Un chercheur en sécurité indépendant, Syed Anas Mohiuddin, a montré qu'un défaut de conception du protocole MCP permet à un agent IA compromis de faire exécuter des instructions par d'autres agents du même réseau. Sur cinq mois, il a reproduit l'attaque contre des agents de Google, de JP Morgan Chase, du gouvernement français et de l'administration américaine, parmi d'autres. Le problème ne tient pas à un produit isolé mais au protocole lui-même, dont la spécification n'impose aucune règle de sécurité et suppose que les agents d'un réseau se font confiance, selon Ars Technica.

MCP, la prise universelle des agents IA

Le Model Context Protocol (MCP) est un standard ouvert publié par Anthropic fin 2024. Il donne à un modèle de langage un moyen uniforme d'appeler des outils extérieurs, bases de données, fichiers, API web, et de déléguer une tâche à un autre agent. Google DeepMind, OpenAI et Microsoft l'ont adopté début 2026, ce qui en a fait la tuyauterie commune des agents dits « agentiques ».

À côté de MCP, Google pousse un second protocole, A2A (agent-to-agent), dédié à la délégation entre agents : un agent orchestrateur découpe une mission et confie les sous-tâches à des agents spécialisés, traduction, analyse de données, recherche documentaire. Ces deux briques, l'appel d'outils et la délégation, sont ce qui rend un agent utile. Ce sont aussi, d'après les travaux de Mohiuddin, sa surface d'attaque.

Un défaut inscrit dans la spécification

Le point soulevé par le chercheur ne vise pas un bug de programmation particulier mais un choix de conception. La spécification de MCP ne comporte aucune exigence de sécurité contraignante et part du principe que les agents présents sur un même réseau sont implicitement dignes de confiance, rapporte TechTimes. Il suffit qu'un seul agent soit détourné pour qu'il puisse donner des ordres que les autres suivent sans contrôle, en empruntant les permissions dont ils disposent déjà.

Mohiuddin, basé à Chicago et fondateur de la société Cognivators, avait annoncé dès mai 2026 que la faille serait structurelle, et que des organisations ne partageant aucune ligne de code finiraient par la reproduire chacune de leur côté. La suite lui a donné raison, puisqu'il a retrouvé le même défaut chez Google, JP Morgan, l'éditeur Weaviate, la société de cybersécurité Rapid7, la direction interministérielle du numérique française (DINUM) et plusieurs serveurs du gouvernement américain.

De l'URL piégée au vol d'identifiants

Le vecteur technique concret est une falsification de requête côté serveur, ou SSRF (server-side request forgery). Un serveur MCP accepte de l'agent une URL, un chemin ou un point d'accès, et va les chercher sans vérifier vers quelle machine ils pointent réellement, explique The Next Web. Un attaquant peut donc rediriger le serveur vers des systèmes internes ou vers les points d'accès de métadonnées d'un cloud, ceux qui distribuent des identifiants d'accès temporaires.

L'attaque ne casse ni le chiffrement ni l'authentification. Elle se contente d'utiliser les droits que l'agent possède déjà, et c'est ce qui la rend difficile à repérer. Vue du réseau, chaque requête ressemble à une opération légitime de l'agent.

Quand le prompt saute d'un agent à l'autre

Le chercheur décrit une classe d'attaques plus large qu'il nomme « pivot de protocole ». Un attaquant glisse, dans un contenu qu'un outil MCP va renvoyer (une page, un fichier, une réponse d'API), un texte mis en forme comme une tâche A2A. L'agent orchestrateur le relaie à un sous-agent, qui l'exécute parce qu'il fait confiance à l'orchestrateur. Un modèle de langage ne distingue pas les instructions des données, et tout ce qu'il lit, il peut le prendre pour une consigne. L'instruction injectée remonte alors la chaîne de confiance d'un agent au suivant.

Markus Vervier, de la société X41 D-Sec, qualifie la technique d'injection de prompt indirecte, cette famille d'attaques où une consigne malveillante est cachée dans un document que l'agent consulte au fil de sa tâche. Douglas McKee, directeur du renseignement sur les vulnérabilités chez Rapid7, résume l'embarras des défenseurs : « Chaque maillon de la chaîne a fait exactement ce pour quoi il était prévu. » Aucun composant n'a été piraté au sens classique ; c'est l'enchaînement des confiances accordées qui porte l'attaque.

Le scénario prolonge une séquence déjà connue. En août 2026, la société Pillar Security avait documenté le premier cas d'agent détourné pour en piéger un autre, dans la boîte à outils ADK de Google, l'un des incidents de sécurité désormais recensés par dizaines de milliers. La parade la plus discutée consiste à intercaler des garde-fous entre un agent et ses outils, mais ces proxys ne traitent qu'une partie du problème, et renvoient à la question de fond, la gouvernance des identités portées par les agents.

Google et Paris ont corrigé, Washington traîne

Plusieurs des organisations alertées ont publié un correctif. Google a réparé sa MCP Toolbox for Databases (CVE-2026-14540, gravité 8,0 sur 10). Son client HTTP ne vérifiait pas les redirections et laissait passer n'importe quelle adresse IP de destination, un défaut présent des versions 0.3.0 à 1.4.0, corrigé dans la 1.5.0 le 18 juin 2026, avec l'ajout de protections contre le DNS rebinding et de listes d'adresses autorisées. JP Morgan Chase a durci son serveur MCP de recherche documentaire, où un outil vérifiait le domaine demandé pendant qu'un autre allait chercher n'importe quelle URL fournie par l'appelant. Weaviate a restreint son module Google aux seuls hôtes de l'API de Google. La DINUM a corrigé le serveur de la plateforme data.gouv.fr le 4 septembre 2026, un serveur qui allait chercher des URL fournies par les producteurs de données et pouvant viser des ressources internes.

Côté américain, la situation est restée bloquée. Le 2 septembre 2026, Mohiuddin a déposé cinq signalements privés auprès des Technology Transformation Services de l'agence GSA. Six semaines plus tard, selon The Next Web et TechTimes, les cinq serveurs concernés n'étaient toujours pas corrigés : ceux des demandes d'indemnités des anciens combattants (Veterans Affairs), de l'API Medicare Blue Button, de regulations.gov, d'USASpending et de la base de santé publique CDC PLACES. Le serveur des anciens combattants journalise, en cas d'erreur de validation ordinaire et sans qu'une attaque soit nécessaire, des noms, numéros de sécurité sociale, dates de naissance et adresses en clair. Le serveur de subventions de l'agence numérique japonaise, dépourvu de toute authentification, restait lui aussi ouvert.

Mohiuddin doit présenter l'ensemble de ses résultats le 23 octobre 2026 à la conférence MCPCon North America, à San José.