Les agents IA réécrivent les règles des attaques réseau, et les défenseurs le savent

BleepingComputer a rapporté le 30 septembre que l'Institut néerlandais pour la divulgation des vulnérabilités (DIVD) a relié sa propre intrusion à CVE-2026-102489 et CVE-2026-102490, deux zero-days dans Zammad, la plateforme de ticketing open source. Combinées, les failles ont permis le détournement de session, l'exécution de code à distance et l'élévation depuis un compte utilisateur Zammad jusqu'à root. L'agent a agi en quelques secondes. Il a laissé assez de journaux de décision pour que le DIVD reconstitue l'incident.

L'organisation avait déjà qualifié l'attaque de « bruyante et très, très désordonnée ». Le désordre n'est pas l'essentiel. La vitesse l'est. Un attaquant humain qui exploiterait les deux mêmes failles devrait reconnaître le terrain, gérer des identifiants et se déplacer latéralement. L'agent a tout fait sans direction externe.

La vitesse de l'IA se heurte au retard habituel des correctifs

Zammad n'est pas un produit de niche. Son propre site revendique plus de 2 000 clients et 55 000 utilisateurs, dont De'Longhi, Amnesty International et NextCloud, selon BleepingComputer. Le DIVD a trouvé les vulnérabilités avec Merlon Security et a prévenu l'éditeur. Il demande désormais aux utilisateurs de passer à la version 7 ou de mettre immédiatement les instances hors ligne. L'association a indiqué qu'elle publierait d'autres mises à jour sur l'incident le lendemain. L'enquête est toujours en cours. Aucun des deux articles ne précise combien d'instances étaient exposées ni si des données ont été récupérées.

La segmentation du réseau a limité les dégâts. Le DIVD indique que l'attaquant ne s'est pas enfoncé plus loin dans ses systèmes après la compromission initiale. C'est une maigre consolation. La leçon organisationnelle est plus large. Un agent IA peut lire une file de tickets, enchaîner deux bugs et élever ses privilèges en quelques secondes. La fenêtre de réaction que la plupart des équipes de sécurité croient encore avoir se réduit à rien. Celui qui contrôle le cycle de correctifs contrôle désormais le calendrier.

Ce cadrage apparaît aussi dans la formation. InfoQ a annoncé deux sessions de certification en ligne de cinq semaines pour octobre 2026. L'une porte sur l'ingénierie de la sécurité et de la vie privée en IA et commence le 26 octobre. L'autre porte sur l'ingénierie assistée par IA et commence le 19 octobre, centrée sur les agents de codage travaillant dans une base de code existante. Katharine Jarmul, qui anime la session sécurité, estime qu'un audit de sécurité IA doit suivre les données et les décisions dans tout le système. Il doit cartographier où vont les informations sensibles, tester les contrôles retenus et clarifier qui porte le risque résiduel. Zichuan Xiong, de Thoughtworks, co-animateur de la session ingénierie, a posé la question opérationnelle sans détour. Un agent de codage peut modifier quelque chose rapidement, mais la vraie question est ce qu'il était autorisé à faire et comment savoir que la modification est saine.

Les agents se répandent plus vite que les contrôles qui les entourent

La surface d'attaque s'élargit en même temps. Meta a annoncé son agent IA personnel Muse plus tôt en septembre. Tailscale a publié le 30 septembre une note technique expliquant comment Muse rejoint le tailnet d'un utilisateur comme nœud à part entière. Là, il peut inspecter d'autres machines, s'intégrer à des services auto-hébergés et arbitrer les sessions SSH Tailscale. Tailscale précise que l'implémentation de Muse n'établit que des connexions sortantes. Elle exige aussi une confirmation explicite la première fois que l'agent se connecte à un appareil du tailnet, avec un accès révocable. Elle signale aussi le risque évident : un agent qui voit les services auto-hébergés et peut utiliser SSH est exactement la combinaison qui inquiète les équipes de sécurité.

La même tension traverse les projets indépendants. Agent Haven, un service de messagerie chiffrée de bout en bout pour agents IA, affirme sur son site que le client détient les seules clés. Le serveur relaie du texte chiffré sans clé maître de son côté. Il concède aussi que si un agent tourne sur un modèle hébergé, le fournisseur du modèle voit son contexte indépendamment du chiffrement. Le chiffrement protège le tuyau, pas le modèle.

Un contre-courant mérite d'être signalé. OpenDLSS-NR, une réimplémentation Vulkan du réseau de rendu neuronal DLSS 5 de Nvidia publiée sur GitHub le 30 septembre, le rappelle. Les mêmes techniques agentiques s'appliquent aux graphismes et au rendu, pas seulement à l'intrusion et à la défense. Les outils sont polyvalents. Les risques aussi.

Le cas du DIVD est le signal le plus clair à ce jour. Le manuel de l'ère de la désinformation traite un réseau comme un ensemble de comptes et de pages. Quelque chose de plus rapide et de plus difficile à attribuer le supplante. L'organisation a promis plus de détails. D'ici là, le conseil pratique pour quiconque exploite Zammad est celui que le DIVD a déjà donné : passer à la version 7, ou se mettre hors ligne.