’une autre peut déclencher un paiement ou exposer l’intégralité d’un dépôt documentaire.

La gravité doit refléter les données accessibles, les actions disponibles, l’accès requis pour l’attaquant, l’implication de l’utilisateur, la détectabilité, la réversibilité et la conséquence métier.

Les organisations ont également besoin de preuves que les corrections réduisent le risque sans détruire la valeur de l’agent. Un contrôle qui désactive chaque document externe peut stopper l’injection, mais faire échouer le flux de travail.

C’est là que la participation des acheteurs devient essentielle. Les équipes de sécurité définissent le risque acceptable, mais les responsables produit comprennent la tâche que l’agent doit encore accomplir.

Les développeurs savent où des contrôles déterministes peuvent remplacer le jugement du modèle. Les équipes chargées de l’identité peuvent limiter les périmètres, tandis que les équipes conformité précisent les obligations de journalisation et de conservation.

Les travailleurs du savoir influencent également l’exposition. Ils décident quels documents entrent dans les systèmes partagés et si la sortie d’un agent fait l’objet d’un examen significatif.

Des frontières d’information claires peuvent réduire le danger. Les équipes doivent identifier les instructions fiables, le contenu non fiable, les sources sensibles et les actions exigeant une autorisation distincte.

Une base de connaissances consultable peut améliorer la gestion du contexte, mais la récupération seule n’établit pas la confiance. La provenance et les autorisations déterminent toujours la manière dont les agents doivent utiliser le matériel.

Les organisations devraient éviter de transformer les constats de red team en tickets isolés. Les résultats doivent mettre à jour les normes d’architecture, les politiques de connecteurs, les règles d’approbation et les suites de régression.

La sécurité des agents de SK Shieldus gagnera en crédibilité lorsque les clients pourront comparer les résultats dans le temps. Un programme utile devrait montrer si les chemins critiques diminuent après chaque cycle de test.

L’entreprise pourrait également publier une taxonomie anonymisée associée aux architectures d’agents courantes. Cela aiderait les acheteurs à comprendre si sa couverture de scénarios correspond à leurs propres déploiements.

Une validation indépendante renforcerait encore cet argument. Des benchmarks externes, des méthodes évaluées par les pairs ou des critères d’évaluation transparents peuvent distinguer une capacité reproductible d’un langage marketing.

La tension centrale reste simple. Les agents deviennent plus utiles lorsqu’ils reçoivent du contexte et de l’autorité, mais ces mêmes caractéristiques accroissent les conséquences de la manipulation.

Le red teaming de SK Shieldus AI vise précisément cette tension. Sa valeur à long terme dépendra de la capacité d’EQST à la mesurer de manière cohérente et à guider ses clients vers des conceptions plus sûres.

Ce que les acheteurs doivent surveiller ensuite

Trois signaux indiqueront si SK Shieldus a instauré une discipline d’entreprise ou s’il a simplement prolongé le récit d’une compétition réussie.

Le premier signal est la publication de sa méthodologie. Les acheteurs doivent rechercher une description claire de la manière dont EQST délimite le périmètre des agents, cartographie les surfaces d’attaque, hiérarchise les résultats et effectue les retests.

Une méthodologie utile doit couvrir le modèle, la couche de récupération, la mémoire, l’identité, les autorisations, les outils, les sources de données et les interfaces d’approbation. Elle doit également distinguer les attaques directes de l’injection indirecte de prompts.

Si SK Shieldus publie des critères reproductibles, son expansion deviendra plus facile à évaluer dans tous les secteurs. Si le processus reste opaque, les clients devront évaluer les capacités mission par mission.

Le deuxième signal est l’existence de preuves issues de systèmes déployés. Des études de cas anonymisées devraient indiquer quels chemins d’attaque sont apparus, comment les clients les ont corrigés et si des variantes ont réussi après remédiation.

Les preuves les plus solides incluraient les taux de détection, les faux positifs, les résultats critiques, les résultats des retests et le délai de remédiation. Elles devraient éviter de présenter un test concluant comme la preuve d’une sécurité permanente.

Les preuves fournies par les clients renforceraient l’affirmation centrale de l’entreprise. Une attention continue portée aux classements et aux récompenses laisserait l’impact opérationnel incertain.

Le troisième signal est l’intégration entre les tests et la gouvernance des agents. SK Shieldus a déjà associé les agents à l’identité non humaine et aux contrôles de confiance zéro.

Les acheteurs doivent observer si les conclusions du red team alimentent automatiquement les autorisations, la surveillance, les politiques de connecteurs et les exigences d’approbation. Cette boucle de rétroaction transformerait les attaques en contrôles durables.

Le signal s’affaiblit si le red teaming reste une mission de conseil distincte. Les rapports perdent souvent de leur valeur lorsque leurs recommandations n’atteignent jamais les systèmes d’identité, les normes d’ingénierie ou les étapes de validation du déploiement.

L’activité des concurrents comptera également, mais elle doit rester un contexte complémentaire. Microsoft et la communauté de la sécurité au sens large continuent de développer des défenses, des benchmarks et des modèles de conception contre l’injection indirecte de prompts.

Ces efforts relèvent les attentes envers chaque fournisseur. Revendiquer une expertise en injection de prompts ne suffit plus lorsque des recherches publiques documentent déjà des attaques adaptatives contre des défenses multicouches.

Les acheteurs en entreprise doivent poser une série de questions directes avant de commander un test. Quels flux de travail complets l’équipe attaquera-t-elle, et quelles actions conséquentes se trouvent au terme de chaque parcours ?

Ils doivent demander si les testeurs peuvent examiner le code de l’application, les prompts, les définitions d’outils, les périmètres d’accès et les journaux. Les tests en boîte noire offrent une perspective, mais l’accès interne peut révéler des erreurs de conception plus profondes.

Ils doivent demander des retests avec des variantes d’attaque après remédiation. Ils doivent également exiger la preuve que les nouveaux contrôles préservent les tâches légitimes.

Enfin, ils doivent identifier qui assume les risques non résolus. Le red team peut révéler une défaillance, mais les dirigeants doivent décider s’il faut réduire les autorisations, ajouter une revue, repenser le flux de travail ou retarder le déploiement.

SK Shieldus a constitué un bilan offensif crédible et choisi une cible importante. Les agents IA créent un problème de sécurité qui couvre les modèles, les logiciels, les identités, les données et les décisions humaines.

La prochaine étape est plus difficile que de remporter un concours. EQST doit démontrer que le red teaming de SK Shieldus AI produit des preuves reproductibles et des comportements d’entreprise plus sûrs.

Pour les équipes qui déploient des agents aujourd’hui, la question pratique n’est pas de savoir si un modèle peut être trompé. Les compétitions publiques ont déjà répondu à cette question.

La décision consiste à déterminer si chaque agent dispose de suffisamment d’autorité pour transformer une manipulation en préjudice. Cartographiez ce parcours, limitez les accès inutiles et testez l’ensemble du flux de travail avant de confier à l’agent des tâches aux conséquences importantes.