Menu

Approval gate bypass : quand l’humain dans la boucle n’est qu’un return True

Catégories

Tags

🔍 Licence d'Utilisation 🔍

Sauf mention contraire, le contenu de ce blog est sous licence CC BY-NC-ND 4.0.

© 2025 à 2042 Sébastien Gioria. Tous droits réservés.

⏱️
Temps de lecture estimé
2 min de lecture
⏱️
Temps de lecture estimé
~11 minutes

Entre la mi-octobre et ce début novembre 2026, le NVD a publié une quinzaine de CVE notées 7.5 ou plus sur l’écosystème des agents IA. Trois d’entre elles disent la même chose : la validation humaine qu’on vend comme garde-fou est une fonction Python, et chez OpenSRE elle renvoie True quand personne ne regarde. Pas d’exploitation connue, pas de KEV ; une classe de défaut, pas une campagne.

Note du PandaRedacteur : je prends le 7.5 CVSS car c’est majoritairement a partir de ce CVSS que tous les CISO réagissent….

Voici la fonction, telle qu’elle existe encore ce matin sur la branche main d’OpenSRE quand l’agent tourne sans terminal :

def execution_allowed(self, policy, *, action_summary) -> bool:
    _ = (policy, action_summary)
    return True

Deux lignes. La première jette les arguments pour faire taire le linter. La seconde dit oui. C’est le « human in the loop » d’un agent SRE qui lit vos alertes, vos messages Slack, et qui sait lancer shell_run sur l’hôte.

Quinze jours de flux NVD passés au tamis (CVSS 7.5 et plus, tout ce qui touche un agent, un serveur MCP ou une brique d’inférence), et il en sort une quinzaine de CVE. Aucune n’est au catalogue KEV de la CISA, l’EPSS plafonne autour de 0,01, et je n’ai trouvé trace d’aucune exploitation. Pas de vague d’attaques à vous vendre, donc. Mais mises bout à bout, ces fiches racontent un même défaut de conception : on appelle « garde-fou » quelque chose qui n’est qu’un if.

Note du PandaRedacteur: j’avoue j’ai utilisé Claude + Codex pour faire cette recherche assez laborieuse sur les flux du NVD…

Au menu de la version abonnés Substack

La suite est réservée aux abonnés Substack (l’abonnement est gratuit). Vous y retrouvez :

  • les sept vecteurs, couche par couche : OpenSRE, EvoScientist, LangAlpha, OpenHands, sf-mcp, Kali-GPT, SurrealDB, LMDeploy et vLLM, avec le contre-exemple n8n ;
  • le scénario de l’astreinte du dimanche, en six étapes ;
  • l’analyse STRIDE et le tableau d’impact détaillés ;
  • les huit mitigations, reliées aux étapes du scénario, avec les correctifs confirmés et ceux qui manquent encore.
📬 La suite est réservée aux abonnés Substack
L'article complet est publié sur Substack, réservé aux abonnés Substack (l'abonnement est gratuit).
À retenir 📌

  • ✓ Fail-closed et point de décision unique : pas d'approbateur, pas d'exécution ; et tout chemin d'exécution passe par le même contrôle.
  • ✓ Le sandbox n'est une frontière que s'il est fermé : OpenHands SDK écoutait sur 0.0.0.0 sans clé ; LangAlpha gardait le coffre de secrets à l'intérieur.
  • ✓ À patcher maintenant : EvoScientist 0.2.5, OpenHands SDK 1.52.0, SurrealDB 3.3.0, vLLM 0.32.0, n8n 2.42.6 / 2.43.3 / 3.0.1 ; isoler OpenSRE, LangAlpha, LMDeploy, Kali-GPT et sf-mcp tant qu'aucun correctif n'est confirmé.
LinkedIn Reddit Substack