Novee Security : RCE CVSS 10 dans Gemini CLI et Claude Code

Quand une issue GitHub sans droits compromet l'infrastructure CI de Google, Anthropic et OpenAI

Le 5 août 2026, lors de la conférence Black Hat USA à Las Vegas, les chercheurs de Novee Security ont présenté une recherche qui a immédiatement ébranlé la communauté DevSecOps mondiale : trois des principaux agents IA de codage du marché — Gemini CLI de Google, Claude Code d'Anthropic et Codex d'OpenAI — contenaient des vulnérabilités critiques permettant à un attaquant ne disposant d'aucun droit sur un dépôt cible d'exécuter du code arbitraire sur les runners d'intégration continue des fournisseurs eux-mêmes, ou de voler les secrets d'un pipeline CI d'entreprise. The Hacker News a publié une analyse complète de ces failles le 7 août 2026, confirmée par les trois vendeurs.

La vulnérabilité la plus sévère, CVE-2026-12537, est notée CVSS 10.0 et affecte Gemini CLI, l'agent de codage en ligne de commande de Google basé sur Gemini 2.5 Pro. La faille est une injection de commandes OS dans le lanceur de conteneur de Gemini CLI, atteignable via un fichier de configuration piégé placé dans le répertoire .gemini/.env d'un dépôt GitHub. Lorsque l'agent est déclenché sur un dépôt contenant ce fichier — par exemple via une pull request ou une issue créée par n'importe quel compte GitHub — le lanceur exécute les commandes injectées sur l'hôte de la plateforme CI headless avant même que le sandbox de sécurité ne démarre. L'attaquant obtient une exécution de code arbitraire avec les permissions du runner, avant toute vérification de sécurité.

Pour Claude Code d'Anthropic, la CVE-2026-54316 a été attribuée après une divulgation coordonnée qui a donné lieu à plusieurs cycles de patches. La surface d'attaque est légèrement différente : une issue GitHub créée par un compte sans aucun droit d'écriture sur le dépôt ciblé est suffisante pour déclencher une exécution de code sur les runners CI d'Anthropic eux-mêmes. En pratique, un attaquant peut cibler l'infrastructure d'Anthropic en créant simplement un compte GitHub gratuit et en ouvrant une issue sur l'un des dépôts officiels liés à Claude Code. Aucun accès préalable, aucun token, aucune permission n'est requis.

Le cas d'OpenAI Codex est légèrement différent mais tout aussi préoccupant : une issue malveillante ne permet pas directement un RCE sur les runners OpenAI, mais suffit à hijacker le prochain run d'agent planifié sur le dépôt ciblé. Concrètement, l'attaquant peut injecter des instructions dans le contexte du prochain agent run, lui faisant exfiltrer des secrets de pipeline, modifier des artefacts de build ou altérer les résultats d'un test de sécurité automatisé. Dans un scénario de supply chain, l'impact est équivalent à un RCE dans la mesure où l'attaquant peut compromettre les artefacts produits sans exécuter directement du code sur le runner.

La nature fondamentale de ces vulnérabilités est clairement identifiée par Novee Security : le problème n'est pas dans les modèles IA eux-mêmes — ni dans leurs poids, ni dans leur entraînement — mais dans le harnais, c'est-à-dire le code applicatif qui enveloppe chaque agent et gère les permissions d'outils, l'orchestration des tâches et le sandboxing. Ce harnais est du code ordinaire, soumis aux mêmes catégories de vulnérabilités que tout logiciel — injection, escalade de privilèges, race conditions — mais avec une surface d'attaque élargie par le fait qu'il est conçu pour interagir avec des dépôts, des pipelines CI/CD et des systèmes externes au nom d'un modèle à grande latitude d'action.

Les trois fournisseurs ont répondu rapidement à la divulgation coordonnée initiée par Novee Security. Google a publié un patch d'urgence pour CVE-2026-12537 le 2 août 2026, avant la présentation publique, après notification 90 jours plus tôt. Anthropic a procédé à plusieurs cycles de corrections tout au long du processus de divulgation — ce qui suggère que la complexité de la faille rendait les premiers patchs incomplets, un phénomène classique pour les vulnérabilités d'injection dans des environnements d'exécution multicouches. OpenAI a mis à jour Codex et renforcé les contrôles de validation des issues traitées par l'agent dans les workflows CI. Les trois vendeurs recommandent une mise à jour immédiate.

