Le DIVD, association néerlandaise de sécurité, piraté par un agent IA via deux zero-days de Zammad

Le Dutch Institute for Vulnerability Disclosure est une association de recherche en sécurité composée de bénévoles. Le 30 septembre, elle a indiqué qu'un agent IA avait pénétré son réseau en exploitant deux failles jusque-là inconnues de Zammad, la plateforme open source d'assistance et de ticketing. BleepingComputer rapporte que ces failles sont référencées CVE-2026-102489 et CVE-2026-102490. Ensemble, elles ont permis le détournement de sessions, l'exécution de code à distance et une élévation jusqu'à root. Selon le DIVD, l'attaque a duré quelques secondes. L'agent a agi sans intervention humaine.

La vitesse n'est pas le plus important. Ce que l'agent a laissé derrière lui l'est davantage. Le DIVD explique avoir reconstitué l'incident parce que l'agent consignait des explications claires de ses propres décisions. Les enquêteurs disposaient donc en pratique d'une transcription. « Utilisées ensemble, elles ont permis aux attaquants de détourner des sessions, d'exécuter du code à distance et d'élever leurs privilèges depuis le compte utilisateur Zammad jusqu'à root, en quelques secondes, à cause de la composante agentique de cette attaque », a déclaré le DIVD. L'organisation attribue l'arrêt de la progression à la segmentation de son réseau. L'enquête se poursuit, dit-elle.

Pourquoi cela relève de la désinformation

La recherche sur la désinformation et la réponse aux incidents de sécurité reposent de plus en plus sur la même infrastructure. Les listes de diffusion, les files de tickets, les disques partagés et les ponts de messagerie que les chercheurs utilisent pour se coordonner sont précisément les systèmes qu'un agent autonome sonde en premier. Selon BleepingComputer, la communication de Zammad revendique plus de 2 000 clients et 55 000 utilisateurs, dont De'Longhi, Amnesty International et NextCloud. Une instance non corrigée n'est donc pas seulement un problème informatique. C'est un point d'appui potentiel pour quiconque veut lire, modifier ou divulguer les documents de travail des organisations qui documentent les campagnes de désinformation.

Le correctif recommandé par le DIVD est sans détour. Passer à la version 7, qu'il juge sûre, ou mettre l'instance hors ligne dès que possible. L'association dit avoir trouvé les vulnérabilités avec Merlon Security. Elle prévient les autres utilisateurs d'instances exposées. Elle a promis de nouvelles informations le 1er octobre.

Cette intrusion s'inscrit dans une série d'incidents à la vitesse de l'IA que les équipes de sécurité commencent seulement à intégrer. La même semaine, InfoQ a ouvert les inscriptions à deux formations en ligne de cinq semaines : AI Security & Privacy Engineering à partir du 26 octobre et AI-Assisted Engineering à partir du 19 octobre. Toutes deux partent du problème qu'un agent peut modifier un système plus vite qu'un processus de revue ne peut le rattraper. Katharine Jarmul, qui anime la formation sécurité, a résumé la question dans l'annonce d'InfoQ : « Une revue de sécurité de l'IA doit suivre les données et les décisions dans tout le système. » Zichuan Xiong, de Thoughtworks, co-animateur de la formation ingénierie, en a donné la version opérationnelle : « Un agent de codage peut appliquer un changement rapidement, mais la question plus difficile est ce qu'il était autorisé à faire et comment savoir que le changement est solide. »

Les agents ont leur propre réseau

Pendant ce temps, les outils pour agents mûrissent plus vite que la gouvernance qui les encadre. Le 30 septembre, Tailscale a publié une présentation technique de la façon dont Muse, le nouvel agent personnel de Meta, rejoint le tailnet privé d'un utilisateur comme un nœud à part entière. L'agent affiche l'état des autres machines et peut arbitrer une session SSH Tailscale. La conception annoncée par Meta repose sur une machine virtuelle Linux isolée par défaut des données utilisateur et des services externes, plus des connecteurs pour l'agenda, les contacts, les objets connectés de la maison, Gmail, Outlook et Spotify. Tailscale souligne le risque évident. Un agent qui voit les services auto-hébergés et peut utiliser SSH sur un tailnet n'a rien à voir avec un chatbot.

Par ailleurs, un développeur indépendant a publié OpenDLSS-NR le 30 septembre. Il s'agit d'une réimplémentation en Vulkan du réseau de rendu neuronal DLSS 5 de Nvidia, que l'auteur dit identique bit pour bit à l'original. Un second portage WebGPU exécute les mêmes poids dans un navigateur sans cœurs tensoriels. C'est un projet de rendu, pas de sécurité. Mais il montre la même tendance : des chaînes propriétaires complexes sont reconstruites ouvertement, vite, par de petites équipes.

Dans ce contexte, les sujets plus anciens de la semaine rappellent depuis combien de temps dure le problème de la désinformation. La chronique de Big Think du 29 septembre sur le retour des cartes de webcams est une petite étude de cas : comment des données ouvertes banales deviennent une infrastructure de surveillance. Un site de rencontres lancé le 29 septembre, Stella Amor, se vend sur des filtres liés aux finances, à la foi et aux pratiques sexuelles. Les données personnelles sont la matière première de la publicité ciblée comme de l'ingénierie sociale. Et une interview de neurosciences computationnelles publiée le 30 septembre sur les réseaux de neurones à impulsions rappelle que les modèles sous-jacents continuent de progresser, quoi qu'on en fasse.

Le fil commun n'est pas que l'un de ces éléments soit un réseau de désinformation. C'est que la couche de coordination, les systèmes de ticketing, les tailnets, les cadres d'agents, est l'endroit où les campagnes de désinformation et les incidents de sécurité se recoupent désormais. Le DIVD l'a découvert à ses dépens. Il a les journaux pour le prouver.