Hugging Face a hébergé un logiciel malveillant se faisant passer pour une version d'OpenAI

Anthropic : un code malveillant a contourné les scanners de sécurité via un fichier de test

Un chercheur en sécurité de Gecko Security, Jeevan Jutla, a démontré une faille structurelle dans l'écosystème des Skills Anthropic : des fichiers malveillants peuvent passer tous les contrôles automatisés et s'exécuter quand même sur la machine d'un développeur. Le vecteur d'attaque repose sur les fichiers de test. Lorsqu'un développeur installe un Skill via la commande npx Skills add, l'installateur copie l'intégralité du répertoire du Skill dans le dépôt, y compris les fichiers .test.ts. Les frameworks de test JavaScript comme Jest, Vitest et Mocha découvrent ces fichiers automatiquement via des patterns de recherche récursifs, et les exécutent dès qu'un développeur lance npm test ou que l'IDE fait tourner les tests en arrière-plan à la sauvegarde. Le code malveillant se place dans un bloc beforeAll, avant toute assertion, sans rien d'anormal dans la sortie de la console. En environnement d'intégration continue, process.env expose les tokens de déploiement, les clés cloud et tous les secrets du pipeline. Cette vulnérabilité prend une dimension particulière dans le contexte des deux grands audits publiés peu avant la divulgation de Gecko. En janvier, une étude académique baptisée SkillScan a analysé 31 132 Skills uniques issus de deux marketplaces : 26,1% contenaient au moins une vulnérabilité, répartis en 14 patterns distincts. L'exfiltration de données apparaissait dans 13,3% des cas, l'escalade de privilèges dans 11,8%, et les Skills embarquant des scripts exécutables étaient 2,12 fois plus susceptibles de contenir des failles. Trois semaines plus tard, Snyk publiait ToxicSkills, un audit de ClawHub et skills.sh portant sur 3 984 Skills : 13,4% présentaient au moins un problème critique, 76 payloads malveillants ont été confirmés, et huit Skills malveillants étaient encore publiquement accessibles sur ClawHub au moment de la publication. Le 21 avril, Cisco intégrait son AI Agent Security Scanner directement dans VS Code, Cursor et Windsurf. Résultat : ces trois outils, Snyk Agent Scan, le scanner Cisco et VirusTotal Code Insight, ne vérifient aucun des fichiers de test embarqués dans un Skill. La raison tient à leur modèle de menace : ces scanners ont été conçus pour inspecter la surface d'exécution de l'agent (instructions Markdown, commandes shell, injections de prompt), pas la chaîne d'outils du développeur. Or c'est précisément hors de cette surface que réside l'attaque. Les Skills installés se retrouvent dans un répertoire prévu pour être committé et partagé avec toute l'équipe, ce qui signifie que le fichier malveillant se propage à chaque développeur qui clone le dépôt. L'agent Anthropic n'est jamais invoqué, aucune alerte ne se déclenche, et le scanner a pourtant analysé les bons fichiers, juste avec le mauvais modèle de menace. La solution passe par l'extension des scanners existants aux fichiers de test, ou par l'adoption de politiques d'isolation stricte pour les Skills tiers avant toute exécution de suite de tests.

💬 Le beau du truc, c'est que les scanners ont analysé exactement les bons fichiers, juste avec le mauvais modèle de menace. Le code malveillant ne passe pas par l'agent, il se planque dans un `beforeAll` de fichier de test, tourne quand ton IDE sauvegarde en arrière-plan, et tous tes tokens CI partent ailleurs sans que rien ne clignote. Si tu intègres des Skills tiers dans ton pipeline, le `npm test` n'est plus innocent.

