Un dossier connect\u00e9, un message envoy\u00e9, et l\u2019agent d\u2019Anthropic s\u2019est promen\u00e9 dans l\u2019int\u00e9gralit\u00e9 du disque. Aucune fen\u00eatre d\u2019autorisation, aucune alerte.<\/p>\n
Les agents<\/a> qui \u00e9crivent du code reposent tous sur la m\u00eame promesse\u00a0: on les enferme dans un espace clos, on leur ouvre l\u2019acc\u00e8s \u00e0 un dossier pr\u00e9cis, et on les laisse travailler l\u2019esprit tranquille. Des chercheurs en s\u00e9curit\u00e9 viennent de d\u00e9montrer que chez l\u2019agent de bureau d\u2019Anthropic<\/a>, cet espace clos tenait davantage de la ligne trac\u00e9e au sol que du mur porteur. Ils ont raccord\u00e9 un dossier \u00e0 une session neuve, envoy\u00e9 un message court, et regard\u00e9 l\u2019agent sortir.<\/p>\n Le Mac entier \u00e9tait d\u00e9j\u00e0 \u00e0 l\u2019int\u00e9rieur du bac \u00e0 sable <\/p>\n L\u2019application macOS lance une machine virtuelle Linux et y installe l\u2019agent sous un compte d\u00e9pourvu de privil\u00e8ges, ce qui ressemble \u00e0 une pr\u00e9caution s\u00e9rieuse. Un cran en dessous, la m\u00e9canique est nettement moins rassurante\u00a0:\u00a0la racine du Mac est mont\u00e9e dans cette machine virtuelle en lecture et en \u00e9criture, accessible au seul superutilisateur du syst\u00e8me invit\u00e9. Le coffre de la banque \u00e9tait donc pos\u00e9 dans le hall d\u2019accueil, avec pour unique protection le fait que la cl\u00e9 soit rang\u00e9e en hauteur.<\/p>\n Lire aussi\u00a0: Claude Opus 5 \u2013 ce qu\u2019Anthropic ne vous a pas dit sur sa nouvelle IA<\/a><\/p>\n La session pouvait cr\u00e9er un espace de noms r\u00e9seau, en tirer une capacit\u00e9 d\u2019administration, puis d\u00e9clencher le chargement automatique d\u2019un module du noyau Linux affect\u00e9 par une faille publique. Superutilisateur obtenu c\u00f4t\u00e9 machine virtuelle, tout devenait lisible et modifiable avec les droits de l\u2019utilisateur connect\u00e9 : cl\u00e9s SSH, identifiants de services en ligne\u00a0et le reste du disque, tr\u00e8s au-del\u00e0 du dossier initialement partag\u00e9.<\/p>\n Anthropic a pr\u00e9f\u00e9r\u00e9 d\u00e9placer le probl\u00e8me plut\u00f4t que le corriger <\/p>\n Le signalement est arriv\u00e9 chez Anthropic, qui l\u2019a class\u00e9 en \u00ab\u00a0informatif\u00a0\u00bb\u00a0sans publier de correctif de code. La version suivante de l\u2019outil bascule par d\u00e9faut l\u2019ex\u00e9cution vers les serveurs de l\u2019entreprise, ce qui referme le chemin d\u2019attaque local sans rien changer pour celles et ceux qui continuent de travailler sur leur machine. Le d\u00e9tail qui pique se trouve dans la parade recommand\u00e9e par les chercheurs, \u00e0 savoir emp\u00eacher le chargement automatique des modules inutiles. Elle est d\u00e9j\u00e0 appliqu\u00e9e dans l\u2019outil pour un autre module, pr\u00e9cis\u00e9ment pour fermer une faille ant\u00e9rieure. Le motif existait dans l\u2019image, il n\u2019a simplement pas \u00e9t\u00e9 \u00e9tendu.<\/p>\n L\u2019entreprise Accomplish AI, \u00e0 l\u2019origine de la d\u00e9couverte, avance le chiffre de 500\u00a0000 utilisateurs macOS concern\u00e9s avant la bascule, une estimation qu\u2019elle est seule \u00e0 porter. Aucune exploitation r\u00e9elle n\u2019a par ailleurs \u00e9t\u00e9 constat\u00e9e, il s\u2019agit d\u2019une d\u00e9monstration men\u00e9e en laboratoire et non d\u2019une campagne en cours.<\/p>\n \ud83d\udc49\ud83c\udffb Suivez l\u2019actualit\u00e9 tech en temps r\u00e9el\u00a0: ajoutez 01net \u00e0 vos sources sur Google<\/a>, et abonnez-vous \u00e0 notre canal WhatsApp<\/a>.<\/p>\n