Les agents IA sont conçus pour agir comme des assistants utiles, mais de nouvelles recherches de TikTok suggèrent qu'ils peuvent également servir de conduits involontaires pour le vol de données. Une étude du Privacy Innovation Lab de l'entreprise soutient que les systèmes MCP (Model Context Protocol) multi-tours brisent les hypothèses de sécurité sur lesquelles les développeurs s'appuyaient jusqu'ici.

Selon l'étude, une description d'outil malveillante peut orienter un agent basé sur un grand modèle de langage (LLM) afin qu'il envoie les requêtes des utilisateurs et ses propres réponses vers un outil de journalisation contrôlé par un attaquant. L'utilisateur pose une question, l'agent répond, et un tiers conserve discrètement une copie de l'échange entier.

Ce qu'a révélé l'étude

L'étude, intitulée « When Tools Become Prompts: Why Multi-Turn MCP Systems Break Traditional Security Assumptions », a été publiée le 27 février 2026 par Sirat Samyoun et Jian Du du Privacy Innovation Lab de TikTok.

Elle porte sur le Model Context Protocol, une norme qui fonctionne comme un adaptateur universel, permettant aux agents IA de se connecter à des outils et services externes au cours d'une conversation.

Le titre résume l'idée centrale : la description d'un outil est un texte que le modèle lit, et un texte qu'un modèle lit peut fonctionner comme une instruction. Si un attaquant rédige cette description, il écrit en réalité une partie du prompt. L'agent peut alors suivre ces directives dissimulées, y compris l'instruction de transférer les conversations vers un service de journalisation contrôlé par l'attaquant.

Des données sensibles qui refusent de partir

L'empoisonnement des outils ne constitue qu'une partie du problème. Les chercheurs ont également constaté que les champs sensibles ont tendance à persister au fil des conversations multi-tours et peuvent fuiter au-delà des frontières entre serveurs.

Leurs exemples incluent les numéros de sécurité sociale et d'autres identifiants. Ces détails pouvaient être divulgués même lorsque l'agent avait été explicitement invité à exclure les informations sensibles.

L'équipe a mené des expériences contrôlées sur des serveurs MCP publics et des intégrations. Elles ont montré que des réponses d'outils parfaitement légitimes pouvaient être combinées pour reconstituer des informations personnellement identifiables (PII).

Aucun serveur n'avait à livrer un profil complet à lui seul. À la place, des données provenant de serveurs MCP distincts pouvaient être assemblées, aggravant ainsi la fuite indirecte. Pour quiconque exploite un agent doté de multiples intégrations, cela signifie que l'exposition ne réside dans aucun outil isolé, mais dans ce que plusieurs outils individuellement inoffensifs révèlent une fois combinés.

Pourquoi les vérifications de sécurité tour par tour passent à côté du problème

La critique la plus acerbe de l'étude vise la manière dont la sécurité MCP est habituellement évaluée. La plupart des analyses examinent chaque tour de conversation de manière isolée.

Les chercheurs estiment que cette approche néglige le risque cumulatif. L'exposition s'accumule d'un tour à l'autre et d'un outil à l'autre, et elle ne devient visible qu'à l'examen de l'historique complet de la conversation. Selon cette logique, un audit qui valide chaque tour individuel pourrait passer à côté d'une fuite qui ne se manifeste qu'à l'échelle d'une session entière.

Une norme jeune face à une surface d'attaque croissante

MCP a émergé comme une norme fin 2024. Depuis, il s'est répandu dans des outils populaires tels que Cursor et Claude Desktop. Cette portée place les préoccupations de l'étude au cœur de logiciels sur lesquels comptent déjà de nombreux développeurs et utilisateurs finaux.

L'étude de TikTok s'appuie sur une vague de recherches en sécurité débutée en 2025. Ces travaux antérieurs avaient soulevé des inquiétudes concernant l'empoisonnement des descriptions d'outils et les vulnérabilités de la chaîne d'approvisionnement liées aux serveurs MCP.

L'empoisonnement des descriptions d'outils est signalé comme un risque depuis début 2025. Les références ont également chiffré le phénomène : MCPTox rapporte un taux de réussite moyen d'attaque de 36,5 % selon les modèles.

Ce que Samyoun et Du ajoutent, c'est la perspective multi-tours. Les inquiétudes antérieures se concentraient sur la fiabilité d'un outil isolé. Cette étude s'interroge sur ce qui se produit lorsque de nombreux outils et de nombreux tours interagissent au fil d'une conversation.

Ce que cela signifie pour les développeurs et les entreprises

Pour les développeurs, le message est inconfortable mais clair. Contrôler chaque outil individuellement et vérifier chaque réponse de manière isolée peut ne pas suffire.

Les chercheurs appellent l'ensemble de l'écosystème MCP, des développeurs aux utilisateurs finaux, à repenser leurs cadres de sécurité. En pratique, cela revient à traiter les descriptions d'outils comme des entrées non fiables et à évaluer les risques sur l'ensemble de la conversation plutôt que tour par tour.

Ces résultats soulèvent également des questions de chaîne d'approvisionnement. Lorsque les agents peuvent se connecter à des serveurs MCP publics, chaque outil tiers constitue un point d'entrée potentiel pour des instructions empoisonnées. La question à court terme est de savoir si la pratique suivra les recommandations de l'étude : les descriptions d'outils seront-elles traitées comme des entrées non fiables, et les revues de sécurité s'étendront-elles de simples tours à des conversations entières ?