Faille NVIDIA NemoClaw : une simple visite web suffit pour empoisonner vos agents IA

L’affaire est un peu dingue : visiter un simple site web suffit désormais pour se faire pirater son IA locale. Une faille critique dans l’outil NVIDIA NemoClaw permet en effet d’empoisonner silencieusement un agent autonome et de lui dicter des ordres invisibles, indique Cyera dans un rapport de sécurité. Bonne nouvelle : un correctif existe.

Les environnements de développement locaux sont censés protéger le code confidentiel des entreprises. Pourtant, une simple erreur de configuration réseau peut réduire cette forteresse à néant. L’outil NemoClaw de NVIDIA souffre d’une faille critique permettant à un pirate de prendre le contrôle total d’un agent d’intelligence artificielle. Nul besoin de déployer des malwares complexes ou de pirater un serveur cloud : une simple visite sur une page web malveillante suffit pour compromettre durablement l’infrastructure locale.

Le piège du DNS rebinding

L’origine du problème réside dans un choix d’architecture réseau particulièrement imprudent. Lors de notre couverture de la présentation de la plateforme d’agents IA open source NemoClaw, l’outil promettait de déployer le framework OpenClaw de manière sécurisée dans des bacs à sable NVIDIA OpenShell, en s’appuyant sur le moteur d’exécution Ollama pour l’inférence locale. Sauf que pour assurer la communication entre les conteneurs, NemoClaw configure Ollama pour écouter sur toutes les interfaces réseau (0.0.0.0:11434) au lieu de le restreindre à la boucle locale (127.0.0.1). Cette décision désactive de fait les vérifications de sécurité d’en-tête hôte du moteur.

Comme le détaille l’étude technique publiée par l’équipe Oasis Identity Research de Cyera, cette exposition permet aux pirates d’utiliser une attaque par DNS rebinding. En naviguant sur le web, la victime charge une page contrôlée par l’attaquant dont le nom de domaine redirige discrètement vers l’adresse IP locale de la machine. Le navigateur, croyant interagir avec un site légitime, contourne ses propres protections et offre au pirate un accès direct et non authentifié à l’API d’Ollama.

Des instructions invisibles injectées dans le modèle

Une fois la connexion établie, les conséquences sont désastreuses. L’attaquant ne se contente pas de subtiliser des données de session ; il modifie silencieusement le template de chat d’Ollama. Contrairement à une injection d’invite (prompt injection) classique qui disparaît à la fin de la conversation, cette modification s’incruste directement dans la couche de rendu du modèle linguistique. Le pirate y glisse des instructions invisibles qui dicteront le comportement de l’agent IA lors de toutes ses futures tâches. L’intelligence artificielle devient alors une cellule dormante capable d’écrire du code vulnérable, de masquer des alertes de sécurité ou d’exfiltrer des données confidentielles vers l’extérieur.

Les chercheurs de Cyera ont cartographié les différentes capacités offertes par ce contournement d’authentification direct :

Catégorie d’attaque	Action via l’API Ollama	Impact sur le système compromis
Reconnaissance	Extraction des balises (/api/tags) et détails de configuration (/api/show)	Fuite des caractéristiques matérielles, des clés publiques et des invites système confidentielles.
Exploitation	Génération de requêtes (/api/generate) et dialogues (/api/chat)	Consommation abusive et détournement des ressources GPU locales de la victime.
Destruction	Manipulation de fichiers (/api/create) et effacement (/api/delete)	Écrasement des modèles de langage, empoisonnement persistant des templates et saturation du disque.

L’urgence de repenser la sécurité des architectures autonomes

Pour colmater la brèche, NVIDIA a publié la version 0.0.35 de NemoClaw sur macOS et Linux, tandis qu’un correctif complet se fait encore attendre sur les environnements Windows (le numéro de suivi CVE-2026-65105 reste en attente d’attribution finale). Randolph Barr, RSSI chez Cequence Security, avertit que les entreprises qui intègrent des agents IA sur des infrastructures classiques non préparées continueront de s’exposer à de mauvaises surprises. Le simple fait de placer un agent dans un bac à sable ne suffit plus si la couche sous-jacente reste accessible depuis n’importe quel onglet de navigateur.

Cette fragilité structurelle résonne avec une autre découverte majeure dévoilée le même jour. Une équipe de chercheurs du MIT et de l’Université de Waterloo a présenté TamperBench, un outil d’évaluation open source ayant permis de prouver que les barrières de sécurité des 21 principaux modèles de langage à poids ouverts du marché pouvaient toutes être contournées. La course au déploiement de l’intelligence artificielle agentique se heurte désormais à la dure réalité de l’ingénierie réseau.

🦋 L’actualité de l’open source en français dans votre flux. Suivez Goodtech sur Bluesky (ou vos applications AT Protocol comme W Social et Mu) grâce à notre compte officiel. Suivez, partagez, abonnez-vous à @goodtech.info !