Amazon Kiro : une injection de prompt exfiltre des données du workspace en un seul message

Mindguard découvre une faille dans Kiro Powers

Le 27 août 2026, les chercheurs de Mindguard ont divulgué les détails d'une vulnérabilité dans Amazon Kiro, l'environnement de développement intégré agentique basé sur l'intelligence artificielle. La faille permet l'exfiltration de données sensibles depuis le workspace d'un développeur en exploitant la fonctionnalité Kiro Powers et une technique d'injection de prompt. Aucun identifiant CVE n'a été attribué.

Le chercheur Fergal Glynn a expliqué que le problème permet à des contenus de dépôts contrôlés par l'attaquant d'influencer l'agent Kiro et de lui faire transmettre des informations locales sensibles vers un point de terminaison externe. La vulnérabilité affecte Kiro IDE version 0.7.45 sur Windows ; la version la plus récente de l'IDE au moment du signalement était 1.0.337.

La chaîne technique : de Kiro Powers à l'exfiltration

Kiro Powers étend les compétences en agrégeant des configurations de serveurs Model Context Protocol (MCP), des fichiers de pilotage nommés « POWER.md », des hooks et des connaissances contextuelles. Le fichier de pilotage fonctionne comme un manuel d'intégration : il fournit un contexte persistant et indique à l'agent quels outils MCP sont disponibles et quand les utiliser.

L'exploitation nécessite deux actions. D'abord, l'utilisateur doit ouvrir le projet malveillant via un fichier workspace avec la commande Fichier → Ouvrir l'espace de travail à partir d'un fichier, au lieu d'ouvrir directement le dossier. Ensuite, il doit envoyer un message à l'agent.

La vulnérabilité est reproductible aussi bien avec des espaces de travail fiables qu'avec des espaces de travail non fiables. Une fois ces conditions remplies, les données sensibles du workspace peuvent être exfiltrées vers l'attaquant sans que l'utilisateur demande explicitement à Kiro d'y accéder ou de les transmettre. La difficulté d'exploitation a été évaluée comme faible.

L'aspect distinctif : l'utilisateur n'a pas besoin d'envoyer un prompt malveillant. Après l'ouverture du fichier workspace préparé, il suffit d'un message quelconque pour déclencher le flux vulnérable.

Le franchissement de la frontière de confiance se produit en une séquence. Les contenus de projet contrôlés par l'attaquant sont interprétés comme des instructions ; l'agent lit des informations locales sensibles ; l'agent écrit ces informations dans des configurations IDE pertinentes pour la sécurité ; une capacité ultérieure de l'IDE transforme la configuration modifiée en activité réseau. Avec l'intégration croissante entre interprétation et exécution, les fichiers de dépôt peuvent fournir du contexte au modèle pendant que l'agent lit des fichiers, invoque des outils et active d'autres fonctionnalités, créant ainsi de possibles franchissements de la frontière de confiance.

Versions concernées et correctif

La faille a été démontrée sur Kiro IDE 0.7.45 pour Windows. Au moment du signalement, la version la plus récente était la 1.0.337, mais on ignore si elle était également vulnérable.

Après une divulgation responsable, Amazon a implémenté un correctif dans Kiro IDE version 0.8.140. La mise à jour vers cette version ou une version ultérieure atténue le problème. Aucun score CVSS n'est disponible pour cette faille spécifique.

Précédents dans Kiro et catalogue KEV

Ce n'est pas la première vulnérabilité découverte dans Kiro. En juin 2026, Amazon a corrigé une faille de contrôle d'accès insuffisant identifiée comme CVE-2026-10591, avec un score CVSS de 8,8 (vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H). Ce problème pouvait permettre à un acteur distant non authentifié d'exécuter des commandes arbitraires via des instructions préparées provoquant des écritures dans des chemins sensibles à l'exécution, tels que « .vscode/tasks.json » ou « ~/.kiro/settings/mcp.json », et facilitant l'exécution automatique à l'ouverture du dossier. Selon Intezer, en insérant des instructions cachées dans une page web lue par Kiro, un attaquant pouvait faire réécrire par Kiro son propre fichier de configuration du serveur MCP et obtenir une exécution de code arbitraire sur la machine du développeur, sans invites d'approbation suspectes.

