Quand les agents attaquent : comment l'équipe d'ingénierie de Prelude riposte

Christos Panagiotakopoulos, Engineering Manager chez Prelude, explique ce que les incidents d'Anthropic et d'OpenAI signifient réellement pour la détection de la fraude, et comment Prelude utilise ses propres agents pour riposter.

Les deux incidents qui ont déclenché le débat : ce qu'OpenAI et Anthropic ont prouvé sans le vouloir

Fin juillet 2026, deux laboratoires d'IA de premier plan ont révélé que leurs propres modèles avaient contourné de vraies infrastructures lors d'évaluations contrôlées.

Les modèles d'OpenAI se sont échappés d'un environnement sandbox pour atteindre les systèmes de production de Hugging Face. Quelques jours plus tard, Anthropic a révélé d'elle-même que trois de ses modèles Claude avaient chacun de leur côté infiltré trois organisations lors d'évaluations menées par un partenaire de sécurité tiers.

Dans les deux cas, les points d'entrée étaient tout à fait ordinaires : mots de passe faibles, points de terminaison de débogage non authentifiés, injections SQL basiques. « Aujourd'hui, la plupart des problèmes de cyberdéfense ne relèvent pas de failles complexes ou de zero-day », explique Christos Panagiotakopoulos, Engineering Manager chez Prelude. « C'est plutôt que vous configurez un système, vous pensez avoir couvert toute la surface d'attaque, mais parfois vous oubliez une petite porte, et c'est précisément cette porte qui va être exploitée. »

La vraie différence réside dans la vitesse, pas dans la sophistication

Les agents ne sont pas plus compétents que des attaquants humains qualifiés. Christos est direct sur ce point : « Ce n'est pas que les agents peuvent faire beaucoup plus de choses que les humains. C'est qu'ils peuvent faire la même chose, ou pire, mais beaucoup plus vite. »

Avant l'apparition des agents, un fraudeur testait un système manuellement. Le processus ressemblait à ceci : tenter, échouer, adapter, échouer à nouveau, adapter encore, et finit par trouver une faille. Prelude corrigeait la faille, et l'attaquant devait repartir de zéro. Ce cycle avait une limite de vitesse naturelle dictée par le temps et l'attention des humains.

Les agents font voler cette limite en éclats. Un seul attaquant peut désormais lancer 10, 20 ou 30 agents en même temps, chacun testant une partie différente du système en parallèle. 

Les chiffres le confirment. Prelude a constaté que les comportements automatisés sur les applications de ses clients ont augmenté de manière exponentielle par rapport aux années précédentes.

Ce que voit Prelude lorsqu'un agent se présente

Lorsqu'un agent tente de se connecter ou d'accéder à un flux OTP, les signaux diffèrent d'une session humaine, mais pas toujours de manière évidente.

L'indice le plus clair se trouve dans le navigateur lui-même. Un humain n'utilisera pas un système de la même manière qu'un agent. Dans le cas de l'agent, un logiciel s'exécute par-dessus le processus du navigateur pour lancer les actions, ce qui montre des signes d'automatisation. Cette automatisation laisse des traces que les SDK de Prelude peuvent détecter avec un bon niveau de confiance.

Cependant, le signal le plus important ne réside pas dans la session individuelle. Il se trouve dans le schéma global de l'ensemble des sessions.

« Il ne faut pas analyser le comportement d'une seule instance isolée, mais ce qui se passe sur l'intégralité du trafic », explique Christos, « car lorsqu'il y a une tentative d'attaque automatisée sur le système, elle arrive la plupart du temps en essaim, et non pas sous la forme d'une seule petite tentative isolée. »

Prelude n'évalue pas les requêtes de Verify de manière isolée. Elle observe l'état global du trafic de l'application d'un client et réalise des prédictions sur cette vue d'ensemble. C'est pourquoi les attaques en essaim sont détectables, même lorsque les sessions individuelles semblent légitimes.

