Entre 20:20:14 et 20:20:20 UTC le 28 août — soit une fenêtre de moins de six secondes — neuf enregistrements CVE issus d’une seule autorité de numérotation ont été publiés contre des projets d’agents IA. Une interrogation de la base nationale des vulnérabilités sur cette fenêtre renvoie un bloc continu.

Ce qui est couvert

Deux enregistrements concernent un framework d’agents, et sept portent sur cinq projets : SSRF et traversal de chemin dans Qwen-Agent, SSRF dans la Portkey AI Gateway, validation d’ownership manquante sur les points de terminaison prompt et chat dans Quivr, vérifications d’ownership de conversation absentes dans VoltAgent, et noms de fichiers de sortie non validés dans gpt-crawler. Les scores vont de 7,1 à 8,6.

Le détail dans les chaînes de versions

Sept des neuf décrivent la plage affectée comme allant « jusqu’à » la version actuelle — jusqu’à 0.0.34, jusqu’à 1.15.2, jusqu’à 0.0.322, jusqu’à 2.1.20, jusqu’à 1.5.1 — sans nommer de version corrigée. Une CVE qui cite une version corrigée dit à un opérateur vers quoi effectuer la mise à jour. Ce n’est pas le cas ici, car il n’y a rien vers quoi mettre à jour. Les deux exceptions, toutes deux contre le même framework d’agents, mentionnent bien des correctifs.

Ce que le cadrage commun interprète mal

Un ensemble de CVE publiées à quelques secondes d’intervalle ressemble à une campagne coordonnée contre l’écosystème des agents IA. Il s’agit d’un lot d’un chercheur vidant la file d’une autorité de numérotation — le timing reflète l’automatisation de la publication, pas une activité d’attaquant, et les constats sous-jacents avaient été divulgués publiquement aux projets plusieurs semaines plus tôt, sans réponse pour l’essentiel. La mauvaise lecture inverse existe aussi : parce que les projets sont modestes et que les scores ne sont pas critiques, le lot passerait pour du bruit. À eux seuls, ces dépôts cumulent plus de cent mille étoiles, et une SSRF non corrigée dans une passerelle qui détient des identifiants de fournisseur constitue un problème bien réel, quelle que soit la manière dont il a été catalogué.

Le score à relire deux fois

L’enregistrement du framework, noté 8,3 HIGH dans la base nationale selon une version du CVSS, est publié avec un score plus élevé, de niveau critique, selon une version plus récente ailleurs. Les deux chiffres décrivent la même faille. Sa condition préalable d’exploitation mérite elle aussi d’être dite clairement : l’attaquant doit d’abord compromettre un dépôt tiers déjà approuvé par la configuration de la victime.