Lorsqu’il était exécuté en tant qu’action GitHub, Claude Code pouvait analyser du contenu non fiable provenant de pull requests, de tickets et de commentaires. Pour empêcher les instructions malveillantes dissimulées dans ce contenu d’exécuter des commandes, Anthropic avait mis en place un nettoyage de l’environnement pour l’outil Bash, en utilisant des techniques d’isolation comme Bubblewrap .

Cependant, l’outil « Read » – qui permet au modèle de lire le contenu des fichiers – ne bénéficiait d’aucune isolation de ce type. Il fonctionnait comme un appel de fonction interne avec un accès direct à l’ensemble du système de fichiers, y compris le fichier virtuel Linux /proc/self/environ, qui expose l’intégralité des variables d’environnement du processus .

Une attaque pouvait se dérouler en quelques étapes discrètes :

1. Un attaquant ouvre un ticket ou une pull request d’apparence anodine dans un dépôt public utilisant l’action GitHub Claude Code.
2. Le corps du ticket ou un commentaire HTML contient des instructions destinées à l’agent IA, invisibles pour un relecteur humain.
3. Lorsque le workflow est déclenché, le modèle traite le contenu et suit les instructions intégrées pour lire /proc/self/environ .
4. Le modèle peut ensuite être chargé d’exfiltrer les données, par exemple en les publiant dans un commentaire. Les chercheurs ont noté un raffinement où l’attaque supprimait les sept premiers caractères (sk-ant-) de la clé ANTHROPIC_API_KEY afin d’éviter les détecteurs automatiques de secrets .

Cette surface d’attaque – où des instructions en langage naturel injectées dans des données deviennent des commandes exécutables – est au cœur de l’injection de prompt, un vecteur de menace qui redéfinit rapidement le paysage de la sécurité pour les agents IA.

Un correctif préventif : la chronologie de la divulgation

Un détail crucial est qu’il s’agissait d’une divulgation coordonnée où le correctif a précédé l’annonce.

• 5 mai 2026 : Anthropic publie Claude Code 2.1.128, qui corrige la vulnérabilité en alignant l’isolation de l’outil Read sur le nettoyage déjà appliqué aux autres chemins d’exécution .
• 5 juin 2026 : Microsoft publie son analyse détaillée de la menace, utilisant cette étude de cas pour formuler des recommandations de sécurité urgentes pour l’ensemble de l’industrie .

Au-delà d’un simple bug : sept nouvelles façons de faire défaillir l’IA agentique

Cette divulgation est intervenue dans un contexte d’évaluation de sécurité plus large. La veille, le 4 juin 2026, la Red Team IA de Microsoft publiait la version 2.0 de sa Taxonomie des modes de défaillance dans les systèmes d’IA agentique . Cette mise à jour majeure, basée sur douze mois d’exercices réels de red teaming contre des agents en production, a ajouté sept catégories de défaillance entièrement nouvelles.

Ces nouveaux modes représentent une escalade significative dans la manière dont les chercheurs en sécurité pensent les systèmes autonomes :

1. Compromission de la chaîne d’approvisionnement agentique : Contrairement aux attaques traditionnelles qui livrent du code malveillant, il s’agit de plugins, de serveurs MCP (Model Context Protocol) ou de modèles de prompt compromis qui injectent des instructions en langage naturel pour modifier le comportement d’un agent sans déclencher les scanners de code .
2. Détournement d’objectif (Goal Hijacking) : Un adversaire élabore des instructions qui semblent aider à accomplir une tâche légitime, mais qui redirigent silencieusement l’objectif final de l’agent. D’un point de vue logiciel, l’agent n’est pas compromis, mais il a été détourné au profit de l’attaquant .
3. Escalade de confiance inter-agents : Dans les systèmes multi-agents, un agent compromis peut revendiquer à tort une identité de confiance plus élevée ou des permissions gonflées auprès d’un orchestrateur central qui ne les vérifie pas de manière indépendante. C’est une version en langage naturel du classique problème de l’« agent confus » .
4. Attaque visuelle sur agent utilisateur d’ordinateur (CUA) : Les agents qui opèrent des interfaces graphiques peuvent être manipulés par des informations visuelles non évidentes pour un humain, comme du texte caché, des éléments d’IU hors écran ou des images contenant une charge d’injection de prompt .
5. Contamination du contexte de session : Une attaque subtile où un adversaire introduit des informations biaisées ou malveillantes au début d’une longue session en plusieurs étapes. Ces données peuvent ne déclencher aucun contrôle à une étape donnée, mais corrompent le raisonnement de l’agent lors d’une action ultérieure, apparemment sans lien .
6. Abus de MCP / Plugin : Une focalisation mise à jour sur les surfaces d’attaque spécifiques au Model Context Protocol (MCP) et aux architectures de plugins, qui deviennent le moyen standard d’étendre les capacités des agents .
7. Divulgation de capacités / architecture : L’agent lui-même peut être amené à divulguer des détails internes sensibles – comme les schémas d’outils, les interfaces de mémoire ou la logique qui déclenche l’approbation humaine – fournissant à un attaquant un plan pour des attaques futures plus précises .

