7 000 serveurs Langflow sous attaque : LangGraph et LangChain présentent les mêmes failles

200 000 serveurs MCP exposent une faille d'exécution de commandes qu'Anthropic considère comme une fonctionnalité

Quatre chercheurs de la société OX Security ont révélé en avril 2026 une faille architecturale affectant environ 200 000 serveurs MCP (Model Context Protocol), le standard ouvert créé par Anthropic pour connecter les agents d'IA aux outils logiciels. Le transport STDIO, utilisé par défaut dans les SDK officiels Python, TypeScript, Java et Rust, exécute n'importe quelle commande système reçue sans aucune sanitisation ni frontière entre configuration et exécution. Les chercheurs Moshe Siman Tov Bustan, Mustafa Naamnih, Nir Zadok et Roni Bar ont scanné l'écosystème, identifié 7 000 serveurs publiquement accessibles avec STDIO actif, et extrapolé à 200 000 instances vulnérables au total. Ils ont confirmé l'exécution arbitraire de commandes sur six plateformes en production réelle. La divulgation a produit plus de 10 CVE notées "high" ou "critical" touchant LiteLLM, LangFlow, Flowise, Windsurf, LangChain-Chatchat, DocsGPT, GPT Researcher, Agent Zero et LettaAI, entre autres. Windsurf (CVE-2026-30615) s'est avéré exploitable en zéro clic via injection de prompt dans des fichiers de configuration locaux. Neuf des onze registries MCP testés ont accepté un paquet malveillant de démonstration sans aucune vérification de sécurité. L'impact est d'autant plus sérieux que la faille n'est pas un bug isolé dans un produit particulier, mais un défaut de conception propagé par le protocole lui-même à toute la chaîne de dépendance. Tout projet ayant fait confiance au SDK officiel a hérité du problème. Carter Rees, VP IA chez Reputation et membre de l'Utah AI Commission, juge que le cadre conceptuel doit changer radicalement : STDIO doit être traité comme un accès shell en production, avec blocage par défaut, liste d'autorisation stricte et sandbox, et non comme un connecteur banal. Kevin Curran, professeur de cybersécurité à l'Ulster University et membre senior de l'IEEE, parle d'un "écart choquant dans la sécurité de l'infrastructure IA fondamentale". Pour les équipes sécurité, la question pratique est immédiate : tout déploiement d'agent IA via STDIO est exposé, quelle que soit la qualité du code applicatif en aval. Anthropic a confirmé que ce comportement est intentionnel et a refusé de modifier le protocole, qualifiant le modèle d'exécution de STDIO de valeur par défaut sécurisée et renvoyant la responsabilité de la sanitisation aux développeurs. OX conteste cette position en soulignant qu'exiger de 200 000 développeurs une sanitisation correcte des entrées est précisément le problème structurel. La tension est techniquement légitime des deux côtés : sanitiser STDIO risque soit de casser le transport, soit de déplacer le vecteur d'attaque d'un niveau. Le protocole MCP a pourtant connu une adoption massive depuis sa création par Anthropic, son adoption par OpenAI en mars 2025 et par Google DeepMind, sa cession à la Linux Foundation en décembre 2025, et 150 millions de téléchargements. La question de la gouvernance de sécurité des standards ouverts d'IA devient ainsi aussi urgente que leur interopérabilité.

Quatre attaques sur la chaîne d'approvisionnement IA en 50 jours révèlent des failles dans les pipelines de déploiement

