Copilot a fouillé vos emails, LiteLLM a exposé des clés admin : faites cet audit en 5 points
En l'espace de deux semaines, quatre équipes de recherche ont révélé des failles critiques dans des outils d'IA d'entreprise, mettant à nu un même défaut structurel. Le 15 juin 2026, Varonis a divulgué SearchLeak (CVE-2026-42824), une chaîne d'exfiltration silencieuse dans Microsoft 365 Copilot Enterprise Search : un utilisateur clique sur une URL piégée hébergée sur microsoft.com, Copilot effectue une recherche dans sa propre boîte mail, et les données quittent le périmètre via un SSRF Bing, sans plugin, sans second clic, sans aucun indicateur visible. Quatre jours plus tôt, Obsidian Security avait publié une chaîne de trois CVE contre LiteLLM, une passerelle proxy qui centralise les accès à OpenAI, Anthropic, Azure et Bedrock. CVE-2026-47101 permet à un compte non-administrateur de générer une clé API universelle ; CVE-2026-47102 élève ce compte au rang d'administrateur via un endpoint non protégé ; CVE-2026-40217 permet une évasion du sandbox par exécution de code arbitraire. La chaîne combinée est scorée à CVSS 9.9. S'y ajoute CVE-2026-42271, une injection de commande dans les endpoints MCP de LiteLLM, inscrite sur la liste CISA KEV le 8 juin avec échéance de remédiation au 22 juin. Langflow a simultanément vu CVE-2026-5027 exploitée activement dès le 9 juin : une traversée de chemin dans l'upload de fichiers combinée à une auto-connexion activée par défaut ouvre une exécution de code à distance sans authentification sur environ 7 000 instances exposées, avec attribution à MuddyWater.
Résumé et traduction réalisés par Le Fil IA à partir de VentureBeat AI. Lire l'article original →
Ces vulnérabilités révèlent un problème de fond identique : les outils IA d'entreprise acceptent des entrées externes sans frontière de confiance. Dans le cas de Copilot Enterprise Search, l'étendue est particulièrement préoccupante puisque l'outil hérite des droits organisationnels complets de l'utilisateur, exposant potentiellement l'ensemble de ce qu'il peut atteindre. Pour LiteLLM, compromettre la passerelle revient à obtenir simultanément toutes les clés de fournisseurs d'une organisation. Avec plus de 40 000 étoiles sur GitHub et des milliers de déploiements en entreprise, l'exposition est massive. L'exploitation active de Langflow par un acteur étatique iranien sur des milliers d'instances illustre la rapidité avec laquelle ces failles sont weaponisées après divulgation.
Ces incidents s'inscrivent dans une tendance plus large. SearchLeak est la troisième chaîne d'exfiltration Copilot publiée par Varonis en douze mois, après Reprompt en janvier 2026 et EchoLeak en 2025, chaque fois avec un périmètre élargi. LiteLLM avait déjà été compromis en mars 2026 via une attaque supply chain qui avait backdooré les versions 1.82.7 et 1.82.8 sur PyPI. La campagne Mini Shai-Hulud a confirmé la viralité du vecteur : après la publication du code source d'un ver le 12 mai, des variantes ont compromis 32 packages npm de Red Hat Cloud Services le 1er juin, des packages téléchargés 80 000 fois par semaine. Le schéma est systémique : à mesure que l'IA s'intègre dans les infrastructures critiques, chaque couche de la chaîne, modèle, proxy, orchestrateur, dépendances, devient un vecteur d'attaque potentiel que les périmètres de confiance traditionnels ne couvrent pas.
Des milliers d'organisations européennes sont directement exposées à des exfiltrations silencieuses de données et compromissions de clés API via leurs outils IA d'entreprise, avec exploitation active confirmée par un acteur étatique iranien ciblant des instances non patchées.