OpenAI élargit l'accès à GPT-5.4-Cyber, un modèle affiné pour les professionnels de la cybersécurité

OpenAI a annoncé l'extension de son programme Trusted Access for Cyber (TAC) à des milliers de professionnels de la sécurité vérifiés individuellement, ainsi qu'à des centaines d'équipes chargées de défendre des infrastructures logicielles critiques. Au cœur de cette expansion figure GPT-5.4-Cyber, un modèle dérivé de GPT-5.4 spécifiquement ajusté pour les usages défensifs en cybersécurité. Contrairement au modèle standard, GPT-5.4-Cyber adopte ce qu'OpenAI qualifie d'approche "cyber-permissive" : son seuil de refus est délibérément abaissé pour les requêtes à vocation défensive légitime. Parmi les capacités débloquées figure notamment l'ingénierie inverse de binaires sans accès au code source, une fonctionnalité majeure pour analyser des firmwares, des bibliothèques tierces ou des échantillons de malwares compilés. Les utilisateurs accèdent au programme via chatgpt.com/cyber pour une vérification individuelle, ou par l'intermédiaire d'un représentant OpenAI pour les équipes entreprise. Ce changement s'attaque à un problème concret que connaissent bien les chercheurs et ingénieurs en sécurité : les modèles généralistes refusent fréquemment d'analyser du code malveillant ou d'expliquer des techniques d'exploitation, même dans un cadre manifestement défensif. Cette friction ralentit le travail des équipes de sécurité offensives et défensives légitimes, au profit, indirectement, des attaquants qui eux n'attendent pas de validation. En réduisant ces blocages pour des utilisateurs vérifiés, OpenAI cherche à rééquilibrer l'avantage technologique en faveur des défenseurs. Le modèle conserve toutefois des garde-fous stricts : l'exfiltration de données, la création ou le déploiement de malwares, et les tests non autorisés restent explicitement interdits. L'accès en mode zéro-rétention de données est également limité, OpenAI arguant d'une visibilité réduite sur l'environnement et les intentions de l'utilisateur dans cette configuration. La cybersécurité a toujours souffert de ce qu'on appelle le problème du double usage : les mêmes connaissances techniques servent aussi bien à défendre des systèmes qu'à les attaquer. Pour les systèmes d'IA, cette tension est particulièrement aiguë, car il est difficile de distinguer automatiquement une intention défensive d'une intention malveillante. OpenAI propose ici une réponse structurelle inédite : un cadre d'accès à plusieurs niveaux fondé sur la vérification d'identité, plutôt que des restrictions uniformes appliquées à tous. Cette approche s'inscrit dans une tendance plus large du secteur à différencier les accès selon le profil et les intentions déclarés de l'utilisateur. Si le modèle se généralise, d'autres fournisseurs de modèles comme Anthropic ou Google DeepMind pourraient être amenés à développer des dispositifs similaires pour ne pas laisser OpenAI s'imposer comme la référence des outils d'IA pour la sécurité professionnelle.

Microsoft publie un toolkit open source pour sécuriser les agents IA en production

Microsoft a publié un toolkit open-source destiné à sécuriser les agents d'intelligence artificielle en temps réel au sein des environnements d'entreprise. Baptisé runtime security toolkit, cet outil s'intercale entre le modèle de langage et le réseau d'entreprise pour surveiller, évaluer et bloquer les actions des agents autonomes au moment précis où ils tentent de les exécuter. Concrètement, lorsqu'un agent IA déclenche un appel vers un outil externe, une base de données, un pipeline CI/CD ou un dépôt cloud, le toolkit intercepte la requête, la compare à un ensemble de règles de gouvernance centralisées, et bloque l'action si elle enfreint la politique définie. Un agent autorisé uniquement à consulter un inventaire qui tenterait de passer une commande d'achat se verrait immédiatement arrêté, et l'événement serait journalisé pour révision humaine. L'enjeu est considérable pour les équipes de sécurité et les développeurs. Les systèmes d'IA d'entreprise ne se contentent plus de répondre à des questions : ils exécutent du code, envoient des e-mails, modifient des fichiers et interagissent avec des API critiques sans intervention humaine directe. Les méthodes traditionnelles, analyse statique du code, scan de vulnérabilités avant déploiement, sont structurellement inadaptées aux modèles de langage non-déterministes. Une seule attaque par injection de prompt ou une hallucination mal orientée peut suffire à écraser une base de données ou exfiltrer des données clients. Le toolkit de Microsoft découple la politique de sécurité de la logique applicative : les développeurs n'ont plus à hardcoder des règles de sécurité dans chaque prompt, et les équipes sécurité disposent d'une piste d'audit vérifiable pour chaque décision autonome du modèle. Le choix de publier ce toolkit sous licence open-source n'est pas anodin. Les développeurs construisent aujourd'hui des workflows autonomes en combinant des bibliothèques open-source, des frameworks variés et des modèles tiers, Anthropic, Meta, Mistral ou d'autres. Un outil propriétaire lié à l'écosystème Microsoft aurait probablement été contourné au profit de solutions non vérifiées, sous pression des délais. En ouvrant le code, Microsoft permet à n'importe quelle organisation, qu'elle tourne sur des modèles locaux, sur Azure ou sur des architectures hybrides, d'intégrer ces contrôles de gouvernance sans dépendance fournisseur. L'ouverture invite aussi la communauté cybersécurité à contribuer et à empiler des outils commerciaux, tableaux de bord, intégrations de réponse aux incidents, par-dessus cette fondation commune, accélérant la maturité de tout l'écosystème. À mesure que les agents autonomes s'imposent dans les entreprises, ce type de couche de sécurité d'infrastructure pourrait devenir un standard incontournable.

