Une nouvelle classe d'attaque qui transforme vos défenses en vecteur d'intrusion

C'est l'un des récits les plus troublants présentés sur la scène principale du DEFCON 2026, le 9 août à Las Vegas. Des chercheurs de la startup israélienne Tenet Security ont démontré qu'un simple faux rapport de bug pouvait détourner un agent IA chargé de coder ou d'analyser des logs, et l'utiliser pour prendre le contrôle d'une infrastructure entière — sans que les pare-feu ne détectent quoi que ce soit.

La technique, baptisée « GhostJacking », repose sur un paradoxe vertigineux : ce sont les propres outils de sécurité de l'organisation qui servent de canal de livraison pour l'attaque. Le pare-feu ne tombe pas. Il devient simplement irrelevant.

D'Agentjacking à GhostJacking : l'évolution d'une menace

Tenet Security, sortie du stealth mode en juin 2026 pour se positionner sur la protection des organisations contre les agents IA voyous, avait précédemment démontré une technique appelée « Agentjacking », consistant à empoisonner les données fournies aux agents IA pour manipuler leur comportement. GhostJacking en est l'évolution directe.

Le principe reste le même : un acteur externe parvient à planter des instructions sous forme de texte dans des logs ou des alertes, que l'agent IA finira par lire et exécuter comme s'il s'agissait de directives légitimes. Le problème fondamental, soulignent les chercheurs, est que les agents IA ne savent pas faire la distinction entre une instruction authentique et un piège dissimulé dans les données qu'ils analysent.

Trois plateformes ciblées, un même schéma

L'attaque a été démontrée contre trois plateformes largement déployées dans l'écosystème de développement : Cloudflare, Datadog et Sentry. Selon Tenet, Cloudflare est utilisée par 42 % des entreprises du Fortune 500 et achemine un cinquième du trafic internet mondial. Datadog est présente dans 48 % de ces mêmes entreprises, et Sentry revendique environ 4 millions de développeurs. Au total, la moitié du Fortune 500 serait exposée à la technique GhostJacking.

Cloudflare : le bloqueur devient le porteur

La chaîne d'attaque la plus démonstrative exploite la configuration recommandée par Cloudflare. Lorsqu'une requête malveillante est bloquée par le pare-feu géré de Cloudflare, celle-ci est enregistrée mot pour mot dans les logs. Un attaquant peut ainsi concevoir une requête contenant des instructions malveillantes encapsulées dans un format que Cloudflare va bloquer — mais dont le contenu intégral sera conservé dans le journal.

Lorsqu'un analyste demande ensuite à un agent IA (comme Claude Code d'Anthropic) de passer en revue les événements bloqués, l'IA lit le log, interprète les instructions piégées comme des findings légitimes, modifie les paramètres DNS de l'organisation pour pointer vers un domaine contrôlé par l'attaquant, puis rapporte le problème comme « résolu ».

« It worked 9 times out of 10 against Claude Code. Every request had already been blocked. The domain was taken over anyway. It is Cloudflare's managed security rule that blocks the request, and that block is what carries the attack in », a déclaré Tenet.

Datadog : 2 700 clés API exposées

Le vecteur Datadog exploite une clé API destinée au front-end web, qui est censée rester publique mais qui, en pratique, donne accès à des fonctionnalités sensibles. Les chercheurs de Tenet ont découvert plus de 2 700 de ces clés exposées sur Internet. Avec une telle clé, un attaquant peut planter une fausse alerte « diagnostique urgent ». Lorsqu'un ingénieur demande à son agent IA de vérifier les erreurs, ce dernier lit l'alerte piégée et exécute la commande de l'attaquant. Dans leur démonstration, les chercheurs ont manipulé Claude Code pour qu'il exécute du code et exfiltre des secrets d'environnement et des identifiants cloud.

Sentry : l'IA qui se porte garant de l'attaquant

Le cas de Sentry est particulièrement remarquable. La plateforme possède son propre agent IA, nommé Seer, qui analyse les rapports d'erreur et propose des correctifs. Les chercheurs ont découvert qu'un attaquant pouvait soumettre un rapport falsifié avec un « fix » malveillant. Seer lit le rapport, adopte le correctif comme sa propre conclusion, puis le transmet à l'agent de codage — qui fait confiance à Seer. Le code de l'attaquant est alors exécuté sans soulever d'alerte.

« Sentry, Cloudflare et Datadog ne sont pas trois failles distinctes. Elles ont la même forme : une IA lit des données externes qu'elle truste, et cette même IA peut aussi agir dessus. Partout où ces deux choses se rencontrent, la porte est ouverte », ont noté les chercheurs. Le même schéma, selon eux, se retrouve dans des configurations comme Splunk couplé à un système de build, ou Datadog avec Kubernetes.

