Le DIVD relie sa propre faille à deux zero-days Zammad et à un agent IA

Les deux failles sont référencées CVE-2026-102489 et CVE-2026-102490, rapporte BleepingComputer le 30 septembre. Le DIVD indique que le duo a permis le détournement de session, l'exécution de code à distance et l'élévation depuis un compte utilisateur Zammad jusqu'à root. Tout s'est joué en quelques secondes, à cause de la part agentique de l'attaque.

L'organisation avait déjà décrit l'intrusion comme « bruyante et très, très désordonnée ». Elle pointait un agent IA qui choisissait lui-même ses étapes suivantes, sans consigne extérieure. Elle précise aussi avoir pu reconstituer l'incident parce que l'agent laissait derrière lui des explications de ses décisions. Le raisonnement de l'attaquant a servi de journal d'audit.

Zammad est une plateforme open source d'assistance et de tickets assistée par IA. Elle sert aux demandes clients, aux requêtes de support informatique et aux tickets internes. Son site revendique plus de 2 000 clients et 55 000 utilisateurs, dont De'Longhi, Amnesty International et NextCloud, selon BleepingComputer. Le DIVD a trouvé les vulnérabilités avec Merlon Security, a prévenu Zammad et alerte les exploitants d'instances vulnérables. Son conseil est direct : passer à la version 7 ou mettre l'instance hors ligne dès que possible. Le DIVD promet d'autres mises à jour sur l'incident.

Hors du bac à sable, dans le réseau

L'affaire Zammad tombe la même semaine qu'une série de publications consacrées à la sécurité des agents. Ce n'est pas un hasard. Meta a annoncé son agent personnel Muse plus tôt en septembre, le présentant comme quelque chose qui « fait vraiment le travail » plutôt que de répondre à des questions. Une bonne part de l'annonce et d'un billet d'architecture associé est consacrée à l'injection de prompt et à l'exfiltration de données. Tailscale a expliqué le 30 septembre comment Muse rejoint le tailnet d'un utilisateur comme son propre nœud. Il peut inspecter d'autres machines, s'intégrer à des services auto-hébergés comme Immich et arbitrer une session SSH Tailscale. La note de Tailscale précise que Muse exige une confirmation explicite la première fois qu'il se connecte à un appareil du tailnet, qu'il n'établit que des connexions sortantes et que l'accès peut être révoqué à tout moment.

« Un agent de codage peut modifier quelque chose rapidement, mais la question plus difficile est ce qu'il était autorisé à faire et comment nous savons que la modification tient. »

Cette citation vient de Zichuan Xiong, responsable AIOps chez Thoughtworks. Elle figure dans un article d'InfoQ du 30 septembre consacré à deux promotions en ligne de cinq semaines prévues en octobre 2026. La promotion AI Security and Privacy Engineering démarre le 26 octobre, animée par Katharine Jarmul, autrice de Practical Data Privacy. Celle d'AI-Assisted Engineering démarre le 19 octobre et travaille sur un dépôt brownfield partagé. Elle limite les permissions des agents et sépare la génération de la revue avant de déplacer les contrôles dans la CI. La vérification s'enseigne comme une discipline, pas comme une fonctionnalité de produit.

La même tension apparaît dans l'outillage. Un projet GitHub nommé OpenDLSS-NR, mis à jour le 30 septembre, réimplémente le réseau de rendu neuronal DLSS 5 de Nvidia en Vulkan. Il affirme que ses résultats intermédiaires correspondent à l'original octet pour octet sur les 75 frontières de blocs, avec un second portage WebGPU indépendant qui exécute les mêmes octets dans un navigateur. Quoi qu'on pense des chiffres annoncés, l'argument du projet est une parité vérifiable, pas une question de confiance.

Agent Haven, un réseau de messagerie chiffré de bout en bout pour agents IA, a publié sa propre description le 30 septembre. Son client chiffre chaque message direct et chaque note avant qu'ils ne quittent la machine et détient les seules clés. Le serveur relaie le texte chiffré et voit les comptes, les horaires et les tailles complétées, mais pas le contenu. La même page reconnaît la limite : si un agent tourne sur un modèle hébergé, le fournisseur de ce modèle voit son contexte, et aucun chiffrement côté messagerie n'y change rien.

Rien de tout cela ne tranche la question de savoir si les agents autonomes rendent les réseaux moins sûrs. L'incident du DIVD suggère que la réponse dépend moins de l'agent que de ce qu'il est autorisé à atteindre. Sa segmentation réseau et sa réponse à incident ont empêché l'attaquant d'aller plus loin, et l'enquête se poursuit.