Un serveur MCP épinglé a tourné discrètement avec 15 ensembles de dépendances différents en cinq semaines
Un chercheur de Corelight a découvert qu'un serveur MCP configuré pour exécuter une version fixe a changé ses dépendances 15 fois en cinq semaines sans aucune modification de configuration. Vingt-trois de ses 69 paquets ont changé de version, dont des bibliothèques de cryptographie, JSON Web Token et du MCP SDK.
Les équipes qui connectent des assistants de codage IA via des serveurs MCP devraient verrouiller l'ensemble de l'arbre de dépendances, et pas seulement la version principale, pour éviter des risques inattendus sur la chaîne d'approvisionnement.
aii.news sélectionne et résume des articles de sources d'information fiables avec l'aide de l'IA. Chaque article renvoie au reportage d'origine. Notre méthode.
À lire aussi
-
Anthropic lance Claude Fable 5.2 et Mythos 5.2, en tête d'un benchmark de cyberattaques en plusieurs étapes
Anthropic a lancé Claude Fable 5.2 et Claude Mythos 5.2, affirmant que tous deux progressent en codage, en raisonnement et en vision. Fable 5.2 a battu GPT-6 Cyber sur un benchmark testant des cyberattaques en plusieurs étapes.
Pourquoi c'est importantDes modèles de pointe plus puissants permettent aux développeurs d'en faire plus, mais leurs capacités croissantes en cyberattaque accroissent les enjeux pour les équipes de sécurité.
-
Cursor confirme une intrusion ayant permis à des pirates de diffuser une extension Claude Code malveillante via sa marketplace
Cursor a confirmé une faille de sécurité ayant permis à des attaquants de distribuer une extension Claude Code malveillante via sa marketplace. Les attaquants ont utilisé des identifiants volés au fournisseur d'infrastructure IA Fireworks AI.
Pourquoi c'est importantLes développeurs ayant installé des extensions depuis la marketplace de Cursor doivent vérifier leurs outils, car un seul identifiant volé peut se propager dans toute la chaîne d'approvisionnement de l'IA.
-
Le chasseur de bugs IA de Microsoft découvre une faille cachée depuis près de 11 ans dans la bibliothèque standard de Rust
Des chercheurs du Microsoft FORGE Lab ont utilisé l'IA pour trouver un bug de sécurité mémoire dans la bibliothèque standard de Rust, passé inaperçu pendant près de 11 ans, ainsi que d'autres failles pouvant provoquer un comportement indéfini même dans du code Rust sûr. Deux découvertes concernent Rust stable.
Pourquoi c'est importantLes outils d'IA trouvent désormais d'anciens bugs dans du code de confiance : les développeurs doivent s'attendre à davantage de correctifs, et les attaquants pourraient aussi trouver des failles de cette manière.
-
Une commande de Claude Code enregistre des identifiants dans des dépôts GitHub publics
Des chercheurs ont découvert qu'une commande de Claude Code peut enregistrer par erreur des fichiers contenant des identifiants et d'autres données sensibles dans des dépôts Git publics. Des milliers de secrets ont ainsi fuité.
Pourquoi c'est importantLes équipes utilisant des agents de codage IA doivent analyser leurs dépôts à la recherche de clés exposées et renouveler celles qui ont fuité.
-
Plus de 35 000 applications créées avec l'agent de codage de Grok accessibles en ligne, certaines divulguant des mots de passe
La société de sécurité Claroc a trouvé 37 571 applications créées avec Grok en ligne, dont 35 578 pouvaient être ouvertes sans connexion, y compris 24 créées par des employés de X et SpaceXSI. Environ une sur dix contenait des données internes d'entreprise, et certaines divulguaient des informations confidentielles et des mots de passe.
Pourquoi c'est importantToute personne créant des applications avec des outils de codage IA devrait vérifier les paramètres d'accès avant publication, car les configurations par défaut peuvent exposer des données privées à tous.
