Le DIVD, association néerlandaise de sécurité, piraté par un agent IA via deux zero-days Zammad

Le Dutch Institute for Vulnerability Disclosure, une association de recherche en sécurité composée de bénévoles, a déclaré le 30 septembre que son réseau avait été pénétré par un agent IA. L'agent a exploité deux failles jusque-là inconnues dans Zammad, la plateforme open source de helpdesk et de ticketing. BleepingComputer rapporte que ces failles sont référencées CVE-2026-102489 et CVE-2026-102490 et que, combinées, elles ont permis un détournement de session, l'exécution de code à distance et une élévation jusqu'au compte root. Selon DIVD, l'attaque a duré quelques secondes, parce que l'agent a agi sans intervention humaine.

Le détail qui compte le plus n'est pas la vitesse. C'est la trace laissée par l'agent. DIVD explique avoir pu reconstituer l'incident parce que l'agent consignait des explications claires de ses propres décisions, fournissant de fait un relevé complet aux enquêteurs. « Utilisées ensemble, elles ont permis aux attaquants de détourner des sessions, d'exécuter du code à distance et d'élever leurs privilèges du compte utilisateur Zammad jusqu'à root, en quelques secondes, à cause de la partie agentique de cette attaque », indique DIVD. L'organisation attribue l'arrêt de la progression à la segmentation de son réseau et précise que l'enquête se poursuit.

Pourquoi cela touche le terrain de la désinformation

La recherche sur la désinformation et la réponse aux incidents de sécurité reposent de plus en plus sur la même infrastructure. Les listes de diffusion, les files de tickets, les disques partagés et les passerelles de messagerie que les chercheurs utilisent pour se coordonner sont exactement les systèmes qu'un agent autonome sonde en premier. Selon BleepingComputer, Zammad revendique dans sa communication plus de 2 000 clients et 55 000 utilisateurs, dont De'Longhi, Amnesty International et NextCloud. Une seule instance non corrigée n'est donc pas qu'un problème informatique. C'est un point d'appui potentiel pour quiconque veut lire, modifier ou divulguer les documents de travail d'organisations qui documentent les campagnes de désinformation.

La correction recommandée par DIVD est sans détour : passer à la version 7, qu'elle juge sûre, ou mettre l'instance hors ligne dès que possible. L'association indique avoir découvert les vulnérabilités avec Merlon Security et prévient les autres utilisateurs d'instances exposées. Elle promet de nouvelles informations le 1er octobre.

Cette intrusion s'inscrit dans une série d'incidents à la vitesse de l'IA que les équipes de sécurité commencent seulement à intégrer. La même semaine, InfoQ a ouvert les inscriptions à deux sessions en ligne de cinq semaines, AI Security & Privacy Engineering à partir du 26 octobre et AI-Assisted Engineering à partir du 19 octobre. Toutes deux partent du même problème : un agent peut modifier un système plus vite qu'un processus de revue ne peut le rattraper. Katharine Jarmul, qui anime la session sur la sécurité, a résumé l'enjeu dans l'annonce d'InfoQ : « Une revue de sécurité de l'IA doit suivre les données et les décisions dans tout le système. » Zichuan Xiong, de Thoughtworks, co-animateur de la session d'ingénierie, a posé la version opérationnelle de la même question : « Un agent de codage peut modifier quelque chose rapidement, mais la question plus difficile est ce qu'il était autorisé à faire et comment nous savons que la modification est saine. »

Les agents obtiennent leurs propres réseaux

Pendant ce temps, l'outillage pour les agents mûrit plus vite que la gouvernance qui l'entoure. Tailscale a publié le 30 septembre un guide technique montrant comment Muse, le nouvel agent personnel de Meta, rejoint le tailnet privé d'un utilisateur comme un nœud à part entière, affiche l'état des autres machines et peut arbitrer une session Tailscale SSH. Le design annoncé par Meta repose sur une machine virtuelle Linux isolée par défaut des données utilisateur et des services externes, avec des connecteurs pour l'agenda, les contacts, les objets connectés de la maison, Gmail, Outlook et Spotify. Tailscale souligne le risque évident : un agent qui voit les services auto-hébergés et peut utiliser SSH sur un tailnet, ce n'est pas la même chose qu'un chatbot.

Ailleurs, un développeur indépendant a publié le 30 septembre OpenDLSS-NR, une réimplémentation en Vulkan du réseau de rendu neuronal DLSS 5 de Nvidia. L'auteur affirme qu'elle est identique bit à bit à l'original, avec un second portage WebGPU qui exécute les mêmes poids dans un navigateur sans cœurs tensoriels. C'est un projet de rendu, pas de sécurité, mais il illustre la même tendance : des pipelines propriétaires complexes sont reconstruits ouvertement, rapidement, par de petites équipes.

Sur cette toile de fond, les articles plus anciens du lot de cette semaine rappellent depuis combien de temps dure le problème de la désinformation. La chronique de Big Think du 29 septembre sur le retour des cartes de webcams est une petite étude de cas montrant comment des données ouvertes banales deviennent une infrastructure de surveillance. Un site de rencontre lancé le 29 septembre, Stella Amor, se vend sur des filtres liés aux finances, à la foi et aux pratiques sexuelles. Les données personnelles sont bien la matière première de la publicité ciblée comme de l'ingénierie sociale. Et un entretien de neurosciences computationnelles publié le 30 septembre sur les réseaux de neurones à impulsions rappelle que les modèles sous-jacents continuent de progresser, quoi qu'on en fasse.

Le point commun n'est pas que l'un de ces éléments soit un réseau de désinformation. C'est que la couche de coordination, les systèmes de ticketing, les tailnets, les cadres d'agents, voilà où les campagnes de désinformation et les incidents de sécurité se recoupent désormais. DIVD l'a appris à ses dépens, et il a les journaux pour le prouver.