Votre chaîne d'approvisionnement IA exécute aussi du code

La nouvelle chaîne d'approvisionnement de l'IA

Une application d'IA dépend de bien plus que de son propre code. Chacune de ces pièces est écrite par quelqu'un d'autre, arrive par un registre ou une place de marché et s'exécute avec vos droits :

• Poids et fichiers de modèles, souvent téléchargés depuis Hugging Face, dans des formats qui peuvent exécuter du code au chargement.
• Jeux de données de fine-tuning, d'évaluation et d'index RAG, qui décident de ce que le modèle apprend et répète.
• Paquets et SDK, comme les passerelles d'IA et les frameworks d'agents, exposés aux mêmes attaques npm et PyPI que n'importe quelle bibliothèque.
• CLI et extensions d'IA pour l'IDE, qui travaillent avec les fichiers, jetons et sessions cloud du développeur.
• Serveurs MCP : du code qui tourne sur votre machine, plus des descriptions d'outils que le modèle lit comme des instructions.
• Prompts, skills et fichiers de règles : des instructions en langage naturel qui, comme le souligne Unit 42 à propos des skills d'agents, s'exécutent avec tous les droits de l'agent.

Le Top 10 de l'OWASP pour les applications de LLM classe la chaîne d'approvisionnement en LLM03 et l'empoisonnement des données et des modèles en LLM04 ; la liste agentique ajoute ASI04, les vulnérabilités de la chaîne d'approvisionnement agentique. La surface d'attaque n'est pas nouvelle par nature, mais par sa vitesse : un agent installe, exécute et enchaîne ces pièces sans qu'un humain les lise.

Fichiers de modèles et données : du code qui s'exécute au chargement

Pickle, le format par défaut des poids PyTorch, peut exécuter du code arbitraire au chargement d'un fichier. Hugging Face analyse les fichiers déposés, mais prévient que cette analyse n'est pas infaillible. La menace est réelle : en février 2024, JFrog a trouvé une centaine de modèles sur la plateforme avec de vraies charges malveillantes, dont l'un ouvrait un reverse shell au chargement. Un an plus tard, ReversingLabs a découvert deux modèles (« nullifAI ») empaquetés dans des fichiers pickle volontairement corrompus qui échappaient à Picklescan, le scanner de la plateforme ; Hugging Face les a retirés en moins de 24 heures et a mis l'outil à jour.

L'échelle compte aussi. En avril 2025, Protect AI et Hugging Face avaient analysé 4,47 millions de versions de modèles dans 1,41 million de dépôts et signalé 352 000 problèmes dangereux ou suspects sur 51 700 modèles. Une voie plus sûre existe : safetensors stocke les tenseurs sans code exécutable (un audit de Trail of Bits en 2023 n'a trouvé aucune faille critique permettant d'exécuter du code arbitraire), et PyTorch 2.6 a fait du chargement des seuls poids le comportement par défaut en janvier 2025.

Les poids ne sont pas le seul vecteur. En 2025, Pillar Security a montré des instructions cachées dans le modèle de chat d'un fichier GGUF, invisibles pour les scanners qui n'inspectent que les poids. Côté données, les chiffres publics sur l'empoisonnement réel de modèles d'entreprise sont rares ; le risque documenté se situe dans la chaîne de traitement. En avril 2026, l'OWASP a relié la compromission de LiteLLM à une brèche chez Mercor, fournisseur de données pour l'IA, qui a exposé des flux de données d'entraînement de laboratoires, selon WIRED.

Paquets hallucinés : le slopsquatting

Les modèles de code recommandent parfois des paquets qui n'existent pas. Une étude présentée à USENIX Security 2025 (Spracklen et al.) a testé 16 modèles générateurs de code sur 576 000 échantillons : au moins 5,2 % des paquets suggérés étaient inventés pour les modèles commerciaux et 21,7 % pour les modèles open source, soit 205 474 noms uniques inexistants. Il suffit à un attaquant d'enregistrer les noms que les modèles inventent régulièrement et d'attendre : c'est le slopsquatting.

