CVE-2026-21962 : NVIDIA NemoClaw expose vos agents IA locaux

Un agent IA détourné depuis le navigateur

Le 25 août 2026, les chercheurs en sécurité ont révélé les détails techniques de CVE-2026-21962, une vulnérabilité de sévérité maximale (CVSS 10.0) affectant NVIDIA NemoClaw, le framework open source d'orchestration d'agents IA développé par NVIDIA pour faciliter le déploiement local de modèles de langage via Ollama. La faille, qualifiée de critique par le NVD/NIST, permet à une page web malveillante d'atteindre sans authentification l'instance Ollama qui sert de backend à un agent IA en cours d'exécution sur la machine de la victime.

La cause racine du problème réside dans la configuration réseau adoptée par NemoClaw lors de l'installation. Concrètement, le framework démarre Ollama avec la variable d'environnement OLLAMA_HOST=0.0.0.0:11434, ce qui expose le service sur toutes les interfaces réseau de la machine plutôt que de le restreindre à l'adresse de bouclage localhost. Bien que l'interface utilisateur de NemoClaw indique à l'utilisateur qu'Ollama est accessible sur localhost:11434, en réalité le démon écoute sur l'ensemble des interfaces, rendant le service atteignable depuis n'importe quel hôte du même réseau, ou depuis le navigateur de la victime via des techniques de DNS rebinding.

L'exploitation se déroule en deux temps. Dans un premier temps, l'attaquant attire la victime vers une page web contrôlée — via une campagne de phishing, une publicité malveillante ou un lien partagé sur un forum de développeurs. Cette page exécute en arrière-plan des requêtes HTTP vers http://localhost:11434. Le navigateur, en raison de la mauvaise configuration de NemoClaw, laisse passer ces requêtes cross-origin vers l'instance Ollama locale.

Dans un second temps, l'attaquant dispose d'un accès complet à l'API Ollama sans la moindre authentification. Il peut alors modifier les templates des modèles chargés en mémoire pour y injecter des instructions cachées persistantes — une technique similaire à une attaque par empoisonnement de prompt au niveau du modèle lui-même. Ces instructions peuvent forcer l'agent IA à exfiltrer les données traitées, à générer des réponses trompeuses, ou à exécuter des actions non souhaitées dans les outils intégrés à l'agent.

Le chercheur qui a signalé la faille à NVIDIA a publié une démonstration de concept montrant qu'une simple visite d'une page web spécialement conçue suffit à corrompre le modèle actif dans NemoClaw. L'opération ne laisse aucune trace évidente dans les logs applicatifs standards, rendant la détection particulièrement difficile post-incident. NVIDIA a attribué la CVE et confirmé le vecteur d'attaque.

Côté correctif, NVIDIA a publié NemoClaw v0.0.35 qui corrige le problème sur macOS et Linux en forçant Ollama à n'écouter que sur l'adresse de bouclage 127.0.0.1:11434. En revanche, la version Windows de NemoClaw, introduite dans la v0.0.34, ne bénéficie pas encore du correctif complet : l'installateur affiche désormais un avertissement explicite sur les risques liés à WSL et à la configuration réseau de Windows, mais l'exposition réelle persiste. Les utilisateurs Windows doivent donc prendre des mesures de mitigation manuelles dans l'attente d'un patch complet.

NVIDIA indique qu'aucune exploitation active de la vulnérabilité n'avait été confirmée au moment de la divulgation, le 25 août 2026. Toutefois, la publication du code de démonstration sur GitHub par le chercheur Greg K. augmente significativement le risque d'exploitation opportuniste dans les heures et jours suivants, notamment dans les environnements de développement où NemoClaw est utilisé sans isolation réseau stricte.

D'après les données rapportées par The Hacker News et SiliconAngle, NemoClaw est principalement adopté par des développeurs individuels et des équipes de recherche qui font tourner des agents IA locaux à base de modèles open source comme Llama 3, Mistral ou Phi-4. Ces environnements de développement sont rarement soumis aux contrôles de sécurité réseau des environnements de production, ce qui amplifie considérablement la surface d'attaque réelle.

Pourquoi cette faille dépasse le simple bug de configuration

CVE-2026-21962 illustre une tension structurelle qui traverse tout l'écosystème des agents IA locaux : les outils conçus pour simplifier le déploiement de modèles favorisent souvent l'expérience développeur au détriment de la sécurité par défaut. Exposer Ollama sur toutes les interfaces réseau est une décision de commodité — elle facilite l'accès depuis des conteneurs ou des environnements virtualisés — mais elle transforme mécaniquement chaque instance NemoClaw en vecteur d'attaque potentiel dès que la machine est utilisée pour naviguer sur le web.

La technique d'empoisonnement de template de modèle exploitée ici est particulièrement préoccupante car elle s'attaque à la couche de confiance fondamentale d'un système IA. Un utilisateur dont l'agent a été compromis continue d'interagir avec ce qu'il croit être son modèle de confiance, sans réaliser que des instructions malveillantes sont désormais intégrées dans le template de génération. Contrairement à un malware classique, l'artefact malveillant est un texte structuré dans le fichier de configuration d'Ollama, peu susceptible de déclencher des alertes antivirus ou EDR conventionnels.

Cette vulnérabilité s'inscrit dans une tendance plus large d'attaques visant la chaîne d'approvisionnement des agents IA. Après les injections de prompt dans les pipelines RAG, les empoisonnements de datasets et les backdoors dans les modèles fine-tunés, l'empoisonnement de template de runtime représente un nouveau vecteur que les équipes de sécurité devront désormais surveiller. Les entreprises qui autorisent leurs développeurs à utiliser des outils IA locaux comme NemoClaw dans des environnements connectés à des données sensibles doivent intégrer ces risques dans leurs politiques de sécurité.

Pour les organisations soumises à des réglementations comme NIS2 ou DORA, l'utilisation d'outils IA sans évaluation préalable des risques de sécurité constitue une lacune de gouvernance documentable. La faille CVE-2026-21962 démontre concrètement que les frameworks IA open source doivent être soumis aux mêmes processus de gestion des vulnérabilités que n'importe quel autre logiciel d'entreprise.

Ce qu'il faut retenir

• Mettre à jour NemoClaw vers la version v0.0.35 immédiatement sur macOS et Linux ; sur Windows, bloquer le port 11434 via le pare-feu local en attendant le patch.
• Auditer toutes les instances Ollama en production ou en développement pour vérifier qu'elles n'écoutent pas sur 0.0.0.0 — utiliser netstat -tlnp | grep 11434 pour vérifier.
• Inspecter les templates de modèles existants dans les installations NemoClaw potentiellement exposées à la recherche d'instructions non autorisées.