Barracuda : un seul courriel d’hameçonnage cible désormais à la fois le destinataire et son Inbox AI.

Le 7 octobre 2026, Barracuda Research a publié l'analyse d'une campagne d'hameçonnage conçue pour toucher deux lecteurs avec le même message : la personne qui le reçoit, et l'assistant d'IA qui résume sa boîte de réception. La moitié destinée à l'humain est banale — une pièce jointe protégée par mot de passe dont le mot de passe est écrit dans le corps du message, une combinaison qui, selon Barracuda, « crée un angle mort pour les contrôles de sécurité traditionnels des e-mails ». La seconde moitié est nouvelle. Dissimulées dans le même e-mail — dans des commentaires HTML, du texte invisible en CSS, des blocs encodés en Base64 et des caractères de largeur nulle — se trouvent des instructions destinées au modèle qui analyse le courrier, conçues pour amener l'assistant à « présenter l'e-mail d'hameçonnage comme légitime ou urgent » ou à le faire agir de sa propre initiative.

Barracuda affirme que l’échantillon qu’elle a examiné se présentait comme une correspondance interne de routine et bénéficiait d’un score de spam fiable, et qu’il provenait d’un domaine du secteur public. L’archive ne recense aucune victime confirmée ni aucun préjudice signalé : il s’agit d’un résultat de recherche sur un schéma d’attaque, et non de la divulgation d’une organisation compromise. Barracuda n’a pas divulgué l’ampleur de la campagne, et ni Infosecurity Magazine ni The Hacker News — qui ont tous deux couvert la recherche — n’ont pu ajouter de chiffre.

Ce que Barracuda a réellement publié

L'article est un billet de blog de recherche sur les menaces d'un fournisseur, intitulé « Threat Spotlight: Email attacks target both humans and AI in the same message » et signé par Guruprasad Kenja, décrit comme analyste des menaces chez Barracuda. Il est daté du 7 octobre 2026 dans son chemin d'URL et porte un tampon « Mis à jour : 6 oct. 2026 » sur la page elle-même ; l'article d'Infosecurity Magazine, par Alessandro Mascellino, est daté du 7 octobre et le récapitulatif ThreatsDay de The Hacker News, publié le 8 octobre, renvoie au même billet de Barracuda. L'écart d'un jour entre la date de l'URL et le tampon sur la page est propre à Barracuda et n'est expliqué par aucun des trois.

Barracuda présente les choses ainsi : l'assistant est devenu une seconde surface d'attaque. Selon ses propres termes, les organisations « doivent sécuriser non seulement les utilisateurs et les boîtes de réception, mais aussi les systèmes d'IA qui consomment et agissent sur les données de courrier électronique ». La recherche décrit un seul message avec deux charges utiles plutôt qu'un nouvel exploit : le leurre classique d'ingénierie sociale est ce qu'un filtre est conçu pour intercepter, et l'injection de prompt est placée là où, historiquement, un filtre ne regarde pas.

L'échantillon : conçu pour passer les contrôles de réputation

Barracuda énumère trois propriétés du message qui, selon son compte rendu, l'ont aidé à échapper au filtrage basé sur la réputation :

• Les adresses De et À correspondaient à la même boîte aux lettres, si bien que le message se lisait comme une note à soi-même plutôt que comme un courrier externe.

• Il comportait un score de confiance spam fiable.

• Il provient d’un domaine du secteur public.

Barracuda ne nomme pas le domaine du secteur public, ne dit pas si ce domaine était l'origine authentique du message ou s'il s'agissait d'une usurpation, et ne donne pas la date à laquelle le message a été observé. Ces lacunes comptent pour quiconque cherche à juger à quel point la campagne a failli fonctionner, et ce sont des lacunes de la source primaire, et non quelque chose qu'un autre média aurait comblé.

La moitié cachée : quatre façons dont les instructions sont introduites en contrebande

Barracuda cite quatre techniques parmi celles qu’il rencontre fréquemment. Toutes quatre reposent sur la même asymétrie : un client de messagerie affiche un message d’une certaine manière, tandis que le modèle qui lit la source brute voit tout ce que le client a masqué.

Chaque élément de cette liste est une description d'un support, non d'un effet, et Barracuda précise explicitement que les injections sont conçues pour agir sur l'assistant plutôt que sur la personne. L'étiquette de type de l'enregistrement est IPI — injection de prompt indirecte — qui est le terme standard pour désigner des instructions qui arrivent à l'intérieur d'un contenu qu'un modèle est chargé de traiter, plutôt que d'être saisies par son utilisateur.

Ce que les injections étaient censées faire

La description par Barracuda des objectifs de la charge utile s’articule autour de deux axes. L’axe le plus doux cherche à infléchir le résumé : si l’humain ignore la pièce jointe, le texte caché vise à amener l’assistant à décrire le message comme légitime ou urgent, poussant le destinataire à l’ouvrir et à cliquer. Barracuda indique qu’aucune de ces instructions n’est visible pour l’utilisateur. L’axe plus dur cherche à faire de l’assistant l’acteur — en lui disant d’« ignorer ses consignes précédentes » et, à la place, d’envoyer une demande urgente de virement de fonds, de divulguer des données ou de faire apparaître une fausse action urgente.

