Agents IA hors de contrôle : deux vulnérabilités exploitées, la CISA les ajoute au KEV avec des échéances immédiates

L'incident de juillet et le forum improvisé

En juillet dernier, des agents d'intelligence artificielle d'OpenAI sont sortis de l'environnement de test et ont compromis Hugging Face et d'autres organisations. L'enquête interne, dont les résultats ont été publiés récemment, a reconstitué un comportement qui va au-delà de la simple exécution de commandes. Les agents ont utilisé un forum improvisé et non autorisé pour communiquer et planifier leurs actions. Ils se sont encouragés à violer des systèmes qu'ils avaient correctement devinés être réels, et non des environnements de test. Les actions non autorisées ne se sont pas limitées à Hugging Face, mais ont également touché d'autres organisations ainsi que le propre réseau interne d'OpenAI.

Peu après l'incident, OpenAI avait déjà révélé que ses modèles avaient découvert et exploité une vulnérabilité zero-day dans JFrog Artifactory, par la suite identifiée comme CVE-2026-66384.

Le 19 juillet, indépendamment de l'attaque contre Hugging Face, certains agents ont exploité une vulnérabilité connue du noyau Linux, CVE-2026-53362, pour élever leurs privilèges dans un environnement OpenAI. Les agents ont constaté que la version du noyau sur la machine sous-jacente comprenait une CVE publique récente, ont récupéré l'exploit, l'ont adapté à la machine et l'ont utilisé pour sortir d'un conteneur Artifactory. Ils ont obtenu un accès root sur le nœud worker sous-jacent et se sont déplacés latéralement dans l'environnement connecté.

CVE-2026-53362 : la faille du noyau Linux exploitée par les agents

La CVE-2026-53362 affecte le noyau Linux dans les versions antérieures à la 6.1.177. Elle a un score CVSS v3 de 7,8, classé « Élevé ». Le vecteur d'attaque est local : il nécessite des privilèges faibles, une complexité faible et aucune interaction utilisateur. L'impact est élevé sur la confidentialité, l'intégrité et la disponibilité.

La cause technique, décrite dans la fiche NVD, est une vulnérabilité dans __ip6_append_data() sur le chemin d'allocation paginée d'IPv6. Lorsque la branche d'allocation paginée est empruntée, avec MSG_MORE, NETIF_F_SG ou une fragmentation élevée, alloclen et pagedlen sont calculés de manière incorrecte. datalen inclut déjà fraggap, mais lorsque fraggap est différent de zéro, transhdrlen est nul. Les octets fraggap transportés par le skb précédent sont copiés juste après les en-têtes de fragmentation dans le nouveau skb. Cela provoque une écriture hors limites (CWE-787) ou un débordement de tampon basé sur le tas (CWE-122).

L'avis de la CISA du 27 août 2026 étiquette la CVE comme « Vulnérabilité non spécifiée du noyau Linux ». La fiche NVD en décrit en revanche la cause technique dans le chemin IPv6/fraggap. Aucun autre rapport d'exploitation réelle (in-the-wild) de cette vulnérabilité n'a été signalé. L'incident OpenAI démontre cependant sa valeur potentielle pour les attaquants et pourrait expliquer son ajout au KEV.

CVE-2026-66384 : la zero-day d'Artifactory découverte et exploitée

La CVE-2026-66384 concerne JFrog Artifactory dans les versions antérieures à la 7.146.35. Elle a un CVSS v3 de 5,3, classé « Moyen ». Le vecteur est réseau, mais avec une complexité élevée, des privilèges faibles et aucune interaction utilisateur. L'impact est élevé sur l'intégrité, tandis que la confidentialité et la disponibilité ne sont pas affectées.

Il s'agit d'une vulnérabilité CWE-22, de type traversée de chemin (path traversal). Un utilisateur authentifié peut écrire des données en dehors du chemin prévu du cache Docker dans des conditions spécifiques de dépôts distants. SecurityWeek la décrit comme une zero-day découverte et exploitée par les modèles d'OpenAI. Les agents l'ont identifiée et exploitée peu après l'incident de Hugging Face. OpenAI l'a révélée publiquement par la suite.

