7 000 serveurs Langflow sous attaque : LangGraph et LangChain présentent les mêmes failles

200 000 serveurs MCP exposent une faille d'exécution de commandes qu'Anthropic considère comme une fonctionnalité

Quatre chercheurs de la société OX Security ont révélé en avril 2026 une faille architecturale affectant environ 200 000 serveurs MCP (Model Context Protocol), le standard ouvert créé par Anthropic pour connecter les agents d'IA aux outils logiciels. Le transport STDIO, utilisé par défaut dans les SDK officiels Python, TypeScript, Java et Rust, exécute n'importe quelle commande système reçue sans aucune sanitisation ni frontière entre configuration et exécution. Les chercheurs Moshe Siman Tov Bustan, Mustafa Naamnih, Nir Zadok et Roni Bar ont scanné l'écosystème, identifié 7 000 serveurs publiquement accessibles avec STDIO actif, et extrapolé à 200 000 instances vulnérables au total. Ils ont confirmé l'exécution arbitraire de commandes sur six plateformes en production réelle. La divulgation a produit plus de 10 CVE notées "high" ou "critical" touchant LiteLLM, LangFlow, Flowise, Windsurf, LangChain-Chatchat, DocsGPT, GPT Researcher, Agent Zero et LettaAI, entre autres. Windsurf (CVE-2026-30615) s'est avéré exploitable en zéro clic via injection de prompt dans des fichiers de configuration locaux. Neuf des onze registries MCP testés ont accepté un paquet malveillant de démonstration sans aucune vérification de sécurité. L'impact est d'autant plus sérieux que la faille n'est pas un bug isolé dans un produit particulier, mais un défaut de conception propagé par le protocole lui-même à toute la chaîne de dépendance. Tout projet ayant fait confiance au SDK officiel a hérité du problème. Carter Rees, VP IA chez Reputation et membre de l'Utah AI Commission, juge que le cadre conceptuel doit changer radicalement : STDIO doit être traité comme un accès shell en production, avec blocage par défaut, liste d'autorisation stricte et sandbox, et non comme un connecteur banal. Kevin Curran, professeur de cybersécurité à l'Ulster University et membre senior de l'IEEE, parle d'un "écart choquant dans la sécurité de l'infrastructure IA fondamentale". Pour les équipes sécurité, la question pratique est immédiate : tout déploiement d'agent IA via STDIO est exposé, quelle que soit la qualité du code applicatif en aval. Anthropic a confirmé que ce comportement est intentionnel et a refusé de modifier le protocole, qualifiant le modèle d'exécution de STDIO de valeur par défaut sécurisée et renvoyant la responsabilité de la sanitisation aux développeurs. OX conteste cette position en soulignant qu'exiger de 200 000 développeurs une sanitisation correcte des entrées est précisément le problème structurel. La tension est techniquement légitime des deux côtés : sanitiser STDIO risque soit de casser le transport, soit de déplacer le vecteur d'attaque d'un niveau. Le protocole MCP a pourtant connu une adoption massive depuis sa création par Anthropic, son adoption par OpenAI en mars 2025 et par Google DeepMind, sa cession à la Linux Foundation en décembre 2025, et 150 millions de téléchargements. La question de la gouvernance de sécurité des standards ouverts d'IA devient ainsi aussi urgente que leur interopérabilité.