Cette taxonomie étendue a fait passer le cadre de 27 à 34 modes de défaillance, reflétant la complexité et l’empreinte réelle croissantes des systèmes agentiques .

Renforcer la CI/CD dans un monde agentique

En réponse au cas Claude Code et à la mise à jour plus large de la taxonomie, Microsoft a défini un ensemble de recommandations de sécurité pour toute équipe intégrant des agents IA dans ses pipelines de construction. Le message est clair : une isolation partielle est une fausse sécurité.

• Traiter tout contenu non fiable comme un vecteur d’injection : Ne jamais exécuter automatiquement un workflow d’agent IA sur des tickets, des PR ou des commentaires de contributeurs externes. Ce contenu doit être traité comme une entrée potentiellement hostile .
• Isoler les outils de manière cohérente : L’écart entre l’outil Bash isolé et l’outil Read non isolé a démontré que le nettoyage de l’environnement doit être appliqué uniformément. Un seul outil non protégé peut compromettre l’intégralité d’un workflow .
• Appliquer le principe du moindre privilège : Les clés API et les jetons d’accès de l’agent doivent avoir la portée la plus étroite possible, limitant les dégâts en cas d’exposition. Utiliser OIDC pour des informations d’identification éphémères et à portée limitée dès que possible .
• Auditer l’expérience de validation humaine : Les contrôles de sécurité qui dépendent d’une révision humaine peuvent échouer si la charge utile de l’attaque est cachée dans du Markdown brut ou des commentaires HTML que le réviseur ne voit jamais. L’étape d’approbation humaine n’est aussi solide que ce qui est rendu visible pour approbation .
• Inventorier la chaîne d’approvisionnement de l’agent : Les équipes doivent générer une nomenclature logicielle (SBOM) pour chaque agent déployé, reproduisant la visibilité sur la chaîne d’approvisionnement qui est désormais la norme pour les logiciels traditionnels .

Au cœur de ces recommandations se trouve un principe architectural fondamental que la communauté de la sécurité appelle la « Règle des Deux » (Rule of Two). Issue du cadre de Meta d’octobre 2025 pour la sécurité pratique des agents, cette règle stipule qu’un agent ne doit satisfaire pas plus de deux des trois conditions suivantes : traiter des entrées non fiables, avoir accès à des données sensibles, et posséder la capacité d’exécuter des actions qui modifient l’état externe . La vulnérabilité de Claude Code était une violation classique de ce principe, car l’agent gérait simultanément des entrées provenant d’une PR non fiable et détenait des informations d’identification puissantes.

Lorsqu’il était exécuté en tant qu’action GitHub, Claude Code pouvait analyser du contenu non fiable provenant de pull requests, de tickets et de commentaires. Pour empêcher les instructions malveillantes dissimulées dans ce contenu d’exécuter des commandes, Anthropic avait mis en place un nettoyage de l’environnement pour l’outil Bash, en utilisant des techniques d’isolation comme Bubblewrap .

Cependant, l’outil « Read » – qui permet au modèle de lire le contenu des fichiers – ne bénéficiait d’aucune isolation de ce type. Il fonctionnait comme un appel de fonction interne avec un accès direct à l’ensemble du système de fichiers, y compris le fichier virtuel Linux /proc/self/environ, qui expose l’intégralité des variables d’environnement du processus .

Une attaque pouvait se dérouler en quelques étapes discrètes :

1. Un attaquant ouvre un ticket ou une pull request d’apparence anodine dans un dépôt public utilisant l’action GitHub Claude Code.
2. Le corps du ticket ou un commentaire HTML contient des instructions destinées à l’agent IA, invisibles pour un relecteur humain.
3. Lorsque le workflow est déclenché, le modèle traite le contenu et suit les instructions intégrées pour lire /proc/self/environ .
4. Le modèle peut ensuite être chargé d’exfiltrer les données, par exemple en les publiant dans un commentaire. Les chercheurs ont noté un raffinement où l’attaque supprimait les sept premiers caractères (sk-ant-) de la clé ANTHROPIC_API_KEY afin d’éviter les détecteurs automatiques de secrets .

Cette surface d’attaque – où des instructions en langage naturel injectées dans des données deviennent des commandes exécutables – est au cœur de l’injection de prompt, un vecteur de menace qui redéfinit rapidement le paysage de la sécurité pour les agents IA.

Un correctif préventif : la chronologie de la divulgation

Un détail crucial est qu’il s’agissait d’une divulgation coordonnée où le correctif a précédé l’annonce.

• 5 mai 2026 : Anthropic publie Claude Code 2.1.128, qui corrige la vulnérabilité en alignant l’isolation de l’outil Read sur le nettoyage déjà appliqué aux autres chemins d’exécution .
• 5 juin 2026 : Microsoft publie son analyse détaillée de la menace, utilisant cette étude de cas pour formuler des recommandations de sécurité urgentes pour l’ensemble de l’industrie .

