Copilot a fouillé vos emails, LiteLLM a exposé des clés admin : faites cet audit en 5 points

Microsoft Copilot : de nouvelles failles de sécurité exposent des secrets clients grâce à l'IA

Microsoft fait face à de nouvelles failles de sécurité touchant Copilot, l'assistant IA intégré à Office 365. Ces vulnérabilités surviennent quelques semaines seulement après le piratage retentissant de Hugging Face, qui a remis la cybersécurité au centre des préoccupations des entreprises utilisant des outils d'intelligence artificielle. Le PDG de Microsoft, Satya Nadella, avait pourtant présenté Copilot comme une alternative plus sûre que ses concurrents directs, ChatGPT d'OpenAI et Claude d'Anthropic. Les failles identifiées permettraient une fuite de données confidentielles appartenant aux clients qui utilisent l'outil dans leur environnement professionnel. Cette situation illustre un paradoxe préoccupant pour l'industrie de la cybersécurité : plusieurs entreprises qui commercialisent des solutions d'IA destinées à détecter et corriger des vulnérabilités se révèlent elles-mêmes exposées à des failles similaires. Pour les entreprises clientes de Microsoft 365, qui ont massivement adopté Copilot pour automatiser la rédaction de documents, l'analyse de données ou la gestion des courriels, le risque est direct : des informations sensibles pourraient être exposées sans que les utilisateurs en aient conscience, fragilisant la confiance placée dans ces outils intégrés aux suites bureautiques. Le contexte plus large est celui d'une course effrénée à l'intégration de l'IA générative dans les outils professionnels, où la sécurité peine parfois à suivre le rythme de l'innovation. Après l'incident chez Hugging Body, plateforme de référence pour l'hébergement de modèles d'IA, les regards se tournent désormais vers les géants technologiques qui promettent fiabilité et sécurité à leurs clients entreprises. Microsoft devra démontrer sa capacité à corriger rapidement ces failles pour préserver la crédibilité de son discours sur la sécurité de Copilot face à ses concurrents.

💬 Bon, on savait que ça finirait par arriver. Nadella a vendu Copilot comme le choix "sûr" face à ChatGPT et Claude, et voilà que les fuites de données clients tombent quelques semaines après le fiasco Hugging Face. Le vrai signal ici, c'est que même les boîtes qui vendent de la sécu par IA se font trouer par l'IA qu'elles déploient en interne, c'est ça le paradoxe qui devrait inquiéter les DSI. Pour les boîtes françaises sous Microsoft 365, faut arrêter de traiter Copilot comme un outil bureautique lambda et commencer à l'auditer comme un système qui touche aux données sensibles.

L'injection de prompts exploite les failles de conception des IA d'entreprise : agents, pipelines RAG et routeurs de modèles ciblés

