Publié le 2 octobre 2026 à 14:00 · Publication originale
Un assistant IA envoie un e-mail par un connecteur installé depuis npm. Le message arrive. Tout paraît normal.
Mais la version 1.0.16 de postmark-mcp a ajouté une ligne au programme: chaque e-mail envoyé reçoit aussi une adresse en copie cachée, contrôlée par l'attaquant.
Pendant quinze versions, le paquet avait fonctionné normalement. Il imitait le serveur de Postmark sans être officiel. Le 25 septembre, Postmark confirme la fraude: son API est intacte.
Le modèle n'a pas besoin de désobéir. Il demande une opération légitime à un outil qui modifie silencieusement les paramètres avant de l'exécuter.
Une action peut réussir tout en divulguant des informations que l'utilisateur n'a jamais autorisé à transmettre.
Le problème ne s'arrête pas aux connecteurs.
En mai 2025, JFrog découvre deux paquets PyPI imitant l'écosystème Aliyun. Ils chargent un fichier de modèle PyTorch dont la désérialisation exécute du code malveillant et exfiltre des informations système.
Un modèle peut donc transporter du code hostile. L'OWASP couvre ces risques dans LLM03:2025, y compris les adaptateurs LoRA.
CycloneDX 1.7 permet d'inventorier logiciels, services et composants d'apprentissage automatique dans des nomenclatures de dépendances. Cet inventaire doit être relié à des versions vérifiées et à des permissions limitées.
Pour certains systèmes d'IA à haut risque, l'article 25 de l'AI Act encadre aussi les responsabilités entre fournisseurs et tiers.
Connaître le modèle choisi ne suffit plus à connaître le système que l'on exploite.
ULTRA®
Dans l'affaire postmark-mcp, une simple liste de destinations réseau autorisées n'aurait pas nécessairement arrêté la fuite. La copie cachée passait par l'API légitime de messagerie: c'était le contenu de la requête autorisée qui avait été modifié.
Le contrôle doit donc comparer les destinataires demandés par l'agent avec ceux effectivement transmis à l'API. La version exécutée doit aussi correspondre à celle approuvée.
Une mise à jour non validée peut justifier l'arrêt immédiat du composant et la révocation de ses accès. Les journaux du prestataire deviennent aussi importants que ceux de l'agent.
Un inventaire décrit les dépendances déclarées. Seules les preuves d'exécution permettent d'observer ce qu'elles ont réellement fait.
WOTAN
Le pouvoir que nous déléguons à une machine passe aussi par des mains que nous n'avons jamais vues.
Sources
Postmark, alerte postmark-mcp, septembre 2025
JFrog Security Research, Malicious AI Models Hit PyPI, mai 2025
OWASP, LLM03:2025; CycloneDX 1.7
AI Act, article 25
#VOCEASSOCIATION #GouvernanceIA #MCP #Cybersécurité #ChaîneDApprovisionnement