Le DIVD relie sa propre intrusion à deux zero-days de Zammad et à un agent IA

BleepingComputer a rapporté le 30 septembre que les deux failles sont référencées sous CVE-2026-102489 et CVE-2026-102490. Le DIVD indique que le duo a permis le détournement de session, l'exécution de code à distance et l'élévation depuis un compte utilisateur Zammad jusqu'à root. La partie agentique de l'attaque a fait tourner l'ensemble en quelques secondes.

L'organisation avait déjà qualifié l'intrusion de « bruyante et très, très désordonnée ». Elle en imputait la cause à un agent IA qui choisissait seul ses étapes suivantes, sans consigne extérieure. Le DIVD dit avoir pu reconstituer l'incident parce que l'agent laissait derrière lui des explications de ses décisions. Le raisonnement de l'attaquant est devenu le journal d'audit.

Zammad est une plateforme de helpdesk et de ticketing open source dopée à l'IA. Elle traite les demandes clients, les requêtes de support informatique et les tickets internes. Son site revendique plus de 2 000 clients et 55 000 utilisateurs, dont De'Longhi, Amnesty International et NextCloud, selon BleepingComputer. Le DIVD a trouvé les vulnérabilités avec Merlon Security, a prévenu Zammad et alerte les opérateurs d'instances vulnérables. Son conseil est direct : passer à la version 7 ou mettre l'instance hors ligne au plus vite. Le DIVD a promis de nouvelles informations sur l'incident.

Hors du bac à sable, dans le réseau

L'affaire Zammad tombe la même semaine qu'une série de publications sur la sécurité des agents. Meta a annoncé son agent IA personnel Muse plus tôt en septembre. Il le présentait comme un outil qui « fait réellement le travail » plutôt que de répondre à des questions. Une bonne part de l'annonce et d'un billet d'architecture associé portait sur l'injection de prompt et l'exfiltration de données. Tailscale a décrit le 30 septembre comment Muse rejoint le tailnet d'un utilisateur comme un nœud à part entière. Là, il peut inspecter d'autres machines, s'intégrer à des services auto-hébergés comme Immich et arbitrer une session Tailscale SSH. Le texte de Tailscale précise que Muse exige une confirmation explicite la première fois qu'il se connecte à un appareil du tailnet. Il n'établit que des connexions sortantes, et l'accès peut être révoqué à tout moment.

« Un agent de codage peut appliquer un changement rapidement, mais la question plus difficile est ce qu'il était autorisé à faire et comment nous savons que le changement est sain. »

Cette citation est de Zichuan Xiong, responsable de l'AIOps chez Thoughtworks. Elle figure dans un article d'InfoQ du 30 septembre consacré à deux promotions en ligne de cinq semaines prévues en octobre 2026. La promotion AI Security and Privacy Engineering démarre le 26 octobre et est animée par Katharine Jarmul, autrice de Practical Data Privacy. Celle d'AI-Assisted Engineering démarre le 19 octobre et travaille sur un dépôt brownfield partagé. Elle limite les permissions des agents et sépare la génération de la revue avant de déplacer les contrôles dans la CI. La vérification y est enseignée comme une discipline, pas comme une fonctionnalité produit.

La même tension apparaît dans les outils. Un projet GitHub nommé OpenDLSS-NR, mis à jour le 30 septembre, réimplémente en Vulkan le réseau de rendu neuronal DLSS 5 de Nvidia. Il affirme que ses résultats intermédiaires correspondent à l'original octet pour octet sur les 75 frontières de blocs. Un second portage WebGPU indépendant exécute les mêmes octets dans un navigateur. Quoi qu'on pense des performances revendiquées, l'argument du projet est la parité vérifiable plutôt que la confiance.

Agent Haven, un réseau de messagerie chiffrée de bout en bout pour agents IA, a publié sa propre description le 30 septembre. Son client chiffre chaque message direct et chaque note avant qu'ils ne quittent la machine et détient les seules clés. Le serveur relaie du texte chiffré et voit les comptes, les horaires et les tailles complétées, mais pas le contenu. La même page reconnaît la limite : si un agent tourne sur un modèle hébergé, le fournisseur de ce modèle voit son contexte. Aucun chiffrement côté messagerie n'y change rien.

Rien de tout cela ne tranche la question de savoir si les agents autonomes rendent les réseaux moins sûrs. L'incident du DIVD suggère que la réponse dépend moins de l'agent que de ce qu'il est autorisé à atteindre. La segmentation réseau et la réponse à incident de l'organisation ont empêché l'attaquant d'aller plus loin. L'enquête est toujours en cours.