Sommaire

Quelques lignes de texte peuvent suffire à faire lire ses clés d’accès à un agent IA, puis à les envoyer ailleurs. Aucun virus ni macro dans l’affaire. Juste des consignes en langage courant, que l’agent suit avec les droits de celui qui l’a lancé.

Ces fichiers s’appellent des « skills ». Des places de marché publiques en ont déjà distribué de malveillants, et les scanners censés les trier ont été contournés en moins d’une heure.

A lire aussi sur DPO PARTAGE

OpenHack : un ingénieur sécurité IA en continu, et les vérifications du DPO avant de lui ouvrir le code

GDPR EU Representative: Does Your Company Need One?

Organisation de crise violation de données notre TUTO DPO FRANCE – DPO SUITE

Pour le DPO, tout part d’une question : qui a installé quoi, avec accès à quelles données ?

Un skill, c’est quoi ?

Un skill est un paquet de consignes qu’un agent charge pour apprendre une tâche : trier des e-mails, interroger une base, mettre à jour le CRM. Il tient souvent dans un fichier SKILL.md, parfois accompagné de scripts. Le format fonctionne avec Claude Code, Cursor, Codex ou OpenClaw, et s’installe en une commande.

Deux choses posent problème. L’agent suit le skill avec à peu près l’autorité d’une consigne de l’utilisateur. Le skill hérite aussi de tout ce à quoi l’agent a accès, jetons et connexions aux bases compris. Dans la plupart des déploiements, rien ne limite les droits skill par skill.

À l’entrée, le contrôle est léger. En février 2026, publier sur ClawHub demandait un fichier Markdown et un compte GitHub vieux d’une semaine, sans signature ni revue de sécurité.

L’attaque type est une injection de consignes. Le texte demande à l’agent de lire une clé ou un fichier de configuration, puis de l’envoyer à un serveur externe. Un antivirus classique cherche du code suspect, et il ne trouve parfois que trois lignes de texte.

Ce que disent vraiment les chiffres

Un skill sur vingt présenterait une intention malveillante probable, selon l’étude de Liu et al. Ce chiffre circule souvent sans cette nuance, et le « tiers de skills critiques » est tout simplement faux.

Étude	Périmètre	Résultat
Liu et al., 2026	42 447 skills	26,1 % avec au moins une vulnérabilité ; 5,2 % avec une intention malveillante probable
Snyk, février 2026	3 984 skills	36,82 % avec une faille, toutes gravités confondues ; 13,4 % avec une faille critique ; 76 charges malveillantes confirmées
Koi Security, février 2026	2 857 skills de ClawHub	341 skills malveillants, soit 12 %

Ces études portent sur des registres publics, avec des méthodes différentes. Elles ne s’additionnent pas et ne disent rien d’un dépôt interne contrôlé. Devant une direction, je m’en tiendrais à l’ordre de grandeur : un registre public n’est pas une source de confiance.

Un scanner au vert ne prouve rien

Un scanner filtre le plus grossier, mais son feu vert ne vaut pas mesure de sécurité. Les outils ne manquent pourtant pas. Cisco skill-scanner, qui se présente lui-même comme « best-effort », combine règles, signatures YARA et analyse par LLM. NVIDIA SkillSpector annonce 71 motifs répartis en 17 catégories, avec une analyse statique et une analyse LLM en option.

Le 3 juin 2026, Trail of Bits a publié ses contournements du détecteur de ClawHub, du scanner de Cisco et des trois scanners intégrés à skills.sh. Trois des quatre skills piégés ont demandé moins d’une heure de travail. Les procédés sont d’une simplicité gênante :

100 000 sauts de ligne placés avant le code malveillant ;
un script caché dans un fichier .docx ;
du bytecode Python différent du code source visible ;
un registre de paquets pirate, présenté comme un miroir d’entreprise conforme et audité.

Le dernier devrait parler aux DPO : un vernis de conformité a suffi à rassurer le LLM chargé de l’analyse.

SkillSpector ne figure pas dans ce test, et ses règles visent désormais le bourrage d’espaces comme le bytecode. Il a toutefois été mis en défaut par AIR avec une autre méthode. Le skill renvoyait vers une page externe saine au moment du scan, remplacée ensuite par une consigne de téléchargement. AIR annonce 26 000 agents touchés, un chiffre non confirmé, publié par une société qui lance sa propre place de marché. La méthode reste valable pour autant. Un scan lit une photo du paquet, et la page visée peut changer après.

Dans un dossier de conformité, le rapport de scan est donc une pièce parmi d’autres. À lui seul, il ne démontre pas une sécurité adaptée au risque.

Ce que cela change côté RGPD

Le RGPD autorise les skills, à condition de maîtriser ce qu’ils peuvent toucher. La note exploratoire de la CNIL et du CIANum du 20 juillet 2026, sans valeur contraignante, rappelle que les IA agentiques restent pleinement soumises au RGPD. Le règlement sur l’IA s’applique aux agents sans règles propres, et les lignes directrices du CEPD et de la Commission sur l’articulation des deux textes sont attendues d’ici fin 2026.

Sécurité et responsabilité (articles 5 et 32)

L’organisme doit pouvoir expliquer pourquoi un code tiers non vérifié accède à des données personnelles, et avec quelles mesures. L’article 32 ne fixe aucune liste d’outils. Il demande une sécurité adaptée au risque.

