Le 11 août 2026, la société de sécurité CloudSEK a publié une analyse qui décrit la plus grosse compromission de chaîne d’approvisionnement logicielle (l’ensemble des composants extérieurs qu’un logiciel utilise sans les avoir écrits lui-même) liée à l’intelligence artificielle survenue en 2026. La cible s’appelle LiteLLM, un composant très répandu qui sert à faire communiquer des applications avec des modèles d’IA. L’attaque elle-même remonte à mars 2026.
Le détail le plus frappant de ce dossier tient à un chiffre : les versions piégées de LiteLLM sont restées disponibles au téléchargement environ quarante minutes. Le bilan, lui, se compte en milliers d’organisations et en centaines de milliers de systèmes automatisés touchés, des mois plus tard. Ce déséquilibre entre la durée de l’exposition et l’ampleur des dégâts est au cœur de ce que révèle le rapport.
Quarante minutes, et c’était fait
L’attaque est attribuée à un groupe désigné sous le nom Team PCP. Sa méthode ne vise pas directement LiteLLM. Elle passe par un détour : Trivy, un scanner de sécurité (un outil censé repérer les failles dans le code, ici détourné) utilisé à l’intérieur même de la chaîne de compilation de LiteLLM, c’est-à-dire le processus qui transforme le code source en logiciel prêt à être distribué. En compromettant Trivy, les attaquants s’installent en amont, là où personne ne les attend.
Ce scanner détourné reste en place une vingtaine de jours sans être repéré. Il finit par produire deux versions piégées de LiteLLM, numérotées 1.82.7 et 1.82.8, publiées sur PyPI, le magasin public où les développeurs Python récupèrent ce type de composant. C’est là que la fenêtre se referme vite. Ces deux versions ne restent en ligne qu’environ quarante minutes avant d’être retirées.
| Étape | Détail |
|---|---|
| Mars 2026 | Team PCP compromet Trivy, le scanner de sécurité intégré à la chaîne de compilation de LiteLLM |
| Environ 20 jours | Le scanner reste compromis sans être détecté par les équipes de LiteLLM |
| Mars 2026 | Deux versions piégées, 1.82.7 et 1.82.8, sont publiées sur PyPI |
| Environ 40 minutes | Durée pendant laquelle les versions piégées restent disponibles au téléchargement |
| 11 août 2026 | CloudSEK publie son analyse complète de l’incident |
Une fenêtre de quarante minutes paraît dérisoire face à un bilan qui se chiffre en milliers d’entreprises. C’est justement cette disproportion qui rend l’incident marquant pour les chercheurs qui l’ont documenté.
Pourquoi si peu de temps a suffi
Quarante minutes suffisent parce que personne, dans ce scénario, n’a besoin de cliquer sur quoi que ce soit. LiteLLM n’est pas installé à la main par des utilisateurs qui liraient chaque mise à jour. Il est récupéré automatiquement par des chaînes d’intégration continue, aussi appelées CI/CD (le système qui compile et déploie un logiciel à chaque modification, sans intervention humaine). Dès qu’une version piégée est publiée sur PyPI, ces chaînes peuvent la récupérer et l’intégrer sans qu’un humain n’ait le temps de s’en apercevoir.
CloudSEK évalue à environ 434 000 le nombre de chaînes CI/CD potentiellement exposées par ce mécanisme. Ce chiffre donne la mesure du problème : ce n’est pas la faille elle-même qui pèse le plus lourd, c’est la vitesse à laquelle un composant automatisé se propage dans des milliers d’environnements différents avant que quiconque ne comprenne ce qui s’est passé.
L’autre élément notable tient au point d’entrée choisi. Trivy est lui-même un outil de sécurité, conçu pour protéger le code contre ce type d’intrusion. Le détourner pour infiltrer une chaîne de compilation revient à retourner l’outil de défense contre la cible qu’il était censé protéger.
Qui est touché, et pourquoi ce n’est pas fini
Le jeu de données constitué par CloudSEK recense plus de 2 500 entreprises potentiellement exposées. Parmi les correspondances jugées les plus fiables figurent NVIDIA, Amazon Web Services, Cisco Systems, Salesforce, Siemens AG, X Corp et Orange S.A. La liste complète s’étend sur des dizaines d’autres organisations, réparties dans la finance, les télécommunications, l’industrie et la défense.
Le rapport insiste sur un point qui dépasse le simple constat d’exposition. Ce que les versions piégées de LiteLLM ont pu collecter, ce sont des identifiants (les clés et mots de passe qui donnent accès à des services), au moment où les chaînes CI/CD compilaient et déployaient leurs logiciels. Retirer une version piégée de PyPI arrête la diffusion du problème, mais ne rend pas caducs les identifiants déjà dérobés pendant qu’elle circulait.
Le FBI a publié une alerte FLASH en juillet 2026 sur ce dossier précis. L’agence y prévient que des identifiants dérobés lors de cette compromission peuvent encore servir à monter de futures attaques, plusieurs mois après l’incident initial. C’est cette alerte, plus que la faille elle-même, qui explique pourquoi le sujet reste d’actualité en août 2026, alors que les deux versions piégées n’ont existé que quarante minutes.
Ce type d’incident s’inscrit dans une série de failles touchant les outils qui entourent l’intelligence artificielle. Nous avions déjà détaillé une autre affaire de sécurité liée à l’IA dans notre article sur les failles de sécurité entourant GPT-5.6, où le point commun reste le même : la rapidité à laquelle un composant automatisé peut se propager, bien avant que la vigilance humaine n’ait le temps d’intervenir.
0 Commentaires
Aucun commentaire pour le moment. Soyez le premier à commenter !