En cinquante jours, quatre incidents de sécurité ont frappé les chaînes d'approvisionnement logicielle d'OpenAI, Anthropic et Meta, exposant un angle mort systémique dans l'écosystème IA. Le 11 mai 2026, un ver informatique baptisé Mini Shai-Hulud a publié 84 versions malveillantes de 42 packages npm de la bibliothèque TanStack en six minutes, en exploitant une mauvaise configuration de GitHub Actions, un empoisonnement du cache CI et l'extraction d'un token OIDC depuis la mémoire du runner. Ces packages portaient une provenance SLSA Build Level 3 valide car ils avaient été publiés depuis le dépôt officiel, via le bon workflow. Deux jours plus tard, OpenAI confirmait la compromission de deux appareils d'employés et l'exfiltration de secrets depuis ses dépôts internes, forçant la révocation de ses certificats macOS et une mise à jour obligatoire de tous les utilisateurs desktop avant le 12 juin 2026. En remontant à fin mars, on trouve deux autres incidents : un chercheur de BeyondTrust Phantom Labs, Tyler Jespersen, avait découvert que OpenAI Codex passait les noms de branches Git directement dans des commandes shell sans aucune validation, permettant l'injection de sous-commandes et le vol du token OAuth GitHub en clair. Simultanément, le groupe TeamPCP avait utilisé des identifiants volés au scanner de vulnérabilités Trivy d'Aqua Security pour publier deux versions empoisonnées du proxy LiteLLM sur PyPI, téléchargées près de 47 000 fois en quarante minutes avant quarantaine. Ce qui rend ces incidents particulièrement préoccupants, c'est leur portée transversale. L'attaque LiteLLM a atteint Mercor, une startup valorisée 10 milliards de dollars qui fournit des données d'entraînement à Meta, OpenAI et Anthropic : quatre téraoctets ont été exfiltrés, incluant des références à des méthodologies propriétaires de Meta. Le partenariat a été gelé immédiatement, une action collective a suivi dans les cinq jours. Aucune de ces attaques ne visait les modèles eux-mêmes, mais leurs dommages sont réels et mesurables. Le 31 mars, Anthropic avait de son côté exposé involontairement 513 000 lignes de TypeScript non obfusqué en livrant Claude Code version 2.1.88 avec un fichier source map de 59,8 Mo qui n'aurait jamais dû être inclus, révélant 44 feature flags internes, des prompts système et l'architecture d'orchestration multi-agents. Ces quatre incidents convergent vers un seul constat structurel : les pipelines de release, les hooks de dépendances, les runners CI et les gates de packaging ne sont couverts par aucun exercice de red team actuel dans l'industrie IA. Les évaluations AISI, les system cards et les audits de sécurité des modèles ignorent entièrement cette surface d'attaque. Quand un token OIDC légitimement émis suffit à publier 84 artefacts malveillants avec une provenance cryptographique valide, ou qu'une seule dépendance open source passe quarante minutes sur PyPI avec un effet blast radius cross-industriel, la robustesse du modèle sous-jacent devient hors-sujet. La pression monte pour que les fournisseurs IA intègrent des audits de sécurité de chaîne d'approvisionnement dans leurs questionnaires de conformité, au même titre que les évaluations de danger des modèles.

💬 Quatre attaques en cinquante jours, aucune ne visait les modèles. Pendant qu'on red-teamait les LLMs à coups d'évaluations AISI et de system cards, personne ne regardait les runners CI, les hooks de dépendances, les gates de packaging, et un token OIDC légitime a suffi à publier 84 artefacts malveillants avec une provenance cryptographique valide. La robustesse du modèle, c'est hors-sujet si la chaîne de livraison est trouée.

L'IA démultiplie les attaques de désinformation : les défenseurs doivent réagir à la même vitesse

L'intelligence artificielle a profondément bouleversé l'économie de la cybersécurité offensive. Un attaquant peut désormais générer en quelques minutes des milliers de leurres de phishing crédibles, de fausses identités et de prétextes sur mesure, le tout pour un coût quasi nul, alors qu'un défenseur n'a pas encore terminé un seul cycle de validation de changement. C'est l'argument central d'une analyse publiée par Splunk, qui insiste sur un déséquilibre fondamental : la tromperie à grande échelle est devenue accessible à tous, tandis que la vérification, elle, n'a pas suivi le même rythme. Pour les équipes de sécurité, l'enjeu ne se résume pas à améliorer les modèles de détection. Le vrai goulot d'étranglement, selon Splunk, est la donnée elle-même : où elle se trouve, si elle est disponible au bon moment, à quelle vitesse elle peut être corrélée, combien de temps elle est conservée, et si les analystes ou les agents d'IA peuvent s'y fier. Un exemple concret illustre le problème : une connexion suspecte depuis le compte d'un prestataire peut sembler anodine isolément. Pour comprendre si elle représente une menace réelle, les équipes doivent croiser l'historique d'identité, l'activité des terminaux, les journaux d'accès cloud, les tickets de support, les changements de configuration et le contexte métier. Si ces informations sont éparpillées dans des outils différents avec des durées de rétention variables, les défenseurs ne mènent plus une enquête ; ils négocient avec leur propre infrastructure de données. Et si les données fournies à une IA sont incomplètes, obsolètes ou fragmentées, l'IA n'apporte pas de certitude : elle accélère l'incertitude. Face à cette réalité, Splunk plaide pour que les organisations repensent fondamentalement le rôle de leurs plateformes de sécurité. Les SIEM et les lacs de données ont longtemps été traités comme des dépôts passifs, de simples archives pour recherches ultérieures, et ce modèle ne suffit plus. Ce dont les entreprises ont besoin aujourd'hui, c'est d'un plan de contrôle défensif : une couche architecturale qui relie ce qui s'est passé, ce que cela signifie et ce que l'organisation est autorisée à faire en conséquence. Concrètement, cela implique quatre capacités : préserver les preuves de manière pérenne, accéder aux données où qu'elles se trouvent, ajouter du contexte métier, et gouverner les actions de façon auditable et défendable. L'IA ne réduit pas l'exigence de disposer de registres fiables, elle en élève le standard. A mesure que les attaquants utilisent l'IA pour industrialiser la déception, les défenseurs doivent l'utiliser pour industrialiser la vérification, et cela commence par une architecture de données digne de confiance.