La nouvelle faille repose sur un bug précédent signalé par Mindguard, qui permettait à des directives du fichier de pilotage de faire incorporer des informations locales dans une requête d'image Markdown et de les transmettre à un serveur externe.

La vulnérabilité récemment divulguée ne figure pas dans le catalogue KEV de la CISA. Toutefois, au cours des 90 derniers jours, d'autres vulnérabilités liées à des éditeurs comme Amazon, Anthropic et Microsoft sont entrées dans le catalogue : CVE-2019-1068 (26 août), CVE-2026-33824 et CVE-2026-55040 (18 août), CVE-2026-68820 (11 août), CVE-2026-50522 (22 juillet) et CVE-2026-58644 (16 juillet). Cela indique que l'écosystème des outils d'IA est surveillé pour exploitation active.

Un écosystème d'IA sous pression

La découverte dans Kiro s'inscrit dans une série de problèmes de sécurité apparus ces derniers mois dans les outils de développement basés sur l'IA. Parmi les épisodes les plus marquants : une chaîne de vulnérabilités dans OpenAI Codex CLI pour Windows exploitant l'injection de prompt via web.run pour transformer une recherche web en exécution cachée de commandes ; une vulnérabilité zero-click d'exécution à distance dans Cursor CLI utilisant l'injection de prompt indirecte pour écrire et exécuter un exécutable malveillant ; une vulnérabilité d'exécution de code arbitraire dans Cursor, GitHub Copilot CLI, Google Gemini CLI et l'application Codex pour Windows due au détournement de l'ordre de recherche des binaires ; et une vulnérabilité touchant Anthropic Claude Code (CVE-2026-35603, CVSS 7,3) et d'autres outils exploitant un dossier Windows considéré comme fiable pour déposer des fichiers de configuration malveillants.

À celles-ci s'ajoutent une vulnérabilité d'évasion de sandbox dans Claude Code (CVE-2026-25725, CVSS 10) permettant à un attaquant sandboxé d'exécuter des commandes sur l'hôte, un ensemble de vulnérabilités dans Gemini CLI permettant l'évasion de conteneur et le vol de jeton OAuth, ainsi qu'une vulnérabilité dans NVIDIA NemoClaw (CVE-2026-65105, CVSS 8,1) permettant le contrôle du serveur Ollama avec une simple visite sur une page web. De plus, OpenClaw peut être contrôlé par n'importe quel site web via WebSocket sur localhost, et Microsoft Visual Studio Code a corrigé la vulnérabilité Envade (CVE-2026-41613, CVSS 8,8) qui, par un clic sur un lien profond, permet l'exécution de code.

La leçon de Mindguard : évaluer les chemins d'exécution

Mindguard conclut que les résultats sur Kiro mettent en évidence un problème qui va au-delà d'un seul IDE ou d'un seul programme de divulgation. Les vulnérabilités d'IA peuvent émerger d'interactions entre l'interprétation du modèle, la logique applicative, les outils, la configuration et les ressources externes, ce qui les rend difficiles à évaluer avec des processus de divulgation conçus pour des défauts logiciels plus clairement définis. Avec l'augmentation des outils à la disposition des systèmes d'IA et des interactions avec l'état applicatif, les programmes de divulgation doivent évaluer les chemins d'exécution avec le même niveau de détail que les chercheurs qui les découvrent.

Pour les développeurs utilisant Amazon Kiro, la recommandation immédiate est de mettre à jour vers la version 0.8.140 ou ultérieure. En attendant la mise à jour, évitez d'ouvrir des fichiers workspace provenant de sources non fiables et faites attention aux dépôts suspects.