Assistant IA d’un géant du retail US contourné: exécution de code

Deux chercheurs ont obtenu l’exécution de code dans l’environnement d’un assistant de shopping accessible depuis l’application publique d’un des trois plus grands détaillants américains, selon Rein Security. Au 16 juillet, plus de 90 jours après le signalement initial, Rein affirme que les failles n’avaient pas été corrigées. L’attaque a exploité une injection de prompt indirecte et une entrée moins protégée, sur fond d’angle mort de surveillance et de clés Google Maps visibles dans le trafic mobile. Le détaillant n’est pas nommé.

Correctifs absents au 16 juillet et visibilité incomplète sur l’IA

Au 16 juillet, plus de 90 jours après le premier signalement, Rein Security a indiqué que les vulnérabilités n’avaient pas été corrigées et n’a pas fourni de mise à jour publique plus récente. Dans ce cas, le système de sécurité du détaillant surveillait les échanges avec l’assistant, mais, selon Rein, il ne voyait pas les informations récupérées ni les outils utilisés, créant un angle mort entre la conversation et les actions en arrière‑plan. Lors de leur analyse, les chercheurs ont également trouvé des clés API Google Maps visibles dans le trafic déchiffré de l’application mobile. Si ces clés n’étaient pas correctement restreintes, elles pourraient servir à des requêtes non autorisées aux services Google Maps sur le compte du détaillant, avec des frais potentiels ou un épuisement des quotas. Les chercheurs n’ont pas rapporté avoir accédé à des données clients via ces clés.

Filtre IA contourné via une saisie moins protégée

Le détaillant avait mis en place une couche de sécurité et un agent IA filtrant les requêtes pour maintenir l’assistant dans son rôle, avec rejet possible des demandes hors périmètre. Les protections n’étaient toutefois pas uniformes : l’interface de chat affichait des garde‑fous que le champ de recherche n’appliquait pas au même niveau. Par cette entrée moins protégée, les chercheurs disent avoir obtenu des détails sur la configuration interne de l’assistant, notamment les noms d’outils disponibles et la syntaxe pour les appeler. Le point d’entrée initial a été la comparaison de produits, fonction pour laquelle l’IA récupère des contenus sur des sites externes au contrôle du détaillant. Les chercheurs ont inséré des instructions dans un contenu qu’ils maîtrisaient et amené l’assistant à le charger. L’IA a alors traité une partie de ce matériau comme des directives, une technique appelée injection de prompt indirecte. Cette étape, à elle seule, n’a pas suffi à atteindre le système derrière l’assistant, mais elle a fourni le point de départ de l’attaque.

Exécution de code et fuites d’informations système

Après contournement des protections, les chercheurs ont amené l’assistant à exécuter du code dans son propre environnement. Le bot a renvoyé des listes de répertoires, des variables d’environnement et d’autres informations internes, montrant, selon eux, que l’injection avait fonctionné. Ils ont volontairement provoqué une division par zéro et l’erreur Python obtenue a aidé à confirmer l’exécution effective du code. Le passage à l’exécution de code franchit une frontière de sécurité importante, indépendamment de la nature exacte des informations techniques renvoyées.

Portée non précisée et cadre d’intervention des chercheurs

Le compte public de Rein ne précise pas les accès potentiels de l’environnement isolé de l’assistant ni la possibilité d’un passage vers des systèmes contenant des données clients, de paiement ou d’inventaire. Les chercheurs affirment n’avoir ni accédé à de véritables informations clients, ni modifié des commandes, ni tenté de perturber les systèmes, leurs essais ayant été menés dans un environnement contrôlé avec leur propre session. Rein n’a pas identifié le détaillant, invoquant des raisons juridiques, ce qui empêche une vérification indépendante avec l’entreprise et ne permet pas aux clients de savoir s’ils ont utilisé l’assistant concerné. Les chercheurs ne révèlent pas pour l’instant quelle application est touchée.

Assistants plus puissants, risques accrus et conseils aux usagers

En plus de générer des réponses, ces assistants sont capables de collecter des données, d’interagir avec des services tiers et d’utiliser différents outils logiciels. Certains détaillants prévoient qu’ils puissent composer des listes de courses, contrôler l’état des stocks, prendre en charge la gestion des commandes et procéder à la validation des achats. L’ajout de chaque nouvelle fonctionnalité accroît cependant le risque que l’IA soit abusée pour exécuter des instructions inappropriées. Un utilisateur classique dispose de peu de moyens pour se prémunir contre ce type de failles, car l’attaque cible ici la façon dont le système est conçu. La responsabilité revient aux entreprises qui ouvrent des accès à des outils et informations internes : elles doivent supposer que des contenus récupérés sur l’Internet ouvert peuvent contenir des directives hostiles et mettre en place des protections adaptées. Par prudence, il est conseillé de limiter les informations personnelles partagées avec ces assistants et de maintenir les applications de vente au détail à jour pour recevoir les correctifs. Les informations techniques obtenues pourraient, en cas d’abus, fournir des indices sur les systèmes et exposer des secrets ou accès, avec un impact possible pour l’entreprise et ses clients. La démonstration illustre ce qui peut advenir à mesure que ces outils gagnent en contrôle.

Qui, où et quoi: Black Hat, Rein Security et un géant anonyme

La présentation a eu lieu à Black Hat USA 2026, à Las Vegas, menée par Netanel Rubin et Dan Avraham. Leurs travaux portent sur un assistant de shopping IA utilisé par un grand détaillant américain qui, selon Rein Security, figure parmi les trois plus importants aux États‑Unis et dont le bot était accessible via l’application mobile publique. Rein Security commercialise par ailleurs des technologies de supervision des agents IA.