Microsoft sort Agent 365 de sa phase de test alors que l'IA non officielle devient une menace pour les entreprises

Microsoft a fait passer Agent 365 du statut de préversion à la disponibilité générale la semaine dernière, franchissant une étape importante pour ce produit annoncé lors de la conférence Ignite en novembre 2025. La plateforme, facturée 15 dollars par utilisateur, se positionne comme un panneau de contrôle centralisé permettant aux équipes IT et sécurité de surveiller, gouverner et sécuriser les agents d'intelligence artificielle, peu importe où ils s'exécutent : dans l'écosystème Microsoft, sur des clouds tiers comme AWS Bedrock ou Google Cloud, sur les appareils des employés, ou au sein de l'écosystème grandissant d'agents SaaS proposés par des partenaires comme Zendesk ou SAP. La plateforme offre un registre unique de tous les agents actifs dans l'environnement d'une organisation, couplé à un moteur de politiques de sécurité. Ce lancement intervient dans un contexte de montée en puissance de ce que Microsoft appelle le "shadow AI" : des assistants de code, outils de productivité personnelle et workflows autonomes que les salariés installent sur leurs propres appareils, souvent sans en informer leur service informatique. David Weston, vice-président en charge de la sécurité IA chez Microsoft, identifie trois catégories d'incidents déjà observées chez les clients enterprise. La première, et la plus répandue, concerne des développeurs qui connectent des agents à des systèmes backend sensibles via des serveurs MCP laissés accessibles sur internet sans authentification, exposant des données personnelles. La deuxième est la "cross-prompt injection" : des attaquants glissent des instructions malveillantes dans des sources de données consultées par les agents, comme des tickets de support, des wikis ou des pages web, pour en détourner les actions. La troisième menace, plus diffuse mais tout aussi coûteuse, concerne des systèmes de prévention des fuites de données non conçus pour les accès agentiques, qui laissent fuiter des informations confidentielles vers des prestataires externes. Le passage à la disponibilité générale d'Agent 365 reflète une réalité inconfortable pour les entreprises : les agents IA ont déjà devancé les infrastructures de gouvernance censées les encadrer. Les organisations qui ont passé des années à bâtir des contrôles pour les applications cloud et les outils SaaS font face à un type de sprawl radicalement différent, où des logiciels autonomes peuvent invoquer des outils, accéder à des données sensibles, se chaîner entre eux et agir de manière indépendante. Microsoft se positionne ainsi comme l'arbitre central de cette nouvelle ère agentique, cherchant à trouver, selon les termes de Weston, l'équilibre entre le "YOLO" où tout est permis, et le "oh no" où rien ne fonctionne. L'enjeu pour l'éditeur est considérable : s'imposer comme la couche de gouvernance de référence à l'heure où chaque éditeur logiciel intègre ses propres agents autonomes.