Le syndrome de Kessler
En 1978, le scientifique NASA Donald Kessler a décrit un cauchemar : une cascade auto-entretenue de collisions en orbite terrestre.
- Un satellite percute un débris
- Des milliers de fragments créés
- Les fragments percutent d'autres satellites
- Plus de débris, plus de collisions
- L'orbite entière devient un champ de shrapnel
Au-delà d'un seuil de densité critique, la cascade s'auto-entretient. L'écosystème de skills agent approche ce seuil.
Le mapping agent
Le champ de débris actuel
Cisco : 26 % de vulnérabilité
26 % des 31 000 skills analysés contenaient au moins une faille. Un skill sur quatre. Avec 10 skills random : 94,8 % de probabilité d'inclure un composant vulnérable.
P(≥1 vulnérable) = 1 - (0.74)^10 = 0.948VirusTotal : malwares actifs
Des centaines de skills intentionnellement malveillants. Exfiltration, prompt injection, vol de credentials.
L'incident « What Would Elon Do? »
Le skill #1 communautaire était du malware : exfiltration silencieuse, prompt injection intégrée, déguisé en extension de personnalité.
Attaque publisher unique
Un seul éditeur : des centaines de skills compromis sous différents noms. Attaque de fragmentation délibérée.
Le scénario de cascade
Phase 1 : Ensemencement
Skills malveillants publiés. Vetting faible ou inexistant.
Phase 2 : Première collision
Un agent de production ingère un skill malveillant.
Phase 3 : Fragmentation
- Code généré → backdoors possibles
- Documentation → instructions trompeuses
- Configs pour d'autres agents → propagation vers l'orbite suivante
Phase 4 : Cascade
D'autres agents consomment la sortie empoisonnée. Chaque cycle crée plus de débris.
Phase 5 : Effondrement
- Plus personne ne fait confiance au marketplace
- Construction en interne (duplication massive)
- L'orbite est inutilisable.
OpenClaw : ground zero
220K+ étoiles, 8 000+ skills. À 26 % de vulnérabilité : ~2 000 skills vulnérables en orbite.
Contre-mesures
- VirusTotal Code Insight : Scan de tous les skills. Bénin/Suspect/Malveillant.
- Re-scans quotidiens.
- Whitelist de skills :
allowedMcpServers.
Lacunes
- Default-allow. Le défaut sûr devrait être deny-all.
- Pas de provenance supply chain.
- Injection de contexte : chaque skill consomme du budget (Partie 1).
- Pas de tests comportementaux.
Défense orbitale
Prévention
- Vetting obligatoire. Analyse statique + sandbox + revue humaine.
- Vérification d'identité éditeur.
- Transparence supply chain.
- Builds reproductibles.
Protection
- Default-deny. Whitelist explicite uniquement.
- Execution sandboxée.
- Validation de sortie.
- Ségrégation de contexte.
Nettoyage
- Scanning continu.
- Retrait rétroactif.
- Tracking de dépendances.
- Métriques de santé. Densité de débris trackée et publiée.
Plan d'action
Pour les équipes
- Whitelist uniquement.
- Épinglez les versions.
- Auditez les dépendances.
- Surveillez le comportement.
- Limitez le nombre de skills.
Pour les éditeurs
- Minimiser les dépendances
- Publier le source
- Signer les builds
- Documenter les permissions
Pour les plateformes
- Trois couches : prévention + protection + nettoyage
- Publier les métriques de débris
- Default-deny
- Financer la recherche sécurité
Le seuil de Kessler approche. Chaque skill non vetté, chaque default-allow, chaque chaîne non auditée rapproche l'écosystème de la cascade. Le moment pour la défense orbitale, c'est avant — pas après.
Partie 5 (finale) de la Série Eureka. Précédent : gcc pour Markdown.
Série complète : 1: Agent RAM → 2: Auto-immune → 3: Trois Corps → 4: mdcc → 5: Kessler