AAP-006 : usurpation de messages inter-agents

HASS

SCORE DE SÉCURITÉ AGENTIQUE HERMES & RISQUE

Cible : Essaims Multi-Agents, Orchestrateurs Hiérarchiques (AutoGen, CrewAI, LangGraph)

Confiance : 96%

85 / 100

CRITIQUE

Mesure le risque systémique spécifique découlant de l'autonomie, de l'autorité des outils et de l'exécution en cascade.

Décomposition des dimensions

Autonomie décisionnelle 17 / 20

Accès aux outils & APIs 16 / 20

Privilege 15 / 15

Persistence 11 / 15

External Impact 13 / 15

Propagation 13 / 15

⚖️ Divergence & Justification opérationnelle

Le HASS classe AAP-006 à 85/100 (CRITIQUE). Dans les systèmes multi-agents distribués, la sécurité postule trop souvent que les échanges entre pairs constituent des appels internes sûrs. Quand un attaquant falsifie un ordre de supervision, les sous-agents ouvriers exécutent des actions hautement privilégiées sans revérifier ni l'origine ni la légitimité du message.

🕸️ Graphe de Connaissances & Renseignement Associé

AAP-006: Inter-Agent Semantic Message SpoofingMODÈLE D'ATTAQUE

Nœuds connectés : 6

Associations entrantes

CVE-2026-59822: LiteLLM MCP Streamable HTTP Auth BypassVULNÉRABILITÉ → enables → [Cette entité]

90% VERY_HIGH

CVE-2025-54794: Claude Code Working Directory Sandbox Escape via Path Prefix MatchingVULNÉRABILITÉ → exploits → [Cette entité]

92% VERY_HIGH

CVE-2026-31377: Apache Doris Frontend Meta Service Unauthenticated Access and Metadata ExfiltrationVULNÉRABILITÉ → exploits → [Cette entité]

92% VERY_HIGH

CVE-2026-48746: vLLM OpenAI API Authentication Middleware Bypass via ASGI Request Handling InconsistencyVULNÉRABILITÉ → exploits → [Cette entité]

92% VERY_HIGH

CVE-2026-54236: vLLM Multimodal Image Processing Unhandled Exception Memory Pointer DisclosureVULNÉRABILITÉ → exploits → [Cette entité]

92% VERY_HIGH

AgentThreat StudioTOOL → evaluates → [Cette entité]

99% VERY_HIGH

---

1. Mécanisme architectural : canaux d’échange inter-agents non authentifiés

Les architectures agentiques hiérarchiques utilisent un agent superviseur ou orchestrateur qui délègue des tâches spécialisées à des agents ouvriers (ex : exécuteur de code, exécuteur SQL, agent shell) :

[L'attaquant injecte un message dans le bus de messages ou l'état partagé]
                                │
                                ▼
         ┌───────────────────────────────────────────────┐
         │ Bus de Messages Inter-Agents (Redis / WS)     │
         └───────────────────────────────────────────────┘
                                │
                                ▼ (Charge utile non signée acceptée)
[L'agent ouvrier reçoit le JSON : {"sender": "SupervisorAgent", "action": "delete_backups"}]
                                │
                                ▼ (Absence totale d'attestation d'origine)
[L'ouvrier présume que le message provient de l'orchestrateur légitime]
                                │
                                ▼
[Exécution directe d'actions destructrices ou d'exfiltration]

La majorité des frameworks multi-agents actuels reposant sur de simples charges JSON sans signature cryptographique ni liaison mutuelle TLS, un attaquant accédant au bus ou insérant des données dans le canal peut usurper l’identité de n’importe quel composant de l’essaim.

---

2. Chaîne d’exécution de l’attaque

CHAÎNE D'EXÉCUTION

AAP-006 : usurpation d'Orchestrateur vers Coercition d'Agents Ouvriers

1

Écoute du Canal Canal Pub/Sub Inter-Agents

L'adversaire obtient un accès en lecture à la file d'attente Redis ou au flux WebSocket assurant la répartition des tâches.

2

Usurpation d'Entête et de Rôle Point d'Entrée de l'Agent Ouvrier

L'adversaire émet un message prétendant émaner de l'Orchestrateur avec un ordre prioritaire de maintenance.

3

Exploitation de la Confiance Implicite Runtime de l'Agent Subordonné

L'agent ouvrier traite la consigne sans contrôler la présence d'une signature cryptographique valide du superviseur.

4

Actionnement de Privilèges Services de Production Internes

L'ouvrier supprime des données de sauvegarde, extrait des jetons d'API ou exécute des commandes au profit de l'attaquant.

---

3. Ingénierie de détection

Règle Sigma

title: Discordance d'Origine de Message Inter-Agents Non Signé
id: e124f567-8556-6fd1-fa25-4215fd500006
status: experimental
description: Détecte les messages entre agents dont le rôle d'expéditeur déclaré ne correspond pas aux informations de session authentifiées.
author: Hermes Codex Research Team
date: 2026-09-07
logsource:
  category: application
  product: multi_agent_router
detection:
  selection:
    sender_role: "supervisor"
    auth_token_present: false
  condition: selection
fields:
  - trace_id
  - sender_role
  - recipient_agent
  - message_payload
level: high
tags:
  - attack.lateral_movement
  - attack.t1550

Vérificateur de signature mTLS

import hmac
import hashlib
import json

def verify_inter_agent_message(
    payload: dict,
    signature: str,
    secret_key: bytes
) -> bool:
    """
    Vérifie que les délégations de tâches sont formellement signées par la clé privée
    de l'orchestrateur avant d'autoriser l'exécution par l'ouvrier.
    """
    canonical_bytes = json.dumps(payload, sort_keys=True).encode("utf-8")
    expected_sig = hmac.new(
        secret_key, canonical_bytes, hashlib.sha256
    ).hexdigest()

    if not hmac.compare_digest(signature, expected_sig):
        raise PermissionError("Échec de vérification de signature du message inter-agents. Attaque potentielle.")
    return True

---

4. Mesures de durcissement

1. Signatures cryptographiques des messages : imposer que chaque directive inter-agents soit signée par HMAC ou clé asymétrique associée à l’agent émetteur spécifique.
2. Évaluation autonome des ouvriers : exiger que les sous-agents ouvriers valident la conformité des actions demandées avec leur propre matrice de sécurité au lieu d’obéir aveuglément.
3. Isolation réseau des bus d’échange : restreindre les courtiers de messages (Redis, RabbitMQ) au réseau local avec chiffrement mTLS obligatoire.