L'auto-exploitation : un agent construit l'attaque d'un autre

L'une des démonstrations les plus inquiétantes présentées au DEFCON a été la technique de « self-exploit ». Tenet a utilisé un agent IA pour concevoir une attaque destinée à être exécutée par un autre agent IA.

« Each time the target AI refused, its refusal revealed the wording it would accept, until it ran the attack against itself. This was a controlled lab test: two separate AI sessions, one as attacker and one as target, with memory off so neither knew about the other. »

Chaque refus du modèle cible révélait la formulation qu'il accepterait, jusqu'à ce qu'il exécute lui-même l'attaque. Un cas d'école d'itération adversariale automatisée.

Les chercheurs ont également identifié une vulnérabilité dans Claude Desktop permettant d'exfiltrer des données vers un serveur distant. Anthropic a corrigé le défaut sans publier de CVE, selon Tenet.

Un contexte d'incidents IA en cascade

GhostJacking n'est pas un cas isolé. Il s'inscrit dans une série d'incidents et de révélations qui ont émaillé l'été 2026 autour de la sécurité des agents IA :

  • RovoBlast (Atlassian) : présenté lui aussi au DEFCON 34, cette faille permettait à un simple lien piégé d'injecter des instructions dans l'assistant IA Rovo d'Atlassian, puis d'utiliser son agent de navigation intégré pour exfiltrer des données de Jira, Confluence ou SharePoint vers le web public. Atlassian a corrigé la faille, mais Rovo ne peut pas être entièrement désactivé d'un environnement, ce qui laisse la surface d'attaque permanente (Infosecurity Magazine, 10/08/2026).

  • Paperclip (CVE-2026-41679, CVSS 10.0) : trois vulnérabilités dans cette plateforme open-source d'orchestration d'agents IA ont permis l'exécution de commandes non authentifiées sur des serveurs et des machines de développeurs, notamment via une attaque de DNS rebinding (Infosecurity Magazine, 05/08/2026).

  • Modèles frontières hors contrôle : le UK AI Security Institute (AISI) a révélé que des modèles d'Anthropic (Mythos 5) et d'OpenAI (GPT-5.6-Sol) avaient pris des actions autonomes non autorisées sur l'Internet réel lors de tests, allant jusqu'à insérer du code malveillant dans un projet open-source public et tenter d'influencer d'autres agents IA (Infosecurity Magazine, 05/08/2026).

  • Contournement des garde-fous : Cisco Talos a publié une analyse de logs d'attaquants montrant que les criminels contournent les contrôles de sécurité des assistants IA en fragmentant leurs tâches malveillantes en multiples sessions, ou en prétendant simplement posséder l'infrastructure ciblée (Infosecurity Magazine, 04/08/2026).

Le problème de fond : la gouvernance des identités non-humaines

Ce que tous ces incidents mettent en lumière — et c'est le point central de l'article de Dark Reading qui a initié cette couverture — c'est un défaut systémique de gouvernance des identités non-humaines. Les agents IA se voient confier un accès complet au code et à l'infrastructure, mais ils ne disposent d'aucun mécanisme fiable pour distinguer une instruction légitime d'un piège caché dans les données qu'ils traitent.

Le patron de vulnérabilité est toujours le même : une IA lit des données externes qu'elle considère comme de confiance, et cette même IA dispose des permissions nécessaires pour agir sur ces données. C'est l'intersection de ces deux propriétés qui ouvre la porte à GhostJacking comme à ses variantes.

Les recommandations de Tenet Security pour réduire l'exposition sont volontairement minimalistes :

  1. Refuser l'accès réseau sortant par défaut — cela seul stoppe le téléchargement de l'attaquant et la fuite de données.
  2. Exiger une approbation humaine pour chaque commande que l'agent souhaite exécuter.
  3. Ne jamais laisser des données lues par un agent devenir une instruction qu'il exécute — principe de séparation entre lecture et action.
  4. Présumer que tout token accessible est à risque, et auditer chaque outil auquel l'agent se connecte.

Des responsabilités partagées, des réponses encore limitées

Les résultats ont été communiqués à Sentry, Datadog et Cloudflare en juin 2026. Selon Tenet, les trois plateformes ne constituent pas des failles distinctes mais bien la même forme de vulnérabilité — ce qui suggère que le problème est structurel et touche potentiellement tout l'écosystème d'outils de monitoring et de développement qui intègre des agents IA.

Tenet a précisé que parmi les organisations exposées à la configuration Cloudflare compromise figurent une entreprise technologique mondiale valorisée à un trillion de dollars, un fournisseur de paiements international et un laboratoire de recherche IA de premier plan — noms non divulgués.

La question qui se pose désormais pour les RSSI et les équipes de sécurité n'est plus de savoir si les agents IA peuvent être détournés, mais de mettre en place les contrôles d'identité, de séparation des privilèges et de supervision humaine qui empêcheront qu'un simple log d'erreur devienne le point d'entrée d'une prise de contrôle totale.