CrowdStrike, Cisco et Palo Alto Networks ont présenté des outils SOC à base d'agents à la RSAC 2026 — et tous trois ont raté le même angle mort

À la conférence RSA 2026, les grands noms de la cybersécurité ont présenté leurs outils de SOC agentiques — ces systèmes d'IA autonomes capables de détecter et répondre aux menaces sans intervention humaine. George Kurtz, PDG de CrowdStrike, a ouvert le bal avec un chiffre qui donne le vertige : le temps de propagation record d'un attaquant est désormais de 27 secondes, contre une moyenne de 29 minutes (en baisse par rapport à 48 minutes en 2024). Dans ce contexte, CrowdStrike détecte plus de 1 800 applications d'IA distinctes sur les terminaux d'entreprise, représentant 160 millions d'instances uniques — chacune générant des événements de sécurité que les SIEM actuels, conçus pour des workflows humains, peinent à absorber. Cisco a de son côté annoncé six agents spécialisés pour Splunk Enterprise Security — Detection Builder, Triage, Guided Response, SOP, Malware Threat Reversing et Automation Builder — dont la plupart restent en version alpha jusqu'en juin 2026. Palo Alto Networks a suivi avec sa propre architecture agentique, tandis que Cisco déploie également DefenseClaw, un framework qui analyse les compétences OpenClaw et les serveurs MCP avant déploiement. Le problème central que ces trois acteurs n'ont pas résolu : dans la majorité des configurations de journalisation par défaut, l'activité initiée par un agent IA est strictement indiscernable de celle d'un humain dans les logs de sécurité. Elia Zaitsev, CTO de CrowdStrike, l'a formulé clairement : « On ne peut pas distinguer si un agent pilote le navigateur de Louis ou si c'est Louis lui-même. » Remonter l'arbre de processus permet théoriquement de faire la différence, mais cela exige un niveau de visibilité sur les endpoints que peu d'organisations possèdent. Résultat : un agent compromis, exécutant un appel API légitime avec des identifiants valides, ne déclenche aucune alerte. Cette lacune n'est pas théorique — Kurtz a décrit lors de son keynote l'attaque ClawHavoc, première attaque majeure sur la chaîne d'approvisionnement d'un écosystème d'agents IA, ciblant le registre public ClawHub d'OpenClaw. Un audit de Koi Security en février a recensé 341 compétences malveillantes sur 2 857 ; une analyse ultérieure d'Antiy CERT a identifié 1 184 paquets compromis historiquement. Les charges malveillantes incluaient des backdoors, des reverse shells et des collecteurs d'identifiants — certains s'effaçant de la mémoire après installation pour rester latents. Cette tension entre adoption rapide et maturité sécuritaire traverse toute l'industrie. Cisco révèle que 85 % de ses clients enterprise ont des projets pilotes d'agents en cours, mais seulement 5 % les ont mis en production — un écart de 80 points qui traduit une méfiance concrète : les équipes sécurité ne savent pas quels agents tournent, ce qu'ils sont autorisés à faire, ni qui est responsable en cas d'incident. Etay Maor, VP Threat Intelligence chez Cato Networks et habitué de la RSA depuis seize ans, résume le paradoxe : « La complexité sécuritaire est la menace numéro un, et on fonce droit dedans avec l'IA. » Kurtz a été plus direct encore : « Les créateurs d'IA de frontier ne sécuriseront pas eux-mêmes leurs systèmes. Ils construisent — ils ne sécurisent pas. » L'enjeu pour les mois à venir sera de savoir si les outils annoncés à RSAC 2026 combleront vraiment ce fossé, ou si l'accélération de l'adoption agentique en entreprise creusera une surface d'attaque que les SOC ne pourront plus absorber.

💬 27 secondes de propagation, c'est le genre de chiffre qui devrait mettre fin à tous les débats sur "l'IA c'est pas encore prêt pour la sécu". Sauf que le vrai problème que personne sur scène n'a vraiment résolu, c'est qu'un agent compromis avec des bons identifiants est invisible dans les logs — et ça, six agents Splunk en alpha ne changent pas grand-chose. 85% de pilotes, 5% en prod : les équipes sécu ont bien compris le truc avant les vendeurs.