L'impact potentiel de ces vulnérabilités est particulièrement élevé dans un contexte où les agents IA de codage sont massivement adoptés dans les pipelines CI/CD d'entreprise. Un attaquant exploitant CVE-2026-12537 sur Gemini CLI dans une pipeline de production peut : exfiltrer les secrets d'environnement du runner (tokens API, clés cloud, certificats), injecter du code malveillant dans les artefacts de build avant leur signature, compromettre les résultats de tests de sécurité automatisés, ou poser un point d'accès persistant dans l'infrastructure cloud liée au pipeline. Dans un scénario de supply chain avancé, un seul runner compromis peut propager une backdoor à toutes les dépendances produites par ce runner et distribuées en aval.

Pour les organisations utilisant ces agents dans leurs workflows, la recommandation immédiate est de mettre à jour vers les versions patchées, de vérifier que les runners CI associés aux agents IA opèrent avec des permissions minimales (principe du moindre privilège), de supprimer tout write token des jobs de PR et d'issue, et d'auditer les fichiers de configuration des agents présents dans les dépôts (.gemini/.env, .claude/, fichiers de configuration Codex) à la recherche de contenus suspects. GitHub a par ailleurs publié un guide recommandant de ne jamais passer de tokens d'écriture aux jobs déclenchés par des events issus de comptes externes.

Un angle mort structurel dans la sécurité des outils de développement IA

La divulgation de Black Hat 2026 sur les agents IA de codage expose un angle mort fondamental dans la façon dont l'industrie appréhende leur sécurité. Depuis plusieurs années, la discussion sur la sécurité des modèles IA s'est concentrée sur les risques de l'output — hallucinations, biais, contenu problématique — et plus récemment sur les capacités offensives des agents lors de red-teams. Mais la surface d'attaque du harnais lui-même — l'infrastructure logicielle qui fait fonctionner l'agent — a été largement sous-investiguée, faute d'une culture de sécurité logicielle suffisamment intégrée dans les équipes d'IA.

Cette situation n'est pas sans précédent dans l'histoire de la sécurité informatique. Les navigateurs web, dans leurs premières versions, étaient conçus pour la fonctionnalité, et leur surface d'attaque — extensions, sandbox JavaScript, gestion des protocoles — n'a été sérieusement auditée que lorsque les attaques sont devenues massives. Les agents IA de codage suivent un chemin similaire : ils sont déployés massivement dans des pipelines critiques avant que leur sécurité opérationnelle soit pleinement comprise. Avec une intégration quasi immédiate dans des systèmes cloud à haute sensibilité, le rayon de blast d'une compromission est potentiellement très large.

Pour les équipes DevSecOps, l'enseignement pratique est double. Premièrement, les agents IA de codage ne doivent pas être traités comme des outils de développement ordinaires : leur capacité à interagir avec des systèmes externes, à lire des fichiers de configuration et à exécuter des commandes les place dans la même catégorie de risque que les systèmes d'automatisation à hauts privilèges. Ils méritent une revue de sécurité dédiée à leur déploiement, des tests d'intrusion spécifiques et un monitoring comportemental en production.

Deuxièmement, les organisations qui s'appuient sur des forks ou des intégrations custom d'agents IA populaires doivent vérifier que leurs versions intègrent bien les patchs publiés par les fournisseurs. La fragmentation de l'écosystème signifie que les patches ne se propagent pas automatiquement à toutes les instances déployées. Un inventaire précis des versions d'agents IA en production est une action immédiate prioritaire pour toute équipe de sécurité, à compléter par une revue systématique des permissions de chaque instance.

Ce qu'il faut retenir

• CVE-2026-12537 (CVSS 10.0) dans Gemini CLI et des failles similaires dans Claude Code et OpenAI Codex permettent à tout attaquant de compromettre des runners CI via une simple issue ou un fichier de configuration malveillant dans un dépôt GitHub.
• La racine du problème est dans le harnais applicatif des agents, pas dans les modèles IA — une surface d'attaque souvent négligée lors des revues de sécurité.
• Mettre à jour immédiatement vers les versions patchées, supprimer les write tokens des jobs CI déclenchés par des events externes, et auditer les fichiers de configuration des agents dans tous les dépôts.