--- id: CP-264 slug: agents-ia-outils-mcp lang: fr title: Agents IA, outils et protocole MCP description: "Un agent IA appelle des outils à votre place : messagerie, fichiers, API. Ce qu'il peut faire de travers et comment limiter ses droits." canonical_url: https://startbrain.io/cyberpedia/fr/articles/agents-ia-outils-mcp/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/agents-ia-outils-mcp.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, « Agents IA, outils et protocole MCP », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/agents-ia-outils-mcp/ (CC BY 4.0) wing: 4 theme: master_ai reflex: air-048 schema: G3 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/agents-ia-outils-mcp/ en: https://startbrain.io/cyberpedia/en/articles/ai-agents-tool-use-mcp/ de: https://startbrain.io/cyberpedia/de/articles/ki-agenten-werkzeuge-mcp/ es: https://startbrain.io/cyberpedia/es/articles/agentes-ia-herramientas-mcp/ sources: - "n": 1 title: "Toolformer: Language Models Can Teach Themselves to Use Tools" publisher: arXiv url: https://arxiv.org/abs/2302.04761 published: "2023-02-09" accessed: "2026-11-03" - "n": 2 title: "ReAct: Synergizing Reasoning and Acting in Language Models" publisher: arXiv url: https://arxiv.org/abs/2210.03629 published: "2022-10-06" accessed: "2026-11-03" - "n": 3 title: LLM06:2025 Excessive Agency publisher: OWASP url: https://genai.owasp.org/llmrisk/llm062025-excessive-agency/ accessed: "2026-11-03" - "n": 4 title: LLM01:2025 Prompt Injection publisher: OWASP url: https://genai.owasp.org/llmrisk/llm01-prompt-injection/ accessed: "2026-11-03" - "n": 5 title: "Not what you've signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection" publisher: arXiv url: https://arxiv.org/abs/2302.12173 published: "2023-02-23" accessed: "2026-11-03" - "n": 6 title: Prompt injection is not SQL injection (it may be worse) publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection published: "2025-12-08" accessed: "2026-11-03" - "n": 7 title: "Technical Blog: Strengthening AI Agent Hijacking Evaluations" publisher: NIST url: https://www.nist.gov/news-events/news/2025/01/technical-blog-strengthening-ai-agent-hijacking-evaluations published: "2025-01-17" accessed: "2026-11-03" - "n": 8 title: Security and governance - Microsoft Copilot Studio publisher: Microsoft url: https://learn.microsoft.com/en-us/microsoft-copilot-studio/security-and-governance accessed: "2026-11-03" --- # Agents IA, outils et protocole MCP Un agent IA est un modèle de langage à qui l'on a donné des outils : lire une messagerie, ouvrir des fichiers, parcourir un site, appeler une API. Des travaux de recherche de 2022 et 2023 décrivent des modèles entraînés à décider quelles API appeler, quand les appeler et avec quels arguments [1], ou sollicités par quelques exemples pour alterner raisonnement et actions et consulter des sources externes [2]. L'OWASP, qui tient la liste des principaux risques des applications fondées sur des modèles de langage, parle d'« agency » : la capacité d'appeler des fonctions ou d'interagir avec d'autres systèmes par des extensions, que les éditeurs nomment aussi outils, compétences ou plugins. Le choix de l'extension à lancer peut être confié à l'agent lui-même, qui décide d'après la demande ou d'après le résultat d'un appel précédent [3]. Pour le salarié, la question devient simple : que peut faire cet agent en mon nom, et qui contrôle avant que ce soit fait ? ## En 30 secondes - Où ça arrive : dans tout assistant qui lit vos courriels, vos documents ou des pages web et qui peut agir (envoyer ou supprimer) sans que vous cliquiez à chaque étape [3]. - Ce que veut l'attaquant : glisser une consigne dans un contenu que l'agent va lire, pour qu'il agisse à sa place, par exemple en transférant des courriels sensibles [3]. - Le réflexe : donner à l'agent le strict minimum de droits, exiger votre validation avant toute action à effet (envoi, suppression, publication) et relire ce qu'il a préparé [3]. - Si c'est déjà fait : prévenez votre équipe sécurité, avec la date et les outils connectés à l'agent à ce moment-là. Les journaux d'activité des outils servent à repérer les actions anormales [3]. ## Questions directes ### Qu'est-ce qui