L'injection de prompts s'est imposée comme la menace la plus critique pesant sur les systèmes d'intelligence artificielle en entreprise, selon plusieurs rapports convergents publiés entre 2025 et 2026. L'OWASP LLM Top 10 (édition 2025) la classe en première position pour la deuxième édition consécutive, reconnaissant l'incapacité persistante des grands modèles de langage à distinguer fiablement les instructions des données qu'ils traitent. Le rapport CrowdStrike Global Threat Report 2026, s'appuyant sur le suivi de plus de 280 groupes d'adversaires, documente des injections de prompts malveillants dans des outils d'IA générative légitimes au sein de plus de 90 organisations en 2025, utilisées pour voler des identifiants et des cryptomonnaies. Les attaquants pilotés par l'IA ont augmenté leur volume d'attaques de 89 % en un an, résumant la situation en une formule : "Les prompts sont le nouveau malware." Deux incidents concrets illustrent l'ampleur réelle du problème. En août 2024, des chercheurs de PromptArmor ont révélé une faille dans Slack AI permettant d'exfiltrer des données de canaux privés, y compris des clés API, simplement en plaçant une instruction malveillante dans un canal public. En juin 2025, Aim Security a divulgué EchoLeak (CVE-2025-32711, score CVSS 9.3), premier exploit zero-click documenté contre un système IA en production : en envoyant un seul email piégé, sans aucune interaction de l'utilisateur, un attaquant pouvait forcer Microsoft 365 Copilot à transmettre des fichiers internes vers un serveur externe. Les deux vulnérabilités ont depuis été corrigées. L'impact de ces attaques dépasse largement le cas isolé : elles exposent une faille structurelle dans la manière dont les entreprises déploient l'IA à grande échelle. Lorsqu'un modèle traite des instructions, résume des informations et déclenche des workflows automatisés, il devient difficile de distinguer une commande légitime d'une donnée corrompue. Les agents IA modernes peuvent envoyer des emails, modifier des infrastructures cloud, exécuter du code et interagir avec des systèmes internes, ce qui signifie qu'une seule instruction malveillante peut déclencher des actions aux conséquences réelles et durables. Le problème touche directement les équipes de sécurité, les DSI et les développeurs qui déploient ces systèmes sans protocoles de validation robustes. Les techniques d'injection ont considérablement évolué, ciblant désormais des architectures bien plus complexes que le simple chatbot. L'injection inter-modèles exploite le fait que la sortie corrompue d'un modèle sera traitée par d'autres modèles en aval, propageant ainsi la manipulation à travers toute la chaîne. L'empoisonnement de pipelines RAG consiste à publier des contenus malveillants (documentations, articles, READMEs GitHub) en espérant qu'ils soient ingérés par les systèmes de récupération d'information des entreprises. Le détournement d'agents et les attaques par débordement de contexte, utilisant des fenêtres de millions de tokens pour noyer les garde-fous dans un flot de données, complètent un arsenal en constante expansion. Face à cette réalité, la question n'est plus de savoir si une organisation sera ciblée, mais à quel moment ses pipelines IA seront compromis, et si elle aura mis en place les contrôles nécessaires pour le détecter.

Faille critique dans Copilot : des pirates pouvaient voler les codes 2FA des utilisateurs

Microsoft a corrigé mardi dernier une faille de sécurité classée critique au niveau maximal dans sa plateforme d'IA M365 Copilot. Le lundi suivant, les chercheurs ayant découvert et signalé la vulnérabilité ont dévoilé le détail de leur exploit : leur preuve de concept permettait de récupérer des codes d'authentification à deux facteurs (2FA) ainsi que d'autres données sensibles contenues dans les e-mails accessibles à Copilot. Concrètement, un attaquant pouvait injecter des instructions malveillantes dans un contenu externe, par exemple un e-mail ou un document, que Copilot était amené à traiter, et l'IA exécutait ces instructions à l'insu de l'utilisateur. Le problème révélé ici dépasse le simple bug logiciel : il touche à une limite fondamentale des grands modèles de langage. Ces systèmes sont structurellement incapables de distinguer les instructions légitimes d'un utilisateur des instructions malveillantes glissées dans un contenu tiers qu'ils analysent ou résument. Cette catégorie d'attaque, connue sous le nom de prompt injection indirect, expose potentiellement des millions d'utilisateurs professionnels qui confient à Copilot l'accès à leurs boîtes mail, leurs documents et leurs données d'entreprise. Un acteur malveillant peut ainsi exfiltrer discrètement des informations confidentielles sans que l'utilisateur ne remarque quoi que ce soit. Pour contourner les garde-fous mis en place par Microsoft, les chercheurs ont utilisé des langages de balisage permettant d'ajouter des liens et du formatage sans recourir à HTML brut, ou ont encapsulé des données sensibles dans des balises HTML comme ` ou `. Dans les deux cas, une requête web contenant les données volées est envoyée automatiquement vers un serveur contrôlé par l'attaquant, qui les récupère dans ses journaux de connexion. Microsoft comme ses concurrents se retrouvent ainsi à construire des protections complexes et improvisées pour contenir les effets d'une faille architecturale qu'ils ne peuvent pas corriger à la racine.

💬 La prompt injection, c'est pas nouveau, mais là ça touche des boîtes mail pro avec les codes 2FA et c'est une autre échelle. Microsoft a patché ce cas précis, mais le vrai problème, qu'un LLM ne peut pas distinguer tes instructions d'une instruction planquée dans un doc piégé, ça personne ne peut le corriger vraiment. Reste à voir combien de variantes traînent encore.

