Deux incidents IA, un même problème de confiance
La leçon n’est pas qu’il faut abandonner les assistants IA. Elle est plus exigeante: le modèle de confiance qui les entoure n’est pas encore aligné sur le niveau d’accès qu’ils reçoivent. Cursor a indiqué que les versions malveillantes 2.1.312 et 2.1.313 de Anthropic.claude-code avaient été disponibles dans son VS Code Extension Marketplace pour Windows et macOS le 29 octobre 2026, d’environ 2 h 27 à 13 h 35, heure du Pacifique . Dans le même cycle d’actualité, les chercheurs de Parameter ont décrit une faille des liens partagés ChatGPT permettant à du JavaScript contrôlé par un attaquant de s’exécuter dans la session connectée de la victime et de lire des conversations privées; OpenAI l’a corrigée le 26 octobre et classée P1 .
Les deux attaques n’ont pas la même mécanique. Dans Cursor, il s’agit d’un compromis de chaîne d’approvisionnement via une extension d’éditeur. Dans ChatGPT, il s’agit d’une rupture d’isolation dans une interface web conversationnelle. Mais leur point commun est net: les outils IA sont souvent traités comme des logiciels de productivité fiables alors qu’ils opèrent dans des zones où la confiance devrait être limitée, surveillée et régulièrement réévaluée.
Ce qui s’est passé dans Cursor
Selon l’avis de Cursor, les builds Claude Code malveillants n’ont pas été développés par Anthropic et concernaient une extension précise du Cursor VS Code Extension Marketplace . L’extension modifiée tentait d’installer une porte dérobée SSH persistante, de collecter des informations sur l’hôte et l’utilisateur, d’ajouter une clé SSH contrôlée par l’attaquant dans authorized_keys, d’activer le service SSH local et d’ouvrir un tunnel SSH inverse . Elle tentait aussi d’installer de la persistance via un LaunchAgent sur macOS ou une tâche planifiée Windows avec script de démarrage en secours, en relançant le tunnel environ toutes les 60 secondes .
L’analyse de Microsoft confirme que le JavaScript injecté s’exécutait avant le code attendu de l’extension et utilisait les API Node.js pour collecter des données de l’hôte, modifier des fichiers et lancer des commandes du système d’exploitation . Microsoft précise également que les paquets malveillants n’ont pas été publiés ni distribués depuis le Microsoft Visual Studio Marketplace ou le canal npm, et qu’Anthropic a confirmé à Microsoft que ses systèmes n’avaient pas été compromis et qu’elle n’avait pas développé le paquet malveillant publié dans Cursor . Cette correction est importante: le périmètre confirmé renvoie au canal de distribution du marketplace de Cursor, pas à tous les modes de distribution de Claude Code.
Le risque pour les postes de développement reste pourtant élevé. Cursor recommande aux utilisateurs ayant installé ou mis à jour les versions 2.1.312 ou 2.1.313 pendant la fenêtre d’exposition de rechercher la clé SSH svc-telemetry, d’isoler les machines touchées, de supprimer les mécanismes de persistance et les processus de tunnel, puis de renouveler les identifiants et sessions accessibles depuis ces machines . BleepingComputer rapporte que jusqu’à 5 000 développeurs pourraient avoir été exposés, et que même lorsque la configuration SSH échouait, le logiciel malveillant pouvait toujours installer des clés, établir de la persistance et envoyer des données de reconnaissance comme le nom d’utilisateur, le nom d’hôte, l’adresse IP publique, l’e-mail Git et des noms de variables d’environnement sensibles .
Un détail est presque rassurant: des erreurs de code et l’absence de privilèges ont probablement limité le nombre de machines où un accès SSH distant complet était possible. Cursor indique que l’activation du service SSH local exigeait des droits administrateur que l’extension malveillante n’avait généralement pas, et BleepingComputer cite une analyse selon laquelle les routines SSH défectueuses ont probablement empêché l’accès sur de nombreux systèmes Windows et macOS . Mais une porte dérobée qui échoue partiellement ne rend pas la machine saine. Un poste de développeur ayant exécuté le paquet peut contenir du code source, des clés de déploiement, des jetons cloud et des sessions sensibles.
Pourquoi l’affaire devient un sujet de gouvernance
Morphisec résume bien le problème: l’outil était réel, l’identité de l’éditeur semblait réelle et l’installation provenait d’un marketplace officiel; le problème était ce que le build faisait une fois lancé . C’est précisément pour cela que l’incident dépasse le simple ticket de nettoyage endpoint et doit entrer dans les discussions de gouvernance de la chaîne logicielle.