Le cas de l'aspiration de SMS (SMS Pumping)

La détection de l'aspiration de SMS repose traditionnellement sur trois signaux : la vitesse des requêtes, les plages de numéros séquentiels et les ratios d'envoi/vérification. Un fraudeur qui parvient à rester sous ces trois seuils en même temps peut passer entre les mailles du filet. 

Christos confirme qu'un agent peut exploiter cela de la même manière, mais simplement plus vite.

« Un agent peut apprendre bien plus rapidement », note Christos. « Il peut tester des solutions à toute vitesse et ainsi trouver une solution possible. »

Selon Christos, plutôt que de bloquer la porte, la meilleure solution consiste à la rendre plus difficile à trouver. En d'autres termes, l'idée n'est pas de bloquer la vulnérabilité une fois qu'elle a été découverte, mais de compliquer sa recherche dès le départ.

L'un des moyens utilisés par Prelude est l'obfuscation, qui empêche l'agent de comprendre ce que le système est réellement en train d'évaluer. Plus il est difficile de lire les signaux, plus un agent devra faire de tentatives pour cartographier les règles, et plus cela deviendra coûteux pour l'attaquant.

Christos décrit une manière de mesurer directement ce coût : « Au lieu de mesurer la facilité avec laquelle le système peut être contourné, vous mesurez combien d'argent il faut dépenser pour trouver cette vulnérabilité. » Si un attaquant doit dépenser 100 000 € pour trouver une faille, le cercle des personnes disposant du capital nécessaire pour mener cette attaque se réduit considérablement.

Prelude applique cette même logique à ses propres défenses en évaluant constamment ses SDK à l'aide d'agents internes qui tentent de les contourner, tout en mesurant le temps et le coût requis. « C'est l'un des indicateurs que nous suivons de près », confie Christos.

Le défi du pré-envoi

L'objectif avec l'aspiration de SMS, et plus largement avec la détection de la fraude, est de bloquer le trafic avant même que le SMS ne soit envoyé ou que le compte ne soit créé. Cela demande de prendre une décision fiable avec très peu de données.

« Lorsqu'un utilisateur arrive pour la première fois sur votre site Web, vous ne savez pas à qui vous avez affaire », explique Christos. « Vous connaissez seulement quelques détails sur son appareil. Vous disposez d'une fenêtre très courte pour collecter des signaux comportementaux. »

Les agents compliquent cette tâche. Avec un humain, les signaux comportementaux s'accumulent tout au long de la session, alors qu'avec un agent, ces signaux sont très rares, voire inexistants. « Il n'est pas facile d'identifier que cet utilisateur a un comportement non humain », explique Christos. « Vous ne pouvez baser votre décision que sur certains indicateurs liés à l'appareil ou sur des empreintes réseau. »

Cette contrainte est précisément la raison pour laquelle le parcours réseau est si crucial.

Le signal que les agents ne peuvent pas falsifier

Alors que les agents parviennent de mieux en mieux à falsifier les paramètres des appareils, Prelude a réorienté ses efforts vers des signaux beaucoup plus difficiles à truquer : le parcours réseau.

« Nous n'analysons pas seulement l'appareil sur lequel tourne l'agent. Nous analysons également le chemin réseau emprunté par l'agent pour arriver jusqu'à Prelude. »

Les paramètres déclarés par un appareil peuvent être émulés. En revanche, la ligne réseau utilisée pour se connecter ne peut pas être facilement modifiée. Un attaquant peut utiliser des proxys ou des VPN pour masquer sa connexion, mais ces techniques sont elles-mêmes détectables grâce aux technologies d'empreinte de Prelude.

Par conséquent, soit l'agent expose sa véritable origine réseau, soit il révèle qu'il tente de rendre sa connexion anonyme. Dans les deux cas, c'est un signal.

Combattre les agents par les agents

Prelude ne se contente pas de se défendre contre les agents extérieurs. Elle en fait également tourner en interne. 

Christos note que Prelude utilise actuellement des agents d'IA internes pour analyser le trafic, identifier les fraudes qui n'ont pas été détectées au départ et proposer de manière proactive des règles destinées à être validées par des humains. C'est une évolution indispensable face au volume élevé de requêtes automatisées quotidiennes. 

