Tenet Security a présenté la chaîne d’attaque « GhostJacking » sur la scène principale de DEF CON 34, le 9 août. Une requête bloquée par Cloudflare a été enregistrée dans le journal avec un en-tête User-Agent empoisonné par l’attaquant. L’agent de codage fondé sur l’IA qui a examiné ces données a pris le texte de l’attaquant pour une instruction et a effectué une modification DNS à l’aide des identifiants auparavant fournis par l’entreprise. Lors du test de Tenet, Claude Code on Sonnet 4.6 a suivi cette instruction dans neuf tentatives sur 10 avec la configuration recommandée de Cloudflare.
Lors de l’attaque, le pare-feu a fonctionné ; cependant, l’agent pouvait à la fois lire les données auxquelles les attaquants avaient accès et modifier les systèmes indiqués par ces données. Tenet a identifié des éléments publics prouvant qu’une telle configuration était présente dans 48 organisations, dont six entreprises Fortune 500 confirmées. SecurityWeek a également rapporté que des chaînes similaires avaient été signalées chez Datadog et Sentry.
Steve Wilson, co-responsable du projet OWASP Top 10 for LLM Applications, a recommandé de placer une barrière d’autorisation en dehors du modèle. L’agent devrait pouvoir proposer une modification, mais ne devrait pas pouvoir approuver seul des opérations à fort impact ; les opérations ambiguës devraient être soumises à l’approbation d’une personne désignée. Selon Wilson, les règles de sécurité écrites dans les prompts peuvent orienter le comportement, mais ne constituent pas des contrôles de sécurité applicables. Lors de la démonstration, Cursor a été utilisé par l’intermédiaire de l’intégration GraphQL et de l’API Cloudflare.
Pourquoi c’est important
Cette constatation montre qu’un pare-feu ne suffit pas nécessairement à lui seul pour sécuriser les agents de codage dotés d’IA : l’agent peut non seulement lire les enregistrements auxquels l’attaquant a accès, mais aussi effectuer des opérations sur les systèmes vers lesquels ils pointent. Cette situation concerne directement les organisations qui fournissent à l’agent des identifiants prédéfinis et des accès API, car un contenu malveillant peut être considéré comme une instruction interne fiable. Le fait que les éléments de preuve accessibles au public indiquent des configurations similaires dans différentes organisations montre que le problème ne peut pas être réduit à un seul produit ou à une seule expérimentation. La question fondamentale qui reste ouverte est de savoir par quelle couche d’autorisation technique les modifications à fort impact seront séparées de l’agent. Sans approbation humaine ni contrôles applicables, les règles de sécurité définies dans les prompts n’offrent pas à elles seules une protection suffisante.