Une faille via symlink touche six agents IA de programmation, dont Amazon Q et Cursor

Les chercheurs de Wiz ont découvert une vieille technique Unix exploitant les liens symboliques (symlink). Elle permet de contourner les mécanismes de protection intégrés de six agents IA de programmation populaires à la fois, d'Amazon Q à Cursor.

Comment fonctionne l'attaque

Le principe de l'exploit est aussi simple que retors. L'attaquant prépare un dépôt contenant un lien symbolique malveillant, puis le publie en accès libre. Lorsqu'un agent IA ouvre ce dépôt et commence à manipuler les fichiers, le symlink fait passer un chemin dangereux pour un fichier ordinaire du projet. L'agent « passe » alors littéralement à côté de son propre prompt de sécurité, c'est-à-dire du mécanisme censé bloquer l'exécution de commandes suspectes ou potentiellement dangereuses.

Résultat : l'attaquant peut placer dans le dépôt une clé d'accès qui lui ouvre la machine de travail du développeur. L'outil à qui le développeur a confié un travail autonome sur le code devient lui-même un point d'entrée pour la compromission.

Quels outils sont menacés

Selon les chercheurs de Wiz, au moins six agents IA populaires d'écriture de code sont vulnérables. L'article cite nommément Amazon Q d'Amazon et Cursor, deux outils largement utilisés par les développeurs pour écrire, relire et modifier du code de manière autonome. Fait révélateur, la brèche n'exploite pas une nouvelle technique d'attaque, mais le mécanisme des liens symboliques, connu depuis des décennies sur les systèmes Unix.

Sauf qu'il frappe désormais une catégorie d'outils entièrement nouvelle, à laquelle les développeurs délèguent de véritables droits d'exécution de commandes. Le symlink est considéré depuis des décennies comme une source bien connue de problèmes de sécurité sur les systèmes de type Unix. Mais c'est la généralisation des agents IA autonomes, qui lisent et exécutent eux-mêmes le contenu des dépôts, qui a redonné à cette vieille technique une dangerosité concrète.

• La faille a été découverte par Wiz, société spécialisée dans la cybersécurité du cloud
• L'attaque repose sur une technique Unix classique à base de liens symboliques (symlink)
• La vulnérabilité est confirmée sur au moins six agents IA de programmation, dont Amazon Q et Cursor
• Résultat de l'attaque : une clé d'accès qui ouvre à l'attaquant la machine du développeur

Ce que cela signifie

L'affaire du symlink montre que l'autonomie des agents IA, à qui l'on confie le code et le système de fichiers, crée une nouvelle surface d'attaque. De vieux bugs dans des mécanismes système de base deviennent soudain réellement dangereux, car ce n'est plus un humain prudent qui les traite, mais un agent doté de larges droits d'exécution et d'un contexte minimal pour flairer le piège. Pour les équipes qui ont déjà branché des agents IA sur de vrais dépôts et des machines de production, c'est l'occasion de revoir les droits accordés par défaut à l'agent et la manière dont les fichiers sont vérifiés avant qu'il ne commence à les traiter.

La découverte de Wiz rappelle aussi que les prompts de sécurité et les restrictions intégrées des agents IA ne constituent pas une barrière absolue. Ce n'est qu'une couche de protection parmi d'autres, qui peut être contournée par des techniques tout à fait classiques, sans lien direct avec le modèle lui-même.

Questions fréquentes

Quels agents IA de programmation se sont révélés vulnérables ?

Wiz évoque au moins six outils populaires d'écriture de code assistée par IA. L'article cite nommément Amazon Q et Cursor, tous deux utilisés par les développeurs pour travailler de manière autonome sur des dépôts.

Qu'obtient l'attaquant à l'issue de l'attaque ?

Une clé d'accès qui lui ouvre la machine de travail du développeur : le dépôt piégé devient un moyen de compromettre l'environnement de quiconque l'ouvre via un agent IA vulnérable.

Pourquoi cette attaque est-elle jugée particulièrement dangereuse ?

Parce qu'elle n'exploite pas une faille d'un modèle précis, mais une technique classique et connue de longue date sur les systèmes Unix, celle des liens symboliques. Elle est donc potentiellement applicable à tout agent IA qui lit et exécute de manière autonome le contenu des dépôts sans vérifier strictement ce type de chemins.