« Nous avons un agent chez Prelude qui analyse spécifiquement le trafic pour débusquer les fraudes qui nous ont échappé, et qui propose proactivement des règles qu'un humain peut ensuite valider pour bloquer ce type de trafic. »

Il ne s'agit pas d'un simple modèle de machine learning qui attribue des scores. C'est un agent qui analyse les schémas de trafic, repère les cas passés entre les mailles des règles existantes et génère de nouvelles règles pour révision humaine.

La raison d'être de cet outil est la même que celle qui rend la fraude par agent de plus en plus difficile à stopper : le volume.

Avant l'IA, explique Christos, vous aviez peut-être 10 humains en train de tester activement un système à un instant T. « Aujourd'hui, vous pouvez avoir des milliers, des dizaines de milliers, voire des centaines de milliers d'agents qui testent votre système en temps réel chaque jour. Vous devez être capable d'adapter vos règles à la même vitesse. »

Les ensembles de règles statiques ne peuvent pas suivre le rythme. Un agent qui analyse le trafic en continu et propose de nouvelles règles le peut.

Inverser les rôles : mettre l'agent entre les mains du client

Cette même capacité arrive chez nos clients, basée sur le même principe : ne pas chercher à prédire chaque attaque à l'avance, mais la détecter et la bloquer dans les minutes qui suivent son apparition, avant qu'elle n'entraîne une perte financière importante.

L'objectif est de permettre aux clients d'interroger directement un agent ayant une vue complète de leur propre trafic. Un client constatant un pic d'activité suspect dans un pays spécifique pourra demander à l'agent d'analyser ce trafic, de déterminer s'il s'agit d'une fraude et de trouver les schémas nécessaires pour le bloquer.

« La fraude ne ressemble pas à la même chose pour une banque que pour une application de rencontre », explique Christos. « C'est pourquoi nous voulons donner à nos clients la possibilité de personnaliser leur lutte contre la fraude, afin qu'ils puissent générer leurs propres règles en fonction de leur trafic. »

En parallèle, Prelude met en place un système complet d'alertes : lorsqu'un événement réseau déclenche une alerte, le client pourra le signaler comme suspect et activer l'agent pour trouver le schéma et générer la règle de blocage en une seule étape.

Les agents accélèrent les attaques de la même manière qu'ils accélèrent la détection. Toute la question est de savoir quel camp avance le plus vite.

« Nous faisons constamment évoluer le système. De nouveaux schémas apparaissent sans cesse et les attaquants trouveront toujours un moyen de contourner nos défenses, mais le but est de détecter au plus tôt et de trouver une solution en quelques minutes. »

Aucun système ne peut prédire toutes les attaques à l'avance. La qualité d'un bon système se mesure à sa vitesse de réaction face à une nouvelle menace.

Cet article fait partie de la série de blogs d'ingénierie de Prelude, où l'équipe partage les coulisses de la création du produit. En savoir plus sur le blog ou commencer avec Prelude.

Christos Panagiotakopoulos est Engineering Manager chez Prelude, où il dirige l'ingénierie des produits de vérification et de prévention de la fraude et définit leur orientation technique. Il a conçu le produit Auth de Prelude ainsi que l'API v2 de l'entreprise, posant ainsi les bases sur lesquelles ces deux solutions reposent encore aujourd'hui. Depuis, il a travaillé sur la majeure partie de la plateforme, notamment le routage des messages, la détection de la fraude et l'infrastructure de données sous-jacente. Il a évolué vers un rôle de leadership en ingénierie sans pour autant s'éloigner du code, qu'il continue de rédiger et de réviser quotidiennement. Avant de rejoindre Prelude, il travaillait chez BeReal, où il a développé des services backend en Go et Node.js capables de gérer plus d'un million de requêtes par seconde lorsque la notification quotidienne connectait tous les utilisateurs en même temps dans un intervalle de deux minutes.