Un framework pour bâtir des agents IA qui laisse entrer n’importe qui sans mot de passe, voilà de quoi gâcher la démo. La Cybersecurity and Infrastructure Security Agency (CISA), l’agence américaine chargée de la cybersécurité, a donné aux agences fédérales jusqu’à vendredi pour colmater une faille activement exploitée dans Langflow, l’outil visuel open source de création d’agents IA.
Points clés
- La CISA donne jusqu’à vendredi aux agences fédérales pour patcher Langflow, framework open source de création d’agents IA
- La faille permet un contournement d’authentification et est déjà exploitée dans des attaques réelles
- Elle figure au catalogue CISA des vulnérabilités activement exploitées, rendant le correctif obligatoire
Un contournement d’authentification déjà exploité
La vulnérabilité permet un contournement de l’authentification. En clair, un attaquant peut accéder à l’outil sans présenter le moindre identifiant. Sur une plateforme qui orchestre des agents IA connectés à des données et des services, le trou de sécurité n’a rien d’anecdotique.
La CISA a inscrit la faille à son catalogue des vulnérabilités activement exploitées, un registre qui recense les failles utilisées dans des attaques réelles et non de simples hypothèses de laboratoire.
Correctif obligatoire pour les agences
Le délai imposé aux agences fédérales civiles court jusqu’à vendredi. Passé cette date, l’application du correctif n’est plus une recommandation mais une obligation. Les organisations privées qui déploient Langflow feraient bien de suivre le même calendrier, sans attendre qu’un chronomètre officiel les y contraigne.
Un agent IA capable d’agir de façon autonome et accessible sans mot de passe, c’est le genre de combinaison qui transforme un gadget prometteur en porte grande ouverte. Le correctif existe. Reste à l’installer avant que la porte ne serve.
