Omnigent, un méta-harness open source qui exécute des agents de codage derrière une couche unique de politique et de sandbox, a reçu quatre avis de sécurité d’un seul coup le 2 septembre. Ils comprennent une faille critique d’exécution de code à distance authentifiée sur les hôtes runners et deux autres vulnérabilités de gravité élevée. Celle qui mérite d’être lue en entier est celle qui reçoit la note la plus basse des quatre.
Le bug du refus qui veut dire autorisation
CVE-2026-62676 décrit un parseur partagé de commandes shell qui alimente deux contrôles distincts : la liste d’autorisation des dépôts et des branches, et le confinement du répertoire de travail. Lorsqu’une commande soumise à filtrage arrive dans un format que le parseur ne modélise pas, il ne produit aucune opération, l’évaluateur ne renvoie rien, et l’absence de réponse est traitée comme une abstention, ce qui se traduit par autoriser. L’avis énumère les contournements : envelopper la commande dans bash -lc, la préfixer avec des binaires d’enrobage comme timeout ou nice, ou la cacher dans une substitution de commande. La classification est CWE-184, denylist incomplète, et elle touche le composant dont l’unique fonction est de dire non.
Ce que le cadrage courant comprend mal
Deux choses. D’abord, le classement par gravité inverse le récit opérationnel : le 7,1 est plus déterminant que le 9,0 pour quiconque utilise ce harness comme couche de confinement, parce qu’il neutralise la promesse centrale du produit — exécuter une sortie de modèle non approuvée, mais confinée — au lieu d’exiger un accès authentifié déjà existant. Ensuite, et c’est plus important pour les lecteurs qui parcourent les flux CVE : ce ne sont pas de nouvelles failles. Les commits de correction ont été intégrés les 26 et 27 juin, la version corrigée ayant suivi immédiatement. Les avis sont datés du 2 septembre. Il s’est donc écoulé 68 jours entre la correction du code et l’information donnée aux utilisateurs.
Pourquoi ce décalage est la leçon récurrente
Quiconque suit le risque des outils d’IA via les dates de publication des CVE lit un signal en retard sur la fenêtre réelle d’exposition, de plusieurs semaines à plusieurs mois. Dans cet écosystème, les notes de version sont le flux de sécurité. Les équipes qui figent les versions de leurs harness d’agents devraient surveiller les releases du dépôt, et non attendre l’apparition des avis.
La règle de conception qui en découle
La remédiation recommandée par l’avis ressemble à une liste de contrôle pour quiconque construit une couche d’approbation d’outils : l’abstention doit se traduire par un refus, les binaires d’enrobage doivent être canonisés, et l’évaluateur doit descendre dans sh -c et dans les substitutions de commande avant de juger. Les couches d’approbation bricolées cette année embarquent en ce moment même la même forme de bogue.