Beaucoup d’organisations approuvent les outils par leur nom: Cursor, Claude Code, extensions compatibles VS Code, intégrations GitHub, assistants de terminal. Or les assistants de code IA ne sont pas de simples utilitaires bureautiques. Ils vivent à côté des dépôts, gestionnaires de paquets, shells locaux, secrets CI/CD et accès de production. Une extension empoisonnée dans cet environnement ne menace pas seulement un profil applicatif. Elle peut devenir un pont vers le code, la chaîne de build et les identifiants de déploiement de l’entreprise.
L’incident montre aussi les limites des listes d’autorisation fondées sur la réputation. Si un build malveillant arrive sous un nom d’extension légitime, une règle disant « Claude Code est autorisé » ne suffit plus. Les entreprises doivent aussi contrôler ce que l’outil fait à l’exécution. Une extension de codage IA n’a pas de raison légitime d’écrire silencieusement dans des fichiers d’autorisation SSH, de créer une tâche ressemblant à un moniteur système ou d’ouvrir un tunnel inverse vers un serveur inconnu. Ce sont des signaux comportementaux, pas des signaux de marque.
La faille des liens partagés ChatGPT
La faille ChatGPT illustre la même leçon côté navigateur. Selon The Hacker News, Parameter a montré qu’une conversation publique ChatGPT partagée pouvait exécuter du code attaquant dans la session connectée de la personne qui l’ouvrait, lister les conversations récentes, ouvrir une conversation privée jamais partagée et en envoyer une petite partie vers un serveur contrôlé par les chercheurs . L’attaque ne demandait pas à la victime d’installer un logiciel, de rejoindre un espace de travail ni de s’authentifier auprès de l’attaquant .
La chaîne décrite passait d’un HTML Preview isolé vers la page ChatGPT de confiance grâce à une autre fonctionnalité de la même conversation: un graphique interactif chargeant MathLive dans la page principale . Un écouteur de messages MathLive acceptait des messages modifiant l’état sans vérifier correctement l’expéditeur, autorisait du HTML brut comme données de clavier virtuel, puis permettait à ce HTML de créer une frame héritant de l’identité chatgpt.com . La politique de sécurité de contenu de ChatGPT bloquait le code inline, mais une route de script YouTube a fourni l’étape finale d’exécution .
OpenAI a reproduit l’exécution JavaScript et la preuve de lecture de conversation privée, élevé la sévérité de P2 à P1, puis déployé un correctif sur deux versions du frontend web de ChatGPT; au 26 octobre, les deux versions rejetaient les messages exploités par l’attaque . Le résumé de DigitBin indique qu’aucune exploitation réelle n’a été signalée, que le correctif était côté serveur et que les utilisateurs n’avaient rien à installer ni à réinitialiser .
Le lien inoffensif voulait les droits root
La plaisanterie s’impose: apparemment, le marketplace avait besoin d’un CAPTCHA plus robuste pour le cheval de Troie, et le lien inoffensif voulait les droits root. Le fond du sujet est sérieux: les interfaces IA mélangent désormais des domaines de sécurité qui étaient auparavant plus faciles à séparer. Un partage de conversation n’est pas seulement du texte s’il peut rendre des aperçus, des graphiques, des frames et des scripts. Une extension de codage n’est pas seulement un confort d’éditeur si elle peut toucher aux clés SSH et lancer des commandes système.
La réponse des entreprises doit être concrète. D’abord, vérifier la provenance au niveau du paquet, de la version et de la source, pas seulement au nom de l’outil. Ensuite, journaliser et surveiller les événements d’installation et de mise à jour automatique des extensions. Puis limiter ce que les assistants de code et leurs extensions peuvent faire aux magasins d’identifiants, à la configuration SSH, à l’exécution shell et aux sorties réseau. Enfin, traiter les liens de conversations IA partagées comme du contenu web non fiable tant que la plateforme n’a pas démontré une isolation solide entre toutes ses fonctionnalités.
Les incidents Cursor et ChatGPT ont été corrigés ou perturbés rapidement. Mais la faille de confiance qu’ils révèlent reste ouverte. Les assistants IA deviennent à la fois navigateurs, terminaux, relecteurs de code et couches d’automatisation. C’est ce qui les rend utiles. C’est aussi ce qui transforme chaque fiche de marketplace, chaque panneau d’aperçu et chaque lien partagé en surface d’attaque d’entreprise.
Commentaires
Sois le premier à commenter.