Comment sécuriser les agents IA, serveurs MCP et applications LLM en production

Cette publication est cortée mais je peux tout de même produire l'article demandé à partir du contenu disponible. L'éditeur de sécurité applicative Mend.io a publié un nouveau guide pratique intitulé « Securing AI agents, MCP servers & LLM apps: A practical framework », destiné aux équipes de sécurité confrontées à la multiplication des agents IA, des intégrations MCP (Model Context Protocol) et des applications basées sur des LLM dans les environnements de production. Le document s'articule autour de trois axes : identifier ce qui compte, corriger plus vite ce qui compte, et protéger l'IA en production. Il propose sept outils réutilisables, dont une cartographie de la surface d'attaque en cinq couches (interaction, agent, intégration, modèle, code), un registre enrichi baptisé AI-BOM comportant neuf champs par agent ou serveur MCP, et une checklist de douze points de mauvaise configuration à corriger, comme les identifiants partagés entre agents, les prompts système modifiables en production ou les modèles obsolètes non surveillés. L'enjeu est de taille pour l'industrie : selon Mend.io, la sécurité applicative traditionnelle repose sur l'hypothèse que le comportement d'un logiciel découle directement de son code, une hypothèse que l'IA agentique invalide. Le comportement d'un agent émerge de la combinaison d'un modèle, d'un prompt système, du contexte récupéré, des entrées utilisateur et des outils qu'il peut appeler, si bien que deux déploiements identiques peuvent se comporter différemment. De nouveaux risques apparaissent, invisibles dans les flux CVE classiques : l'injection de prompt via des données plutôt que du code, un agent disposant de trop de permissions qui agit sans qu'aucune vulnérabilité ne soit exploitée, un modèle déprécié qui continue de produire des prédictions sans plus être corrigé, ou encore une description d'outil empoisonnée sur un serveur MCP capable de détourner le comportement d'un agent sans toucher à l'application elle-même. Le guide s'inscrit dans un contexte où les agents IA et serveurs MCP s'introduisent souvent dans les systèmes d'information sans passer par les circuits d'achat habituels, ce qui complique leur détection. Mend.io recommande de traquer trois catégories à risque : les agents fantômes, les serveurs MCP non enregistrés et les frameworks IA embarqués, via cinq méthodes combinées, dont l'analyse des dépôts de code, la surveillance du trafic réseau sortant vers des API de modèles et l'audit des comptes de service. Sur le volet correction, le guide propose un pipeline enrichir-prioriser-trier fondé sur des signaux comme l'accessibilité réelle du risque ou le contexte métier, avec une règle stricte : toute clôture automatisée doit être appuyée par des preuves, sinon la décision revient à un humain. La protection en production, enfin, repose sur des garde-fous, un durcissement des prompts, l'application de politiques et une surveillance continue, en boucle avec des exercices de red teaming dédiés à l'IA.

Quatre attaques sur la chaîne d'approvisionnement IA en 50 jours révèlent des failles dans les pipelines de déploiement

En cinquante jours, quatre incidents de sécurité ont frappé les chaînes d'approvisionnement logicielle d'OpenAI, Anthropic et Meta, exposant un angle mort systémique dans l'écosystème IA. Le 11 mai 2026, un ver informatique baptisé Mini Shai-Hulud a publié 84 versions malveillantes de 42 packages npm de la bibliothèque TanStack en six minutes, en exploitant une mauvaise configuration de GitHub Actions, un empoisonnement du cache CI et l'extraction d'un token OIDC depuis la mémoire du runner. Ces packages portaient une provenance SLSA Build Level 3 valide car ils avaient été publiés depuis le dépôt officiel, via le bon workflow. Deux jours plus tard, OpenAI confirmait la compromission de deux appareils d'employés et l'exfiltration de secrets depuis ses dépôts internes, forçant la révocation de ses certificats macOS et une mise à jour obligatoire de tous les utilisateurs desktop avant le 12 juin 2026. En remontant à fin mars, on trouve deux autres incidents : un chercheur de BeyondTrust Phantom Labs, Tyler Jespersen, avait découvert que OpenAI Codex passait les noms de branches Git directement dans des commandes shell sans aucune validation, permettant l'injection de sous-commandes et le vol du token OAuth GitHub en clair. Simultanément, le groupe TeamPCP avait utilisé des identifiants volés au scanner de vulnérabilités Trivy d'Aqua Security pour publier deux versions empoisonnées du proxy LiteLLM sur PyPI, téléchargées près de 47 000 fois en quarante minutes avant quarantaine. Ce qui rend ces incidents particulièrement préoccupants, c'est leur portée transversale. L'attaque LiteLLM a atteint Mercor, une startup valorisée 10 milliards de dollars qui fournit des données d'entraînement à Meta, OpenAI et Anthropic : quatre téraoctets ont été exfiltrés, incluant des références à des méthodologies propriétaires de Meta. Le partenariat a été gelé immédiatement, une action collective a suivi dans les cinq jours. Aucune de ces attaques ne visait les modèles eux-mêmes, mais leurs dommages sont réels et mesurables. Le 31 mars, Anthropic avait de son côté exposé involontairement 513 000 lignes de TypeScript non obfusqué en livrant Claude Code version 2.1.88 avec un fichier source map de 59,8 Mo qui n'aurait jamais dû être inclus, révélant 44 feature flags internes, des prompts système et l'architecture d'orchestration multi-agents. Ces quatre incidents convergent vers un seul constat structurel : les pipelines de release, les hooks de dépendances, les runners CI et les gates de packaging ne sont couverts par aucun exercice de red team actuel dans l'industrie IA. Les évaluations AISI, les system cards et les audits de sécurité des modèles ignorent entièrement cette surface d'attaque. Quand un token OIDC légitimement émis suffit à publier 84 artefacts malveillants avec une provenance cryptographique valide, ou qu'une seule dépendance open source passe quarante minutes sur PyPI avec un effet blast radius cross-industriel, la robustesse du modèle sous-jacent devient hors-sujet. La pression monte pour que les fournisseurs IA intègrent des audits de sécurité de chaîne d'approvisionnement dans leurs questionnaires de conformité, au même titre que les évaluations de danger des modèles.