distingue un agent d'un simple assistant de conversation ? Un assistant de conversation répond. Un agent agit : il fait des appels répétés au modèle, en s'appuyant sur le résultat des appels précédents pour guider les suivants [3]. Chaque outil branché élargit ce qu'une erreur ou une manipulation peut provoquer. ### Qu'est-ce que le protocole MCP ? Les sources réunies pour cette fiche ne décrivent pas MCP. Elles traitent des outils, extensions et connecteurs en général, et les risques décrits plus bas valent pour tout moyen de brancher un agent à un outil. Le protocole lui-même n'est donc pas détaillé ici. ### Qu'est-ce qu'une injection de prompt indirecte ? C'est le cas où le modèle reçoit des instructions cachées dans un contenu externe, comme un site ou un fichier, et en modifie son comportement [4]. Des chercheurs ont montré en 2023 que cette voie permet d'attaquer à distance, sans interface directe, des applications qui intègrent un modèle, en plaçant les instructions dans des données susceptibles d'être récupérées [5]. L'attaquant n'a pas besoin d'accéder à l'IA : il écrit quelque chose qui finira par être lu par elle [6]. Le texte peut même être invisible pour un humain, tant que le modèle l'interprète [4]. ### Peut-on bloquer ces attaques avec un filtre ? Pas complètement. L'OWASP juge incertain qu'il existe une prévention infaillible [4]. Le NCSC britannique explique que les modèles actuels ne font aucune distinction entre instructions et données : ils prédisent seulement le mot suivant. Il estime que l'injection de prompt pourrait ne jamais être totalement corrigée, contrairement à l'injection SQL, et recommande de réduire le risque et l'impact [6]. Il met aussi en garde contre les produits qui prétendent « arrêter » l'injection de prompt [6]. ### Que dois-je relire avant de laisser l'agent agir ? Tout ce qui sort de votre périmètre : courriels envoyés ou fichiers partagés. L'OWASP donne l'exemple d'un envoi de courriel où l'utilisateur relit et valide chaque message rédigé par l'agent [3]. ## Comment ça marche Une application confie au modèle un jeu d'outils, puis laisse le modèle choisir lesquels appeler [3]. Les consignes du développeur et le contenu à traiter (un courriel, une page, un fichier) arrivent dans une même entrée. Les agents actuels reposent généralement sur ce mélange entre consignes de confiance et données non fiables [7]. Le NCSC en tire une conséquence pratique. Quand l'agent appelle des outils ou des API d'après ce que dit le modèle, un attaquant qui le manipule obtient l'équivalent d'un accès direct à ces outils, avec le pire scénario que cela implique [6]. ## Ce que vous faites L'OWASP liste les mesures qui réduisent l'excès de pouvoir d'un agent. Vous n'en maîtrisez pas toujours la configuration, mais vous pouvez les demander à l'équipe qui déploie l'outil. - Réduire les outils : si l'agent n'a pas besoin de lire une adresse web, on ne lui offre pas cette fonction [3]. - Réduire les fonctions : une extension qui résume des courriels n'a besoin que de les lire, pas de les supprimer ni d'en envoyer [3]. - Préférer les outils précis aux outils ouverts, du type « exécuter une commande » : avec ces derniers, n'importe quelle autre commande peut être lancée [3]. - Réduire les permissions : un outil de lecture d'une base de données ne doit pas se connecter avec une identité qui peut aussi modifier ou supprimer [3]. - Agir avec vos droits à vous, pas avec un compte générique très privilégié. Pour un dépôt de code, l'OWASP cite une connexion OAuth avec la portée minimale [3]. - Demander une validation humaine pour les actions à fort impact [3]. - Journaliser l'activité des outils pour repérer les actions anormales, et limiter le débit pour réduire le nombre d'actions indésirables possibles dans un laps de temps [3]. Le NCSC propose une règle simple : quand un modèle traite des informations venant d'un tiers, ses privilèges tombent à ceux de ce tiers. Un agent qui lit des courriels de personnes extérieures ne doit donc pas avoir accès à des outils privilégiés [6]. Côté plateforme, Microsoft décrit pour Copilot Studio des contrôles réservés aux administrateurs : stratégies de données sur les connecteurs, actions et requêtes HTTP, analyse