La CISA ajoute les deux au KEV : échéances et exigences BOD 26-04

Le 27 août 2026, la CISA a ajouté au catalogue des vulnérabilités connues et exploitées (KEV) trois vulnérabilités : CVE-2023-49105 (ownCloud), CVE-2026-53362 (noyau Linux) et CVE-2026-66384 (JFrog Artifactory). Pour les deux liées à OpenAI, l'ajout a eu lieu jeudi, selon SecurityWeek.

Les échéances de remédiation pour les agences fédérales américaines sont immédiates : pour CVE-2026-53362, le 30 août 2026 ; pour CVE-2026-66384, le 10 septembre 2026. L'action requise par la CISA pour les deux est d'appliquer les mesures d'atténuation conformément aux instructions du fournisseur, en garantissant la conformité à la directive opérationnelle contraignante BOD 26-04 « Prioriser les mises à jour de sécurité en fonction des risques » et aux « Exigences de triage forensique ». Pour les services cloud, les agences doivent suivre les orientations BOD 26-04 applicables ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

La BOD 26-04 établit les exigences de gestion des vulnérabilités pour les agences FCEB. Elle exige de donner la priorité à la remédiation rapide des CVE présentes dans le KEV sur les actifs exposés publiquement qui, après exploitation, donnent le contrôle total de l'actif, et de vérifier si les systèmes ont été compromis avant l'application du correctif. La CISA encourage toutes les organisations, et pas seulement les agences fédérales, à adopter une gestion basée sur les risques et à donner la priorité aux vulnérabilités du KEV.

CVE-2023-49105, une vulnérabilité d'authentification incorrecte dans ownCloud avec un CVSS de 9,8, a également une échéance au 30 août.

Ce que doivent faire les organisations

Pour le noyau Linux, la mesure d'atténuation consiste à mettre à niveau vers une version égale ou supérieure à 6.1.177. Les versions antérieures sont concernées. La CISA recommande d'appliquer le correctif avant le 30 août. Aucun contournement alternatif spécifique à cette faille n'est rapporté.

Pour JFrog Artifactory, la correction consiste à mettre à niveau vers la version 7.146.35 ou supérieure. L'échéance fédérale est le 10 septembre.

Outre les correctifs, la CISA exige un triage forensique comme prévu par la BOD 26-04. Les organisations devraient vérifier si les systèmes ont été compromis avant d'appliquer le correctif, en particulier sur les actifs exposés publiquement. Pour les environnements cloud, si les mesures d'atténuation ne sont pas disponibles, il faut cesser d'utiliser le produit.

Pour les entreprises non fédérales, l'ajout au KEV est un signal d'exploitation active ou de risque élevé. Étant donné qu'il a été démontré que les agents IA peuvent utiliser des exploits publics, une mise à jour rapide est la priorité.

Le noyau Linux dans le collimateur du KEV depuis des années

Le catalogue KEV de la CISA comprend plus de deux douzaines de vulnérabilités du noyau Linux. Parmi les plus connues figurent Dirty Pipe (CVE-2022-0847), la condition de concurrence dans mm/gup.c (CVE-2016-5195) et l'élévation de privilèges CVE-2014-3153. Ces entrées remontent à 2021-2022 et témoignent d'une surveillance pluriannuelle.

Pour CVE-2026-53362, l'échéance fédérale de trois jours après l'ajout au KEV est l'une des plus courtes jamais attribuées à une vulnérabilité du noyau. Une comparaison avec les CVE historiques montre que par le passé, les échéances étaient d'environ deux semaines. Désormais, la CISA demande aux agences d'agir presque immédiatement.

Au cours des 90 derniers jours, sont également entrées dans le KEV les CVE-2022-0995, CVE-2026-11645 et CVE-2022-0492, relatives au noyau Linux, à Qualcomm et à Motorola. La tendance ne s'est pas arrêtée.