Douze CVE liés aux outils d’IA arrivent dans le flux en quatre heures. Tous avaient déjà été corrigés — l’un depuis 118 jours.

Sur une période de quatre heures, dans la soirée du 21 août, le flux national américain des vulnérabilités a publié 12 entrées CVE couvrant huit projets d’IA, d’apprentissage automatique et d’outillage pour agents. Aucune n’est une nouvelle divulgation. Dans tous les cas, le correctif avait déjà été publié et l’avis du fournisseur était déjà public — avec un décalage de 11 à 118 jours.

Le plus long retard correspond au bug le plus grave

Le délai le plus long correspond à la note la plus élevée. Une exécution de code à distance notée CVSS 10.0 dans le framework de service de modèles Xinference tient à une seule ligne — un eval() appliqué à la sortie même de l’appel d’outil du modèle — de sorte qu’un prompt qui pousse le modèle à émettre un appel système l’exécute sur le serveur. Le correctif a été publié le 25 avril ; le mainteneur a diffusé l’avis le 13 juillet ; la CVE a été enregistrée le 21 août, soit 118 jours après le correctif. Le projet compte désormais six versions mineures de plus que celle corrigée. La note 10.0 suppose aussi le paramétrage par défaut livré, dans lequel l’authentification est désactivée — l’avis le précise.

Quatre d’un coup dans un même harnais d’agents

Quatre des douze concernent Omnigent, un méta-harnais lié à Databricks qui orchestre d’autres agents de codage. Le plus intéressant est une mesure de protection qui échoue de manière ouverte : le parseur de commandes shell renvoie rien lorsqu’il ne parvient pas à analyser une commande, si bien que les indicateurs combinés de l’interpréteur, les enveloppes timeout, nice, setsid et stdbuf, la substitution de commande et un seul opérateur d’arrière-plan aboutissent tous à "no parsed operation" — et les politiques de liste d’autorisation du dépôt et de confinement de l’espace de travail s’abstiennent alors et l’autorisent. L’avis indique qu’un agent authentifié ou injecté par prompt peut s’en servir pour pousser vers un dépôt non autorisé ou sortir de l’espace de travail. Son signalement est attribué textuellement à un agent autonome de sécurité. Une autre entrée, dans le framework UFO de Microsoft, lie un serveur local d’agent à un port qui ne valide ni Host ni Origin, si bien que n’importe quelle page web peut s’y réassocier et exécuter des commandes ; le commit de correction est resté dans le dépôt 45 jours avant qu’une version ne le distribue aux utilisateurs.

Ce que le cadrage courant ne voit pas

À partir de lundi, ces failles seront présentées comme des vulnérabilités critiques nouvellement divulguées dans l’infrastructure d’IA. En réalité, le flux rattrape son retard. Il existe aussi un piège pour quiconque vérifie : l’API des GitHub Advisory renvoie un horodatage de publication au 21 août pour des avis dont les pages de dépôt indiquent juillet. Le champ de l’API enregistre le moment où la base de données mondiale de GitHub a examiné l’avis, et non celui de la publication par le mainteneur — et un article qui cite la date de l’API se trompe d’une manière qui ne laisse aucune trace.

Le schéma sous-jacent

Si l’on réduit ces douze cas à l’essentiel, un même échec se répète : des frameworks d’agents traitent la sortie du modèle, la configuration ou un port local non authentifié comme une entrée de confiance. Pendant ce temps, l’écart médian entre la mise à disposition d’un correctif et l’apparition de sa CVE est d’environ 55 jours, période durant laquelle le correctif repose dans l’historique git सार्वजनिक, aisément diffusable en exploit, tandis que rien n’incite l’opérateur en aval à procéder à la mise à jour.