Cursor confirme une intrusion ayant permis à des pirates de diffuser une extension Claude Code malveillante via sa marketplace
Cursor a confirmé une faille de sécurité ayant permis à des attaquants de distribuer une extension Claude Code malveillante via sa marketplace. Les attaquants ont utilisé des identifiants volés au fournisseur d'infrastructure IA Fireworks AI.
Les développeurs ayant installé des extensions depuis la marketplace de Cursor doivent vérifier leurs outils, car un seul identifiant volé peut se propager dans toute la chaîne d'approvisionnement de l'IA.
aii.news sélectionne et résume des articles de sources d'information fiables avec l'aide de l'IA. Chaque article renvoie au reportage d'origine. Notre méthode.
À lire aussi
-
Anthropic lance Claude Fable 5.2 et Mythos 5.2, en tête d'un benchmark de cyberattaques en plusieurs étapes
Anthropic a lancé Claude Fable 5.2 et Claude Mythos 5.2, affirmant que tous deux progressent en codage, en raisonnement et en vision. Fable 5.2 a battu GPT-6 Cyber sur un benchmark testant des cyberattaques en plusieurs étapes.
Pourquoi c'est importantDes modèles de pointe plus puissants permettent aux développeurs d'en faire plus, mais leurs capacités croissantes en cyberattaque accroissent les enjeux pour les équipes de sécurité.
-
Le chasseur de bugs IA de Microsoft découvre une faille cachée depuis près de 11 ans dans la bibliothèque standard de Rust
Des chercheurs du Microsoft FORGE Lab ont utilisé l'IA pour trouver un bug de sécurité mémoire dans la bibliothèque standard de Rust, passé inaperçu pendant près de 11 ans, ainsi que d'autres failles pouvant provoquer un comportement indéfini même dans du code Rust sûr. Deux découvertes concernent Rust stable.
Pourquoi c'est importantLes outils d'IA trouvent désormais d'anciens bugs dans du code de confiance : les développeurs doivent s'attendre à davantage de correctifs, et les attaquants pourraient aussi trouver des failles de cette manière.
-
Une commande de Claude Code enregistre des identifiants dans des dépôts GitHub publics
Des chercheurs ont découvert qu'une commande de Claude Code peut enregistrer par erreur des fichiers contenant des identifiants et d'autres données sensibles dans des dépôts Git publics. Des milliers de secrets ont ainsi fuité.
Pourquoi c'est importantLes équipes utilisant des agents de codage IA doivent analyser leurs dépôts à la recherche de clés exposées et renouveler celles qui ont fuité.
-
Plus de 35 000 applications créées avec l'agent de codage de Grok accessibles en ligne, certaines divulguant des mots de passe
La société de sécurité Claroc a trouvé 37 571 applications créées avec Grok en ligne, dont 35 578 pouvaient être ouvertes sans connexion, y compris 24 créées par des employés de X et SpaceXSI. Environ une sur dix contenait des données internes d'entreprise, et certaines divulguaient des informations confidentielles et des mots de passe.
Pourquoi c'est importantToute personne créant des applications avec des outils de codage IA devrait vérifier les paramètres d'accès avant publication, car les configurations par défaut peuvent exposer des données privées à tous.
-
Des chercheurs de Microsoft montrent qu'on peut implanter une porte dérobée dans des agents IA en modifiant moins de 10 neurones
Des chercheurs de Microsoft ont présenté une technique appelée Lazarus qui implante une porte dérobée cachée dans un modèle d'IA en modifiant moins de 10 neurones rarement utilisés, sans réentraînement. Lorsqu'un déclencheur apparaît, un agent utilisant le modèle exécute la commande d'un attaquant, tout en se comportant normalement lors des tests de sécurité standard.
Pourquoi c'est importantLes entreprises qui donnent à des agents IA l'accès à des terminaux ou systèmes doivent vérifier la provenance des poids des modèles et qui peut les modifier, car les tests de sécurité peuvent ne pas détecter ce type de manipulation.
