On célèbre les gains de productivité des agents de code. On parle beaucoup moins de leur face sombre. En 2026, les agents sont devenus la catégorie de produits la plus ciblée par les attaques d’injection de prompt, et les campagnes de supply chain qui exploitent leurs angles morts explosent. Pour un responsable technique, ignorer ce sujet, c’est importer un risque systémique dans sa chaîne de production. Voici l’état de la menace et les garde-fous qui tiennent.
L’injection de prompt, risque n°1
Le rapport OWASP 2026 place l’injection de prompt au centre du risque agentique, s’appuyant sur des CVE réelles, des brèches de supply chain et un durcissement réglementaire. Le chiffre qui glace : le taux de succès des attaques dépasse 85 % face aux défenses de pointe lorsque des stratégies adaptatives sont employées. Autrement dit, les protections actuelles ne suffisent pas contre un attaquant motivé. Trois vulnérabilités distinctes dans Cursor ont illustré à quel point les assistants de code sont exposés.
Le trou dans la vérification des paquets
Les agents de code partagent un angle mort dangereux : ils sautent souvent la vérification des paquets qu’ils installent. Un agent qui ajoute une dépendance suggérée sans contrôler son authenticité ouvre une porte. Les attaquants l’ont compris. Les attaques de supply chain sur les agents de code ont atteint un pic en 2026, portées par des groupes étatiques et des vers autonomes qui exploitent précisément cette faille. Le premier semestre 2026 a déjà produit 2,6 fois le volume de campagnes et 4,5 fois le volume de paquets compromis de toute l’année 2025.
Un cas concret : en mars 2026, une porte dérobée est restée sur PyPI pendant trois heures — le temps que se produisent près de 47 000 téléchargements. Trois heures suffisent quand des milliers d’agents installent des paquets automatiquement.
GitHub Actions : la barre d’entrée s’effondre
La combinaison agents + GitHub Actions crée un nouveau vecteur de supply chain particulièrement inquiétant. Un adversaire n’a désormais besoin que de la capacité de créer une issue ou une pull request — une capacité ouverte à tout utilisateur GitHub disposant d’un compte gratuit. Si un agent lit le contenu d’une issue et agit dessus dans un workflow privilégié, une instruction malveillante glissée dans cette issue peut détourner le pipeline. C’est le sujet que nous approfondissons dans la sécurisation d’un pipeline CI avec agents.
Les marketplaces de skills, nouveau terrain de chasse
Votre équipe utilise Claude Code ?
Voir les formats →La généralisation des marketplaces de skills et de plugins ajoute une surface. Sur une seule place de marché — ClawHub, pour le framework d’agent OpenClaw — 1 184 skills malveillants ont été confirmés. Le parallèle avec les débuts des extensions de navigateur est frappant : un écosystème ouvert attire l’innovation et les attaquants dans le même mouvement. La leçon vaut aussi pour les serveurs MCP, dont l’adoption massive multiplie les points d’exposition.
Les garde-fous qui tiennent
La menace est réelle, mais pas fatale. Une poignée de pratiques réduit drastiquement la surface d’attaque.
- Moindre privilège — l’agent n’a que les permissions strictement nécessaires ; jamais de secrets larges ni d’accès en écriture non borné.
- Isolation — sandbox ou worktree git dédié, pour qu’un agent compromis ne touche pas l’ensemble du système.
- Vérification des dépendances — verrouillage des versions, contrôle d’intégrité, refus de l’installation automatique non validée.
- Séparation données / instructions — traiter tout contenu externe (issue, PR, page web lue) comme non fiable, jamais comme une consigne.
- Revue humaine — un diff produit par un agent se relit, surtout sur les parties sensibles et les dépendances.
Le lien avec la qualité du code
La sécurité n’est pas un sujet isolé : elle rejoint la question plus large de la qualité du code généré par les agents, qui introduit en moyenne 2,74 fois plus de vulnérabilités. Un agent qui écrit vite du code peu sûr et installe des paquets non vérifiés cumule les deux risques. Traiter la sécurité des agents, c’est traiter la qualité — et inversement.
La bonne nouvelle : ces garde-fous s’apprennent et s’installent. Le point aveugle de la plupart des équipes n’est pas le manque d’outils, c’est l’absence de pratique partagée — qui valide quoi, quelles permissions, quelle politique face au contenu externe. C’est exactement ce que nous mettons en place en atelier : une utilisation des agents à la fois productive et sûre, avec des règles claires plutôt que des incidents en production. Adopter un agent sans cadre de sécurité, en 2026, ce n’est plus une négligence acceptable.
Sources : OWASP: prompt injection drives most agentic failures (Help Net Security), AI coding agents skip package verification (TechTimes), Prompt Injection Attacks on Agentic Coding Assistants (arXiv).
Votre équipe utilise Claude Code ?
Formation intra sur vos projets réels : de la demi-journée à 2 jours, 6 devs max.