Agents médicaux : une injection détourne 61 % des diagnostics
Sur deux systèmes multi-agents médicaux, deux familles de modèles et trois bancs d'évaluation, un seul passage injecté fait basculer la décision dans jusqu'à 61 % des cas, et faire délibérer les agents ne protège pas régulièrement. Les auteurs publient le 15 octobre 2026 sur arXiv une défense sans entraînement qui vérifie chaque jugement clinique contre les seuls constats du patient, et ramène sur MedQA la réussite de l'attaque à 4 à 7 %.
par Gyom 19 octobre 2026 à 07:15 2 min de lecture rubrique : Vérifier et protéger
etiquettes : En entreprise · Sécurité
Un système multi-agents médical fait discuter plusieurs modèles sur un dossier avant de proposer une décision de prise en charge. Une injection de prompt, c'est-à-dire du texte qu'un tiers ajoute à l'entrée d'un modèle, y entre par le même canal que le dossier du patient. Fardin Ahsan Sakib, Ziwei Zhu et Ozlem Uzuner mesurent ce que cela produit sur deux systèmes, deux familles de modèles et trois bancs d'évaluation : un seul passage injecté fait basculer la décision dans jusqu'à 61 % des cas, et le fait de faire délibérer les agents ne protège pas systématiquement. Le papier est déposé sur arXiv le 15 octobre 2026.
Une injection qui ressemble à du texte clinique ordinaire
Les défenses existantes n'attrapent qu'une partie du problème : celles qui filtrent les entrées ratent les injections rédigées comme une note de service ou un résultat de laboratoire, parce qu'elles ne se distinguent pas du matériel clinique légitime. La délibération entre agents aide parfois, mais les auteurs ne constatent pas de protection régulière : selon la configuration, un agentIA agentiqueModèle qui boucle : il choisit une action, le plus souvent un appel d'outil, en lit le résultat, puis recommence jusqu'à l'objectif ou l'abandon. La boucle est ce qui distingue un agent d'une réponse unique.Fiche du lexique peut reprendre l'injection d'un autre et la faire circuler dans la discussion.
Un modèle qui a suivi l'injection la rejette quand on la confronte au dossier
Le point de départ de la défense est une observation : quand on demande à un modèle ayant suivi l'injection de confronter ce texte aux constats du patient, il la rejette le plus souvent. Le modèle sait donc mieux que ce que sa réponse laisse voir, ce qui donne aux auteurs une prise qui ne demande aucun réentraînement.
La défense sépare les constats du patient des jugements cliniques
La méthode reprend une séparation de la pratique clinique : d'un côté les constats, ce qui est observé chez le patient, de l'autre les jugements, à savoir les diagnostics, les recommandations et les consignes. Chaque jugement est vérifié contre les seuls constats, et la décision finale ne retient que les jugements que ces constats soutiennent.
- Un diagnostic posé sans constat qui le porte est écarté du calcul de la décision.
- Une recommandation qui s'appuie sur un élément venu de l'injection tombe avec lui.
- Une consigne ajoutée au texte du dossier est traitée comme un jugement, pas comme un fait.
De 4 à 7 % d'attaques réussies sur MedQA, sans perte sur les dossiers sains
La défense passe devant toutes les bases de comparaison testées, sur chaque banc. Sur MedQA, elle ramène le taux de réussite de l'attaque à 4 à 7 % tout en conservant la précision sur les cas sans injection. Elle tient aussi avec un modèle médical spécialisé, et face à des attaques qui connaissent la défense ou s'y adaptent. Aucun de ces chiffres ne demande d'entraînement : la vérification se fait à l'exécution, sur les jugements produits par le système.
Source primaire arXiv 2610.22594, The Model Knows Better, Fardin Ahsan Sakib, Ziwei Zhu et Ozlem Uzuner