Des failles d’agents critiques dévoilent un risque généralisé de pivot de protocole dans les déploiements MCP

Le terme « pivot de protocole » désigne une situation où une instruction malveillante reçue par un agent piloté par IA est transformée en une requête apparemment légitime vers un service interne, se manifestant souvent comme une falsification de requête côté serveur (SSRF) ou une injection. Les recherches de Mohiuddin montrent que ce schéma se répète dans un ensemble divers d’organisations qui utilisent la communication modèle‑outil au sein de l’écosystème de la plateforme collaborative multi‑modèles (MCP).

CVE‑2026‑14540 chez Google, gravité élevée

Chez Google, la vulnérabilité répertoriée sous le numéro CVE‑2026‑14540 a reçu un score CVSS de base de 8,0, indiquant un haut niveau d’exploitabilité et d’impact. Le défaut provenait d’une validation insuffisante des URLs de redirection et des adresses IP fournies par un agent avant que la requête n’atteigne un service en aval. Le correctif de Google a introduit des listes blanches strictes, des listes noires et une vérification au démarrage qui rejette les configurations dangereuses, renforçant ainsi le chemin de flux de données.

Autres incidents dans le secteur privé et public

Le dépôt public de JPMorgan Chase contenait un outil de récupération dépourvu de liste blanche, permettant de contacter des points de terminaison internes arbitraires. Après la remontée du problème, la société a retiré l’outil et ajouté des contrôles d’accès appropriés. Weaviate a réagi avec une demande de fusion ciblée (ID 12961) qui a limité les points de terminaison exposés, tandis que la DINUM a renforcé ses défenses contre les SSRF en septembre 2026. La ville indonésienne de Tangerang a corrigé son service vulnérable en environ un jour après la découverte.

Le suivi distinct de Rapid7 du CVE‑2026‑97228, une injection GraphQL avec un score CVSS de 2,7, montre que toutes les failles liées au pivot de protocole ne partagent pas la même sévérité. Ce score plus bas reflète une surface d’attaque limitée, mais illustre tout de même l’étendue du problème à travers différents formats de requêtes.

Caractéristiques techniques clés du pivot de protocole

• L’agent reçoit une entrée non fiable d’un modèle de langage ou d’un utilisateur.
• L’entrée est transmise à un outil sans désinfection adéquate.
• L’outil interprète l’entrée comme une requête interne de confiance.
• L’action résultante exploite SSRF, injection ou mauvaise configuration.

L’analyse de Mohiuddin souligne que la cause première réside dans une hypothèse de confiance intégrée à de nombreuses conceptions MCP : la sortie d’un modèle est traitée comme une donnée fiable pour les services en aval. Cette hypothèse s’effondre lorsqu’un attaquant peut influencer la sortie du modèle, par exemple via une injection de prompt ou des exemples adversaires.

Le chercheur recommande une architecture zéro confiance où chaque valeur émise par un modèle est re‑validée avant d’atteindre tout outil externe. Cette validation peut inclure des contrôles de schéma, une vérification de listes blanches et un sandboxing d’exécution afin d’assurer qu’aucune valeur mal formée ne déclenche une opération privilégiée.

Implications pour les organisations utilisant le MCP

Les entreprises qui ont intégré des modèles de langage avec leurs API internes doivent réévaluer leurs pipelines de flux de données. La présence d’un pivot de protocole signifie qu’une faille dans un composant peut se propager à une compromission plus large, exposant potentiellement des services internes sensibles ou des bases de données.

Les régulateurs et les auditeurs scruteront probablement les implémentations MCP à la recherche de preuves de contrôles zéro confiance, notamment dans les secteurs financier et de l’administration publique où les incidents divulgués se sont produits.

Pour les organisations francophones, le changement pratique est clair : appliquer une validation stricte des entrées à chaque point de transfert, imposer des listes blanches pour les appels de services internes, et déployer une surveillance qui signale les requêtes sortantes inattendues provenant d’agents IA. En traitant la sortie du modèle comme non fiable par défaut, les entreprises peuvent atténuer le risque de pivot de protocole et protéger leurs infrastructures critiques contre une nouvelle classe d’attaques assistées par IA.