« When Context Gets Root: Privilege Escalation in LLM Harnesses » a été soumis à arXiv à 16:03:57 UTC le 27 août. L’article affirme que le logiciel qui entoure un modèle — et non le modèle lui-même — fait passer du contenu de fichiers contrôlés par un attaquant dans la case d’instruction la plus privilégiée de l’agent, de sorte qu’un modèle parfaitement obéissant se retrouve tout de même compromis.

Ce qui a été testé

Six harnesses sur des versions identifiées et actuelles : Claude Code (Opus 4.8, v2.1.210), Codex (GPT-5.5, v0.138.0), Gemini CLI (Gemini 3.1 Pro Preview, v0.50.0), Qwen Code (Qwen3.7 Max, v0.21.4), Kimi (Kimi 3, v0.36.0) et OpenCode (DeepSeek-V4-Pro-0813, v1.18.1). Les attaques sont reproduites à l’aide de fonctions livrées avec le produit — objectifs persistants et tâches planifiées — ce qui les rend exploitables et non théoriques.

Le chiffre de l’abstract

« Avec une exécution d’actions sans restriction, les attaques atteignent les 13 objectifs sur les six harnesses », et « sous révision automatique des permissions, les attaques atteignent les 13 objectifs sur les trois harnesses qui proposent ce mode ». L’introduction ajoute un taux de réussite moyen de 97,3 % pour une escalade de tool vers user et de 80,3 % pour tool vers system.

Ce que le cadrage habituel interprète mal

« Treize sur treize sur six sur six » se lit comme si chaque agent tombait à chaque fois. Les tableaux du papier disent quelque chose de plus étroit : 13/13 signifie que chaque objectif a réussi au moins une fois au fil de tentatives répétées — et non qu’une tentative aboutit. Les chiffres par tentative, dans le paramètre Full Access, le plus permissif disponible, sont de 31,7 % pour Claude Code, 61,7 % pour Gemini CLI, 61,7 % pour Qwen Code, 64,9 % pour Kimi, 72,5 % pour OpenCode. Seul Codex atteint un véritable 100,0 %. Le titre honnête serait que, avec suffisamment de réessais, chaque objectif finit par passer sur chaque agent, à des taux allant d’environ un tiers à la totalité.

Deuxièmement, les deux régimes sont présentés comme équivalents, ce qu’ils ne sont pas. La révision automatique des permissions a apporté une amélioration mesurable sur un seul harness : Codex a baissé de 27,8 points, et le papier explique pourquoi — « le Auto PR de Codex examine activement les appels de fonction nouvellement insérés et leur comportement à l’exécution ». Sur Claude Code, le taux a augmenté, de 31,7 % à 37,1 %, ce qui, à ces tailles d’échantillon, ressemble davantage à du bruit qu’à une défense efficace. Présenter les deux régimes comme également cassés efface le seul mécanisme de l’étude qui ait eu un effet.

Troisièmement, un dénominateur : trois des six harnesses n’ont aucun mode de révision des permissions, donc « les trois harnesses qui proposent ce mode » signifie trois sur trois, et non six.

Le relecteur qui a validé l’attaque

Une phrase du papier mérite d’être citée intégralement : « Dans les cas Claude Code réussis, le relecteur observe les modifications apportées au serveur todo mais approuve tout de même leur exécution. » Le contrôle a bien eu lieu, a vu la modification, et a répondu oui.