Les failles de Claude Mythos révèlent une réalité dure : vos correctifs d'entreprise sont beaucoup trop lents

Le 7 avril 2026, Anthropic a annoncé que Claude Mythos Preview était capable de découvrir de manière autonome des milliers de vulnérabilités zero-day dans les principaux systèmes d'exploitation et navigateurs, sans qu'on lui fournisse la moindre description technique préalable. Ce résultat referme une marge de sécurité que l'industrie croyait acquise : en 2024, des chercheurs de l'Université de l'Illinois avaient montré que GPT-4, armé d'une description CVE, pouvait exploiter 87 % des vulnérabilités d'un jeu de test de 15 failles connues, mais seulement 7 % sans cette description. Claude Mythos efface cette distinction. Le modèle a obtenu 83,1 % sur le benchmark CyberGym de reproduction de vulnérabilités, et une campagne d'attaque ciblant OpenBSD sur 1 000 exécutions n'a coûté que moins de 20 000 dollars. Les délais d'exploitation s'effondrent en parallèle : la faille Langflow CVE-2026-33017 (score CVSS 9,8) a été exploitée 20 heures après sa divulgation publique, sans proof-of-concept disponible. La vulnérabilité Marimo CVE-2026-39987 (CVSS 9,3) a été attaquée en 9 heures et 41 minutes. Ce changement de rythme détruit l'hypothèse fondamentale sur laquelle repose la gestion des correctifs dans la plupart des entreprises : l'idée qu'il reste suffisamment de temps entre la publication d'une faille et son exploitation pour déployer un patch en sécurité. Le rapport Threat Landscape 2026 de Rapid7 indique que le délai médian entre la publication d'un CVE et son inscription au catalogue KEV de la CISA est de cinq jours. Le rapport M-Trends 2026 de Google confirme que des exploitations surviennent désormais avant même qu'un correctif soit publié. Face à cette réalité, les équipes de sécurité ne peuvent plus s'appuyer sur le seul score CVSS pour prioriser leurs actions : ce score mesure la gravité théorique d'une faille, pas sa probabilité d'exploitation réelle. Une étude validée sur 28 377 vulnérabilités réelles propose un filtre en trois couches combinant le statut KEV de la CISA, le score EPSS (Exploit Prediction Scoring System) et le CVSS, avec un seuil EPSS fixé à 0,088 comme déclencheur d'escalade urgente. Résultat : un gain d'efficacité de 18 fois, une couverture de 85,6 % des vulnérabilités effectivement exploitées, et une réduction de 95 % du volume de remédiation urgente. Au-delà de la vitesse d'exploitation, l'essor des agents IA autonomes ouvre un second front. La faille CVE-2026-34040 de Docker illustre le problème : l'architecture de plugins d'autorisation de Docker contourne silencieusement tous les plugins lorsque le corps d'une requête dépasse 1 Mo, un comportement ignoré par des solutions courantes comme OPA, Casbin ou Prisma Cloud. Des chercheurs de Cyera ont démontré qu'un agent IA chargé de déboguer une infrastructure pouvait inférer ce chemin de contournement de manière autonome. Les politiques d'autorisation en place n'ont pas été conçues pour anticiper ce type de comportement agentique, et cet angle mort devient un risque mesurable à mesure que les systèmes IA accèdent à des ressources privilégiées. L'ensemble des sources de données nécessaires au filtre de priorisation (API CISA KEV, API EPSS de FIRST.org, NVD) sont ouvertes et gratuites, et leur intégration est entièrement automatisable.

💬 Ce qui me frappe, c'est pas le rythme d'exploitation (neuf heures quarante et une sur Marimo CVE-2026-39987, sans proof-of-concept disponible), c'est que Claude Mythos trouve des zero-days sans description préalable, là où GPT-4 plafonnait à 7% dans les mêmes conditions en 2024. La fenêtre que s'accordaient les équipes sécurité entre publication et attaque vient de disparaître. Si ta politique de patch repose encore sur l'idée qu'on a quelques jours, c'est le postulat lui-même à retravailler, pas juste le processus.