Présentation des vecteurs d'attaque

Lors du Bug Bounty Village à DEF CON 34, Inti De Ceukelaire a démontré que des agents IA de service client peuvent être détournés sans scanner réseau. En moins de deux week‑ends, les chercheurs ont récolté plus de 50 000 $ de primes en manipulant uniquement les échanges e‑mail du chatbot. L’attaque repose sur deux leviers : l’injection de prompts dans le modèle de langage et la falsification du protocole e‑mail utilisé par le bot pour identifier l’expéditeur.

Mécanismes de falsification d'e‑mail

Le protocole RFC 822 autorise la présence de plusieurs en‑têtes From. Le Envelope‑From (utilisé par SPF/DKIM) et le Header‑From (affiché à l’utilisateur) sont traités séparément. En plaçant un domaine contrôlé dans le Envelope‑From, l’expéditeur passe les contrôles SPF/DKIM, tandis que le Header‑From indique l’adresse de la victime. Le chatbot, qui ne vérifie que le Header‑From, associe alors la requête à l’utilisateur cible et répond à l’adresse indiquée dans l’en‑tête Sender.

From: victim@example.org
From: attacker@attacker.com
Sender: attacker@attacker.com
Subject: Request data
Cette technique permet de contourner les filtres d’authentification et d’obtenir des réponses contenant des données confidentielles.

Exploitation des fonctions de transcript et d'invocation d'outils

De nombreux chatbots offrent une fonction de « transcript » qui copie la conversation et l’envoie par e‑mail. En combinant la falsification du From avec un prompt d’injection, l’attaquant peut forger un e‑mail de phishing envoyé depuis l’adresse support@service.com. En ajoutant son propre compte en copie carbone, il reçoit automatiquement la réponse contenant les informations demandées. Certains bots disposent aussi d’appels d’outils (édition de profil, facturation, transfert d’argent). Une fois le compte victime « authentifié » via le faux From, l’attaquant peut déclencher ces actions sans interaction supplémentaire.

Contremesures et limites de la défense

Les équipes de sécurité doivent séparer la validation d’identité du niveau protocolaire (SPF/DKIM) et du niveau applicatif (vérification du Header‑From). Une règle stricte consiste à ne jamais accepter de commandes sensibles provenant d’e‑mails dont le Envelope‑From diffère du Header‑From. L’activation d’une authentification forte (ex. : challenge‑response via un lien unique) pour chaque appel d’outil réduit l’impact d’une injection de prompt. Enfin, la désactivation du service de transcript automatique ou son confinement à des adresses internes empêche l’exfiltration de données via le canal e‑mail.