Cisco a annoncé la mise en open source de Project Quarry, un outil destiné à repérer les attaques menées par des agents d’IA. Son principe repose moins sur la détection d’actions isolées que sur l’analyse de la façon dont une suite d’actions, en apparence anodines, peut révéler une intention malveillante.
- Cisco publie en open source Quarry, un outil qui détecte les attaques d’agents IA.
- Quarry analyse des séquences d’actions, car une suite anodine peut cacher une intention malveillante.
- Il combine modèles d’apprentissage automatique et règles symboliques, sans remplacer les détecteurs existants.
- Une campagne de 2025 utilisant Claude Code découpait l’attaque en tâches de routine pour tromper la défense.
Les systèmes de sécurité traditionnels évaluent généralement chaque action séparément pour déterminer si elle est dangereuse ou bénigne. Cette approche atteint ses limites avec les agents d’IA, c’est-à-dire des programmes capables d’enchaîner seuls plusieurs actions, lorsque l’intention malveillante n’apparaît qu’au fil d’une séquence. Cisco prend l’exemple de la fraude bancaire : une banque analyse chaque achat isolément, alors que la détection de fraude doit repérer des schémas répartis sur plusieurs achats, parfois dans des lieux différents et à des moments improbables. « La sécurité des agents a besoin de la même combinaison de détection de motifs et de preuves, appliquée aux étapes franchies par un agent plutôt qu’aux achats », écrit l’entreprise.
Des règles qui combinent apprentissage et logique
Cisco décrit Quarry comme un langage de règles « neurosymbolique », c’est-à-dire associant le jugement de modèles d’apprentissage automatique à des vérifications fondées sur des règles. Il couvre les conversations avec les grands modèles de langage (LLM), qu’elles comportent un ou plusieurs tours, ainsi que les agents, l’usage d’outils, les échanges via le Model Context Protocol (MCP), un standard qui relie les modèles à des outils externes, et les entrées multimodales.
Chaque règle s’appuie sur deux types de éléments. D’une part, des preuves issues de classifieurs d’apprentissage automatique et de « juges » LLM ; d’autre part, des règles symboliques qui vérifient des conditions précises, des séquences, des correspondances de chaînes de caractères ou des relations entre outils. Quarry est conçu comme une couche de politique commune, et non comme un remplacement de tous les détecteurs ou de tous les mécanismes de contrôle existants.
L’outil peut servir à mettre en place des garde-fous en temps réel sur les agents, à conduire des analyses de sécurité a posteriori à partir d’ensembles de règles, ainsi qu’à la réponse aux incidents. Il s’intègre au cadre existant de Cisco, l’Integrated AI Security & Safety Framework, qu’il étend de la description des risques liés à l’IA vers leur détection dans l’activité des agents.
Une menace déjà observée
Cisco rappelle qu’en 2025, Claude Code a été utilisé par des acteurs malveillants dans deux campagnes : l’une visant environ 30 organisations, l’autre visant des institutions gouvernementales mexicaines. Dans le premier cas, l’attaque avait été découpée en tâches de routine, qui laissaient croire au système de défense qu’il s’agissait de tests de sécurité. Vue par morceaux, elle ressemblait à un test d’intrusion autorisé ; son véritable objectif, le vol de données, n’est apparu que lorsque les requêtes ont été rapprochées dans le bon ordre.
Cisco souligne que les attaquants modifient constamment leurs méthodes. Chaque nouvelle technique identifiée doit donc donner lieu à une nouvelle règle Quarry, utilisable par toutes les organisations. Pour répondre à cette contrainte, l’entreprise a prévu un plugin permettant à un agent de programmation de rédiger, compiler et affiner des règles à partir d’une description en langage courant du risque d’une organisation, puis de les tester sur de véritables conversations.
Le paquet de démarrage comprend notamment un langage lisible pour les conversations, l’usage d’outils et les relations entre événements, un scanner en ligne de commande, un SDK Python, ainsi que le plugin pour Claude Code, Codex et d’autres agents compatibles MCP. Cisco cite aussi un exemple : « Hugging Face a reconstitué environ 17 600 actions d’agents après coup ». L’objectif affiché est de permettre aux défenseurs de « reconnaître ces séquences pendant qu’elles sont encore en cours ».