des dépendances des connecteurs avant déploiement, journaux d'audit, et possibilité de désactiver la publication d'agents utilisant l'IA générative. Les concepteurs d'agents peuvent aussi configurer les outils pour qu'ils s'exécutent avec les identifiants de l'utilisateur [8]. ## Les pièges - L'agent aux droits excessifs. L'OWASP distingue trois causes : trop de fonctions, trop de permissions, trop d'autonomie [3]. Une extension essayée pendant le développement, puis abandonnée, peut rester accessible à l'agent [3]. Une extension tierce choisie pour lire des documents peut aussi savoir les modifier et les supprimer [3]. - La consigne cachée dans un courriel. Dans l'exemple de l'OWASP, un courriel entrant piégé pousse un assistant de messagerie à fouiller la boîte de réception et à transférer des informations sensibles à l'attaquant [3]. - L'image qui fait fuiter la conversation. Un utilisateur demande à l'IA de résumer une page contenant des instructions cachées, qui lui font insérer une image pointant vers une adresse : la conversation privée sort ainsi [4]. - Le document modifié dans une base de connaissances. Si un attaquant altère un document utilisé par une application de recherche augmentée, la réponse de l'IA peut devenir trompeuse [4]. - L'enchaînement entre outils. Une injection peut venir d'un appel antérieur à une extension compromise, ou d'un autre agent compromis dans un système multi-agents [3]. - Le test unique qui rassure à tort. Le NIST note qu'un modèle peut résister aux attaques déjà connues et céder à des attaques conçues pour lui [7]. ## Cas réels ### Février 2023 : démonstration sur Bing Chat et des assistants de code Des chercheurs, dont Kai Greshake et Sahar Abdelnabi, ont soumis le 23 février 2023 un article montrant des attaques par injection indirecte contre des systèmes réels, dont le Chat de Bing fondé sur GPT-4 et des moteurs de complétion de code. Selon eux, traiter un prompt récupéré peut équivaloir à une exécution de code arbitraire et contrôler si et comment d'autres API sont appelées. Ils relèvent un manque de parades efficaces à ce moment-là [5]. ### Janvier 2025 : l'évaluation de détournement d'agents par le NIST Le 17 janvier 2025, le Center for AI Standards and Innovation du NIST a publié ses essais de détournement d'agents sur le cadre AgentDojo. Les attaques conçues spécialement pour le modèle testé sont passées de 11 % de réussite (meilleure attaque de référence) à 81 % [7]. Sur cinq tâches d'injection, dont l'envoi d'un code d'authentification à un tiers et l'exécution d'un script malveillant, la réussite moyenne était de 57 % avec une tentative, et de 80 % avec 25 tentatives par attaque [7]. Il s'agissait d'environnements simulés, pas d'incidents en entreprise [7]. ## Sources 1. arXiv, « Toolformer: Language Models Can Teach Themselves to Use Tools », 9 février 2023. https://arxiv.org/abs/2302.04761 (consulté le 3 novembre 2026) 2. arXiv, « ReAct: Synergizing Reasoning and Acting in Language Models », 6 octobre 2022. https://arxiv.org/abs/2210.03629 (consulté le 3 novembre 2026) 3. OWASP, « LLM06:2025 Excessive Agency ». https://genai.owasp.org/llmrisk/llm062025-excessive-agency/ (consulté le 3 novembre 2026) 4. OWASP, « LLM01:2025 Prompt Injection ». https://genai.owasp.org/llmrisk/llm01-prompt-injection/ (consulté le 3 novembre 2026) 5. arXiv, « Not what you've signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection », 23 février 2023. https://arxiv.org/abs/2302.12173 (consulté le 3 novembre 2026) 6. NCSC (Royaume-Uni), « Prompt injection is not SQL injection (it may be worse) », 8 décembre 2025. https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection (consulté le 3 novembre 2026) 7. NIST, « Technical Blog: Strengthening AI Agent Hijacking Evaluations », 17 janvier 2025. https://www.nist.gov/news-events/news/2025/01/technical-blog-strengthening-ai-agent-hijacking-evaluations (consulté le 3 novembre 2026) 8. Microsoft, « Security and governance - Microsoft Copilot Studio ». https://learn.microsoft.com/en-us/microsoft-copilot-studio/security-and-governance (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/agents-ia-outils-mcp/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.