Une faille critique dans l'agent de codage Archon permet à des étrangers de prendre le contrôle de votre machine
Un bogue de classe de gravité maximale (CVSS 9.8) dans l'agent de codage AI Archon expose une interface de contrôle non authentifiée. Aucun correctif n'existe encore ; le correctif provisoire consiste à verrouiller l'interface sur votre propre ordinateur.
Une vulnérabilité récemment publiée dans Archon, un agent de codage d’IA, obtient un score de 9,8 sur 10 sur l’échelle de gravité standard (CVSS). Cela affecte les versions 0.2.13 à 0.11.1. En termes simples : le panneau de contrôle de l’agent peut être atteint par n’importe qui sur le même réseau sans mot de passe, et l’agent derrière lui peut exécuter des commandes sur l’ordinateur.
Les détails
Selon The Hacker Wire, l’interface de contrôle /api/* de l’agent n’a pas d’authentification et, par défaut, écoute sur 0.0.0.0. Cette adresse signifie « accepter les connexions de tout appareil pouvant me joindre », pas seulement de votre propre ordinateur. L’agent fonctionne également avec bypassPermissions, un paramètre qui ignore l’habituel « êtes-vous sûr ? » invite. Combinez les deux et un étranger qui peut atteindre le port peut envoyer des instructions à l’agent et lui faire exécuter des commandes comme vous.
Aucun correctif de fournisseur n’était disponible au moment de la publication. Le rapport indique qu’il n’existe aucune preuve de concept publique et que la faille ne figure pas sur la liste des bogues activement exploités par le gouvernement américain. L’article lui-même est un résumé assisté par l’IA, alors vérifiez l’entrée officielle avant d’agir.
Qu’est-ce qu’il y a derrière ça
Les agents de codage sont utiles car ils peuvent agir : modifier des fichiers, exécuter des programmes, installer des éléments. C’est ce même pouvoir qui explique pourquoi une serrure manquante sur la porte d’entrée est si importante. De nombreux premiers outils sont conçus pour un seul développeur sur un ordinateur portable et supposent discrètement un réseau convivial. Les problèmes commencent lorsque quelqu’un les exécute sur un Wi-Fi partagé, un serveur cloud ou un réseau de bureau.
Ce que cela signifie pour vous : Si vous n’utilisez pas le Archon, rien à faire. Si vous le faites, jusqu’à ce qu’un correctif soit disponible, limitez le port avec un pare-feu ou reliez l’interface à 127.0.0.1, ce qui signifie « uniquement cet ordinateur », et évitez de l’exécuter sur des réseaux partagés. Plus généralement, avant d’essayer un outil d’agent, vérifiez sur quelle adresse réseau il écoute et s’il demande l’autorisation avant d’exécuter des commandes.
Sources
Microsoft présente MAI-Base-2, un modèle de 2,8 billions de paramètres qu'il ne publiera pas en open-weight
Le MAI-Base-2 de Microsoft est un modèle de base à paramètres 2,8T formé sur 50T tokens qui, selon Microsoft, apprend beaucoup plus efficacement que celui de DeepSeek. Il est encore en formation et ira uniquement à des partenaires de confiance.