Protection dès la conception (article 25)

Par défaut, l’agent n’accède qu’aux données nécessaires à sa tâche. Un agent branché sur toute la messagerie pour trier des factures échoue à ce test.

Sous-traitance (article 28)

Un skill n’est pas automatiquement un sous-traitant : exécuté en local, un fichier de consignes n’envoie rien par lui-même. Regardez plutôt le service distant qu’il appelle. Selon le cas, ce service sera sous-traitant ou responsable distinct, avec le contrat, l’hébergement et les transferts hors Union à vérifier.

Registre et AIPD (articles 30 et 35)

Le registre recense les traitements, pas les logiciels. Reliez tout de même chaque agent et ses extensions aux traitements concernés. L’AIPD n’a rien d’automatique, mais quand elle est requise, elle doit décrire les skills, les connecteurs et les flux sortants.

Violation de données (articles 33 et 34)

Un skill qui a pu lire puis envoyer des données personnelles relève de la procédure de violation. Documentez les faits, et notifiez la CNIL sous 72 heures si un risque existe pour les personnes.

Les cinq mesures à obtenir

Prises une à une, ces mesures ne suffisent pas. Ensemble, elles réduisent ce qu’un skill piégé peut atteindre. Si un client ne devait en lancer qu’une cette semaine, je lui dirais l’inventaire : on ne contrôle pas ce qu’on ignore.

Faire l’inventaire. Demandez à la DSI, par écrit, la liste des agents, skills et connecteurs MCP présents sur les postes, y compris hors équipes de développement.
Passer à une liste blanche. Pour tout agent qui touche des données sensibles ou personnelles, écartez les installations directes depuis les registres publics. Tenez un dépôt interne, avec versions figées, relecture humaine des fichiers et des liens externes, et nouvelle revue à chaque mise à jour.
Cloisonner et fermer la sortie. Faites tourner l’agent dans un environnement isolé, avec des droits minimaux et sans secrets accessibles dans un fichier .env. Bloquez les flux sortants par défaut. La CNIL cite ce cloisonnement, le sandboxing, parmi les mesures utiles : il limite l’exfiltration au périmètre confié à l’agent.
Garder un humain sur les actions critiques. Classez les actions par risque, comme le suggère la note : lecture, modification, suppression, envoi hors du système. Exigez une validation avant les plus graves, et prévoyez un bouton d’arrêt d’urgence. Une validation réflexe ne vaut pas contrôle.
Tracer et préparer l’incident. Conservez quel skill a agi, en quelle version, sur quelles données et vers quels services. Ajoutez à la procédure de violation la révocation des clés et jetons exposés.

Retirez aussi les données réelles des environnements de développement. Ce qui n’y est pas ne peut pas en sortir.

Que faire selon votre situation ?

Je suis DPO et je n’ai pas accès aux postes

Envoyez à la DSI trois questions : quels agents, quels skills, quels accès ? Conservez la réponse écrite dans le dossier de sécurité du traitement concerné.

Je dirige une petite structure sans DSI

N’installez aucun skill trouvé en ligne sur un poste qui accède à des données de clients, de patients ou de salariés. Demandez d’abord à votre prestataire ou à votre DPO.

Je suis développeur

Lisez le skill avant de l’installer, ses scripts et les pages vers lesquelles il renvoie compris. En cas de doute après installation, prévenez la sécurité et le DPO, puis faites révoquer les secrets exposés.

Questions fréquentes

Faut-il interdire les skills ?

Non. L’automatisation a ses raisons, et le DPO n’a pas vocation à la bloquer. Il demande une source contrôlée, des droits limités et une trace de ce que fait l’agent.

Un skill publié par un éditeur connu est-il sûr ?

La provenance compte, sans tout garantir. N’importe qui peut usurper une marque de confiance, et un skill sain peut recevoir une mise à jour malveillante si sa version n’est pas figée.

Un skill installé sans validation est-il une violation de données ?

Pas à lui seul. Il faut une atteinte à la sécurité ayant touché des données personnelles. L’installation non autorisée déclenche en revanche une vérification, à documenter quel qu’en soit le résultat.

Ce que DPO SUITE apporte aux clients et aux DPO

Ces cinq mesures se pilotent dans DPO SUITE, le logiciel de conformité créé par des DPO pour des DPO et proposé par DPO FRANCE. L’inventaire y a sa place : logiciels et systèmes d’IA sont recensés, puis reliés aux traitements et aux sous-traitants. Le service distant appelé par un skill s’y qualifie et s’y audite comme tout autre prestataire.

Les règles de validation deviennent des procédures, et les écarts des actions correctives suivies. Si un skill dérape, le module incidents garde le fil de la violation et de ses délais. Le bac à sable et le filtrage des flux restent l’affaire de la DSI, mais DPO SUITE conserve ce qui a été décidé, vérifié, et par qui.

Le client voit où il en est. Le DPO externalisé suit tous ses clients au même endroit et dispose de son dossier de preuves le jour d’un contrôle, sans avoir à le reconstituer. Sur un sujet qui bouge aussi vite, cet appui fait gagner un temps précieux. Créer mon registre gratuitement.

À retenir

Un skill se traite comme du code tiers qui entre avec les clés de la maison. S’il y a une anguille, mieux vaut soulever la roche avant l’installation qu’après l’exfiltration.

Besoin d’aide pour inventorier les agents IA de vos équipes et qualifier les services qui reçoivent des données ? Un DPO du réseau DPO FRANCE vous accompagne : être rappelé par un DPO.