Publié le 22 octobre 2026 · Publication originale
Un agent lit un courriel malveillant lundi.
Le message contient une instruction conçue pour influencer son comportement.
La conversation se termine.
Vendredi, le courriel n’est plus dans son contexte.
L’instruction peut pourtant être encore là.
Les agents persistants commencent à enregistrer résumés, préférences, observations ou résultats de tâches dans une mémoire réutilisée lors de futures missions.
Cette capacité introduit un risque différent de l’injection de prompt classique: l’empoisonnement de mémoire.
Le contenu hostile n’a plus besoin d’être présent lorsque l’action dangereuse se produit.
Il suffit qu’il ait été accepté auparavant comme souvenir.
En juillet 2026, MemSecBench teste ce cycle sur 310 scénarios et 24 configurations combinant agents, mémoires et modèles.
Dans les expériences, les souvenirs malveillants persistent dans 84,2% des cas.
Dans 50,3%, la chaîne complète réussit: l’information hostile est écrite, rappelée plus tard puis influence effectivement l’action.
La mémoire change donc la durée de vie d’une attaque.
Un document peut n’être rencontré qu’une seule fois et devenir pourtant une variable durable du comportement futur.
Le risque augmente lorsque l’agent résume ce qu’il a appris.
L’origine non fiable peut alors disparaître derrière une formulation produite par l’agent lui-même.
Des travaux de 2026 décrivent ce mécanisme comme un blanchiment d’autorité: une information hostile paraît plus légitime après résumé, répétition par un outil fiable ou fausse corroboration.
ULTRA®
Le point décisif est architectural.
Une mémoire persistante ne devrait jamais stocker uniquement du contenu.
Elle devrait conserver avec chaque souvenir sa provenance, son niveau de confiance, ses permissions et ses dépendances.
MemSentry propose de filtrer l’écriture avant qu’elle devienne mémoire, avec trois issues: Accept, Review ou Quarantine.
Mais le contrôle doit aussi survivre aux transformations.
Si un site non fiable fournit une instruction, un résumé généré ensuite par l’agent ne devrait pas lui donner davantage d’autorité.
Même logique pour la suppression.
Effacer le message initial ne suffit pas si trois résumés dérivés continuent à porter la même instruction.
La sécurité devient alors un problème de généalogie.
Pour auditer une mémoire persistante, il faut savoir d’où vient chaque souvenir, ce qu’il est devenu et quels autres souvenirs en dépendent.
Une IA persistante n’est pas seulement vulnérable à ce qu’elle lit.
Elle l’est aussi à ce qu’elle décide de ne jamais oublier.
Sources
Chen et al., MemSecBench, juillet 2026
Roy & Basu, MemSentry, septembre 2026
Louck, Origin-Bound Authority, juin 2026
#VOCEAssociation #AgenticAI #AISecurity #AIGovernance #PersistentMemory