💬 Quatre attaques en cinquante jours, aucune ne visait les modèles. Pendant qu'on red-teamait les LLMs à coups d'évaluations AISI et de system cards, personne ne regardait les runners CI, les hooks de dépendances, les gates de packaging, et un token OIDC légitime a suffi à publier 84 artefacts malveillants avec une provenance cryptographique valide. La robustesse du modèle, c'est hors-sujet si la chaîne de livraison est trouée.

Convaincue par Claude Mythos ? L’administration Trump s’en sert pour traquer les failles

L'administration Trump utilise désormais Claude Mythos, le modèle d'intelligence artificielle développé par Anthropic, pour renforcer la sécurité de ses logiciels gouvernementaux. Selon des informations rapportées par Reuters, la Cybersecurity and Infrastructure Security Agency (CISA) s'appuie sur cet outil pour passer au crible les dépôts de code utilisés par différentes administrations fédérales américaines. Une équipe spécialisée dans l'évaluation des surfaces d'attaque analyse ainsi automatiquement les logiciels afin de détecter d'éventuelles vulnérabilités. Les premiers résultats seraient déjà encourageants, Claude Mythos ayant permis d'identifier un grand nombre de failles nécessitant désormais des correctifs. La NSA avait pour sa part testé le modèle en amont pour analyser ses propres infrastructures informatiques, tandis que la CISA aurait obtenu un accès avant même la mise en place définitive des nouvelles règles d'utilisation encadrant ces technologies. Cette utilisation illustre l'intérêt croissant des administrations pour l'automatisation de tâches techniques complexes, en particulier dans le domaine de la cybersécurité. L'audit de code représente traditionnellement des centaines d'heures de travail manuel pour des experts humains ; une IA spécialisée permet d'accélérer considérablement cette phase de détection, sans pour autant remplacer l'analyse humaine, qui garde le dernier mot sur la validation des failles identifiées. L'enjeu est de taille : repérer les vulnérabilités avant qu'elles ne soient exploitées par des cybercriminels ou des services de renseignement étrangers. Pour les agences fédérales, confrontées à une pression constante sur leurs systèmes numériques, ce type d'outil représente un gain de rapidité et d'efficacité potentiellement décisif dans la protection des infrastructures critiques du pays. Cette adoption intervient toutefois dans un contexte marqué par des tensions récentes entre Anthropic et Washington. En juin dernier, l'administration avait temporairement restreint l'utilisation de plusieurs modèles Claude, dont Mythos, après la découverte d'une méthode permettant de contourner certaines de leurs protections internes. Anthropic avait alors suspendu l'accès mondial à plusieurs versions de son IA, le temps de renforcer ses mécanismes de sécurité, avant que les restrictions américaines ne soient finalement levées quelques semaines plus tard. Certaines agences fédérales avaient malgré tout continué à utiliser Claude Mythos dans des environnements contrôlés durant cette période. Ce contraste illustre bien la stratégie actuelle des autorités américaines, qui cherchent à encadrer des modèles d'IA jugés puissants tout en n'hésitant pas à les déployer lorsqu'ils offrent un avantage stratégique concret pour la sécurité nationale.

💬 Le grand écart est frappant : en juin on coupe l'accès à Mythos par précaution, et deux mois après la CISA l'utilise pour passer au crible le code des agences fédérales américaines. Ça confirme une règle simple à Washington, dès qu'une IA prouve son utilité pour la sécurité nationale, les réserves de principe passent vite au second plan. Sur le fond, l'audit de code automatisé fait gagner des centaines d'heures aux équipes cyber, mais le vrai test viendra quand Mythos devra tenir la distance sur des systèmes critiques sans noyer les humains sous les faux positifs.