Les agents rendent le risque concret. En avril 2026, ReversingLabs a décrit PromptMink : un agent de code a ajouté une dépendance npm malveillante à un projet d'agent de trading de cryptomonnaies, dans un commit co-signé par Claude Opus, exposant des portefeuilles. ReversingLabs relie la campagne à Famous Chollima, un groupe lié à la Corée du Nord qui empile des paquets pour tromper les assistants de code plus que les humains.

Conséquence pratique : un agent qui peut lancer npm install ou pip install est un nouveau développeur sans moyen de savoir quels paquets sont réels. Faites passer ses installations par une liste d'autorisation ou un registre privé, et relisez les changements du lockfile comme n'importe quel code.

Les attaques qui ont utilisé des outils d'IA, 2025–2026

Des attaques classiques de la chaîne d'approvisionnement, avec une cible nouvelle : les outils d'IA sur le poste du développeur.

Autre signal : en février 2026, Socket a trouvé 19 paquets npm aux noms quasi identiques à des paquets légitimes ; l'un de leurs modules installait un faux serveur MCP dont les descriptions d'outils demandaient aux assistants de code de lire les clés SSH, les identifiants cloud et les fichiers .env.

Les contrôles qui fonctionnent, et leurs limites

L'OpenSSF a publié model signing v1.0 en avril 2025 avec Google, NVIDIA et HiddenLayer : une bibliothèque et une CLI pour signer et vérifier des modèles de tout format avec Sigstore, des certificats autosignés ou des paires de clés. CycloneDX prend en charge un ML-BOM qui recense modèles, jeux de données et leur provenance, et SPDX 3.0 comporte des profils IA et jeux de données. Pour MCP, Invariant Labs recommande d'afficher les descriptions complètes des outils et de figer les serveurs par empreinte, car un serveur peut les modifier après votre approbation.

Cyber Resilience Act : la déclaration est obligatoire

Le Cyber Resilience Act (CRA, règlement (UE) 2024/2847) est entré en vigueur le 10 décembre 2024 ; ses obligations principales s'appliquent au 11 décembre 2027, mais la déclaration a commencé le 11 septembre 2026. Les fabricants de produits comportant des éléments numériques doivent signaler les vulnérabilités activement exploitées et les incidents graves via la plateforme unique de l'ENISA, à destination du CSIRT de leur établissement principal.

Pour l'IA, le lien est direct : une dépendance piégée comme les versions de LiteLLM, activement exploitée dans votre produit, déclenche le délai de 24 heures, et sans AI-BOM vous ne pouvez pas savoir en une journée si vous l'avez livrée. Les éditeurs colombiens qui vendent ces produits dans l'UE sont concernés même sans bureau en Europe ; faites confirmer le périmètre et le CSIRT compétent par votre conseil, à l'aide du guide pratique publié par la Commission en juillet 2026. Si des données personnelles sont touchées, la loi colombienne 1581 de 2012 impose aussi de déclarer l'incident à la SIC.

Check-list pour les équipes qui construisent avec l'IA

1. Tenez un AI-BOM : chaque modèle, jeu de données, paquet, CLI d'IA, serveur MCP et skill, avec version et responsable.
2. Ne chargez des modèles qu'en safetensors, d'éditeurs vérifiés, figés par empreinte.
3. Faites passer les installations des personnes et des agents par un registre privé avec liste d'autorisation.
4. Figez les dépendances, relisez les changements du lockfile et attendez avant d'adopter une version toute neuve.
5. Utilisez des jetons de CI de courte durée et de portée minimale, et exigez une MFA résistante au phishing pour publier.
6. Exécutez agents de code et CLI d'IA dans un bac à sable, loin des clés SSH, des identifiants cloud et des fichiers .env.
7. Validez serveurs MCP et skills comme un fournisseur : lisez les descriptions, figez les versions et soyez alerté des changements.
8. Répétez l'exercice CRA : détecter, décider et envoyer l'alerte précoce sous 24 heures.

La place de Slash : notre activité de cybersécurité couvre l'évaluation, le durcissement et la remédiation des applications web et des API, et lors d'un pentest, les composants d'IA que charge votre application font partie de la surface que nous examinons. À lire aussi : injection de prompt, MCP expliqué et le code agentique.