Au-delà d’un simple bug : sept nouvelles façons de faire défaillir l’IA agentique

Cette divulgation est intervenue dans un contexte d’évaluation de sécurité plus large. La veille, le 4 juin 2026, la Red Team IA de Microsoft publiait la version 2.0 de sa Taxonomie des modes de défaillance dans les systèmes d’IA agentique . Cette mise à jour majeure, basée sur douze mois d’exercices réels de red teaming contre des agents en production, a ajouté sept catégories de défaillance entièrement nouvelles.

Ces nouveaux modes représentent une escalade significative dans la manière dont les chercheurs en sécurité pensent les systèmes autonomes :

1. Compromission de la chaîne d’approvisionnement agentique : Contrairement aux attaques traditionnelles qui livrent du code malveillant, il s’agit de plugins, de serveurs MCP (Model Context Protocol) ou de modèles de prompt compromis qui injectent des instructions en langage naturel pour modifier le comportement d’un agent sans déclencher les scanners de code .
2. Détournement d’objectif (Goal Hijacking) : Un adversaire élabore des instructions qui semblent aider à accomplir une tâche légitime, mais qui redirigent silencieusement l’objectif final de l’agent. D’un point de vue logiciel, l’agent n’est pas compromis, mais il a été détourné au profit de l’attaquant .
3. Escalade de confiance inter-agents : Dans les systèmes multi-agents, un agent compromis peut revendiquer à tort une identité de confiance plus élevée ou des permissions gonflées auprès d’un orchestrateur central qui ne les vérifie pas de manière indépendante. C’est une version en langage naturel du classique problème de l’« agent confus » .
4. Attaque visuelle sur agent utilisateur d’ordinateur (CUA) : Les agents qui opèrent des interfaces graphiques peuvent être manipulés par des informations visuelles non évidentes pour un humain, comme du texte caché, des éléments d’IU hors écran ou des images contenant une charge d’injection de prompt .
5. Contamination du contexte de session : Une attaque subtile où un adversaire introduit des informations biaisées ou malveillantes au début d’une longue session en plusieurs étapes. Ces données peuvent ne déclencher aucun contrôle à une étape donnée, mais corrompent le raisonnement de l’agent lors d’une action ultérieure, apparemment sans lien .
6. Abus de MCP / Plugin : Une focalisation mise à jour sur les surfaces d’attaque spécifiques au Model Context Protocol (MCP) et aux architectures de plugins, qui deviennent le moyen standard d’étendre les capacités des agents .
7. Divulgation de capacités / architecture : L’agent lui-même peut être amené à divulguer des détails internes sensibles – comme les schémas d’outils, les interfaces de mémoire ou la logique qui déclenche l’approbation humaine – fournissant à un attaquant un plan pour des attaques futures plus précises .

Cette taxonomie étendue a fait passer le cadre de 27 à 34 modes de défaillance, reflétant la complexité et l’empreinte réelle croissantes des systèmes agentiques .

Renforcer la CI/CD dans un monde agentique

En réponse au cas Claude Code et à la mise à jour plus large de la taxonomie, Microsoft a défini un ensemble de recommandations de sécurité pour toute équipe intégrant des agents IA dans ses pipelines de construction. Le message est clair : une isolation partielle est une fausse sécurité.

• Traiter tout contenu non fiable comme un vecteur d’injection : Ne jamais exécuter automatiquement un workflow d’agent IA sur des tickets, des PR ou des commentaires de contributeurs externes. Ce contenu doit être traité comme une entrée potentiellement hostile .
• Isoler les outils de manière cohérente : L’écart entre l’outil Bash isolé et l’outil Read non isolé a démontré que le nettoyage de l’environnement doit être appliqué uniformément. Un seul outil non protégé peut compromettre l’intégralité d’un workflow .
• Appliquer le principe du moindre privilège : Les clés API et les jetons d’accès de l’agent doivent avoir la portée la plus étroite possible, limitant les dégâts en cas d’exposition. Utiliser OIDC pour des informations d’identification éphémères et à portée limitée dès que possible .
• Auditer l’expérience de validation humaine : Les contrôles de sécurité qui dépendent d’une révision humaine peuvent échouer si la charge utile de l’attaque est cachée dans du Markdown brut ou des commentaires HTML que le réviseur ne voit jamais. L’étape d’approbation humaine n’est aussi solide que ce qui est rendu visible pour approbation .
• Inventorier la chaîne d’approvisionnement de l’agent : Les équipes doivent générer une nomenclature logicielle (SBOM) pour chaque agent déployé, reproduisant la visibilité sur la chaîne d’approvisionnement qui est désormais la norme pour les logiciels traditionnels .

Au cœur de ces recommandations se trouve un principe architectural fondamental que la communauté de la sécurité appelle la « Règle des Deux » (Rule of Two). Issue du cadre de Meta d’octobre 2025 pour la sécurité pratique des agents, cette règle stipule qu’un agent ne doit satisfaire pas plus de deux des trois conditions suivantes : traiter des entrées non fiables, avoir accès à des données sensibles, et posséder la capacité d’exécuter des actions qui modifient l’état externe . La vulnérabilité de Claude Code était une violation classique de ce principe, car l’agent gérait simultanément des entrées provenant d’une PR non fiable et détenait des informations d’identification puissantes.