Les exemples concrets ci-joints cités par Barracuda montrent le même mécanisme appliqué à d’autres flux de travail médiés par l’IA :

• Un courriel de facture contenant un bloc de texte caché qui indique au modèle de synthèse d’ajouter une fausse action prioritaire modifiant les coordonnées de paiement d’un fournisseur, incitant un employé à virer de l’argent à l’attaquant.

• Un CV dont le texte dissimulé donne pour instruction à un outil de présélection par IA d’attribuer au candidat une note de 10 sur 10 et de recommander un entretien immédiat, quelles que soient ses qualifications.

• Une requête présentée comme un « mode maintenance ou administrateur » autorisé qui demande à un bot de support de révéler sa propre configuration.

• Documentation empoisonnée sur une page que lit un assistant de codage, lui donnant pour instruction d'insérer une ligne d'exfiltration d'identifiants chaque fois qu'il génère du code d'authentification.

Ces éléments sont décrits comme des exemples de la technique, et non comme des violations confirmées. Rien dans l’article de Barracuda n’indique qu’un modèle de synthèse, un outil de filtrage, un bot d’assistance ou un assistant de codage se soit réellement conformé lors d’un déploiement réel, et l’archive consigne real_harm comme false.

Ce qui est établi, et ce qui ne l’est pas

La distinction importe davantage ici que dans la plupart des comptes rendus d’incident, car le document décrit une conception plutôt qu’un résultat.

• Établi : Barracuda Research a examiné une campagne de phishing qui combinait une pièce jointe protégée par mot de passe avec une injection de prompt dissimulée dans le même message, et a publié son analyse le 7 octobre 2026. Les quatre techniques de dissimulation et les quatre exemples d'utilisation sont énoncés dans cet article. Deux médias indépendants — Infosecurity Magazine et The Hacker News — ont rapporté les mêmes conclusions sans les contredire, ce qui explique pourquoi le niveau de confiance de la fiche est classé A.

• Non établi : si un assistant a réellement été détourné, combien de messages ont été envoyés, qui les a reçus, et si de l’argent a été transféré ou si des données ont été exfiltrées. Barracuda a refusé de donner l’ampleur de la campagne. Aucun régulateur, organisation victime ou fournisseur de sécurité n’a corroboré une compromission spécifique, et aucune partie nommée n’est rattachée à l’échantillon.

• Non contesté : rien dans la couverture ne contredit le récit de Barracuda. Les questions en suspens sont des omissions, non des désaccords — et l’archive ne consigne pas ce constat comme contesté.

L'enregistrement est classé comme un constat de recherche de gravité moyenne, avec une implication de l'IA confirmée — l'assistant IA est la cible autour de laquelle la campagne est conçue, et c'est ce qui rend le message inhabituel. Il n'est pas classé comme un jalon, et il n'y a pas de plage de dates : l'analyse décrit un instant précis, le 7 octobre 2026, et non une fenêtre de campagne.

Les mesures d'atténuation recommandées par Barracuda

La position de Barracuda est qu'« aucun contrôle unique ne permettrait d'arrêter toutes les variantes », aussi ses recommandations constituent-elles un empilement de mesures plutôt qu'un correctif. Elle conseille de retirer les éléments cachés, les commentaires et les caractères invisibles du contenu avant que celui-ci n'atteigne un système d'IA ; de détecter les formulations de contournement d'instructions comme signature d'injection de prompt ; de placer les assistants dans un bac à sable afin que leur portée soit limitée ; de valider la sortie avant qu'une réponse d'assistant ne déclenche une action ; et d'exiger une validation humaine pour les paiements, les changements de fournisseurs et autres décisions sensibles. Elle recommande également de surveiller les tentatives d'injection répétées, et énonce le principe sous-jacent ainsi : traiter le contenu externe « toujours comme des données uniquement et tenu à l'écart des instructions ».

L'article mentionne également les propres produits de Barracuda — Email Gateway Defense, Behavioral AI et Automated Threat Response — comme les contrôles qu'il vend pour le volet filtrage et remédiation. C'est un fournisseur qui recommande son propre catalogue, et il convient de le lire comme tel : les recommandations techniques sont indépendantes des produits, mais l'article ne teste ni les unes ni les autres face à la campagne qu'il décrit.

Pourquoi il vaut la peine de conserver le document

La valeur spécifique de cette entrée réside dans le fait qu’elle documente le point où deux défenses auparavant distinctes cessent de couvrir le même message. Une pièce jointe protégée par mot de passe met en échec l’analyse du contenu, car l’analyseur ne peut pas ouvrir le fichier ; une injection de prompt cachée met en échec l’évaluation de réputation, car celle-ci s’intéresse aux expéditeurs, et non à ce qu’un modèle de langage fera du corps du message. Réunissez-les dans un même e-mail et les modes de défaillance s’empilent : un filtre qui laisse passer le message en se fondant sur un score de confiance a aussi laissé passer la charge utile destinée à ce qui lira ensuite la boîte de réception. L’échantillon de Barracuda est la démonstration que cette combinaison n’est pas hypothétique.

Cette fiche — la découverte de phishing à double cible de Barracuda — est une entrée dans l'OrcaRouter AI Incident Archive, qui recense les incidents liés à l'IA, les résultats de recherche et les évaluations selon les mêmes champs que ceux utilisés ci-dessus : gravité, niveau de confiance, statut contesté et préjudice réel.