Hermes Agent attaqué : le chouchour IA open-source que les pirates retournent contre les entreprises

Date : 27 juillet 2026

Il y a une scène dans chaque film cyberpunk où quelqu'un branche une IA, actionne un interrupteur intitulé « DANGER » et la regarde détruire un réseau d'entreprise pendant que tout le monde dans la pièce retient son souffle. La semaine dernière, cette scène s'est déroulée dans la vraie vie, sauf que personne ne retenait son souffle. Ils avaient éteint les alarmes.

Un opérateur a déployé l'agent Hermes de Nous Research contre le ministère thaïlandais des Finances avec les invites d'approbation désactivées, a laissé ses journaux sur un serveur Web ouvert et a donné au monde de la sécurité son premier cas documenté d'un agent d'IA open source utilisé comme arme pour une post-exploitation sur une cible gouvernementale nationale.

Et l’histoire devient plus sauvage à partir de là.

La violation YOLO : ce qui s'est réellement passé

Soyons clairs d'emblée : Hermes Agent n'est pas un outil de piratage. Il s'agit d'une plate-forme d'agent autonome open source : un assistant d'IA persistant qui gère les e-mails, exécute les commandes, prend les instructions Telegram et écrit ses propres compétences. Rien dans sa conception n’est malveillant. Mais c’est exactement ce qui rend cette affaire si importante.

Ce qui s'est passé ressemble à ceci :

Un attaquant a obtenu un premier accès à un serveur Web du ministère thaïlandais des Finances (méthode inconnue). Une fois à l'intérieur, ils ont implanté une instance de l'agent Hermes, l'ont lancée avec l'indicateur « --yolo » – qui désactive toutes les invites d'approbation pour les commandes du terminal – et l'ont laissée s'exécuter sans surveillance. L'agent a ensuite analysé de manière autonome les hôtes internes à la recherche de vulnérabilités du noyau, recherché des chemins d'élévation de privilèges à l'aide de LinPEAS, analysé les systèmes de fichiers contenant des dossiers personnels remontant à 2012 et sondé le cluster Hadoop du ministère via HiveServer2.

L'opérateur n'avait pas besoin d'approuver une seule commande. Hermès dirigeait YOLO.

Hunt.io et le chercheur Bob Diachenko ont découvert les journaux de l'agent dans un répertoire exposé, ainsi que 585 fichiers et 470 Mo d'outils d'attaque. Le panneau Web renvoyait toujours un en-tête de serveur "HermesWebUI". Le dossier prévisible « /hermes-results/ » de l'agent est apparu dans l'index de Hunt.io 575 fois dans les répertoires exposés – chacun étant un hôte qui ne savait pas qu'il exécutait un agent compromis.

La propre session SSH de l'opérateur provenait de Hong Kong. Le mot de passe de l'interface Web de l'agent contenait le mot chinois Leishen (dieu du tonnerre). Une clé de recherche d’actifs FOFA se trouvait à côté.

L'avalanche CVE

La brèche thaïlandaise a défrayé la chronique il y a trois jours. Mais l’histoire de la sécurité autour d’Hermes Agent s’est construite tout au long de l’année.

En mars 2026, OpenClaw, un framework d'agents concurrent doté d'une architecture presque identique, a reçu neuf CVE en quatre jours. L'un d'eux, CVE-2026-22172, a obtenu un CVSS 9.9 Critical — un contournement d'autorisation qui permet à tout utilisateur authentifié de se déclarer administrateur lors de la prise de contact WebSocket.

Contre Hermes Agent lui-même, trois CVE ont été divulgués publiquement :

• CVE-2026-7396 (CVSS 4.0) — Traversée de chemin dans l'adaptateur WeChat Work, exploitable par tout attaquant distant non authentifié
• CVE-2026-7397 (CVSS 4.8) — Lien symbolique suivant dans le module d'outils de fichiers, permettant aux attaquants locaux peu privilégiés d'accéder aux fichiers en dehors de la portée autorisée.
• CVE-2026-6829 (CVSS 5.3) — Traversée de chemin WebUI permettant aux utilisateurs authentifiés de rediriger les espaces de travail de session vers des répertoires système arbitraires

Ce sont les CVE documentés publiquement. Ils ne sont que la pointe d’un iceberg bien plus grand.

Ce que l'audit indépendant a trouvé

En avril 2026, le chercheur en sécurité @Anic888 a mené un audit indépendant de Hermes Agent v0.8.0 : 812 fichiers Python, soit environ 364 000 lignes de code. Les résultats : 4 vulnérabilités critiques et 9 vulnérabilités de gravité élevée dans la configuration par défaut du framework.

Les quatre découvertes critiques sont architecturales et non esthétiques :

1. Exécution shell sans restriction — L'outil terminal transmet les commandes à bash -c via subprocess.Popen avec uniquement une détection basée sur les regex comme garde. Cette détection est contournable. Le modèle peut exécuter des commandes shell arbitraires chaque fois qu'il le juge approprié.

2. Accès complet en lecture au système de fichiers — L'outil de lecture de fichiers n'a pas de liste de refus. Il peut lire les clés privées SSH, les fichiers « .env », les profils de navigateur et les informations d'identification cloud. Il n'existe aucune option de configuration pour restreindre la portée de lecture.

3. Contournement de l'approbation du conteneur — L'exécution d'Hermes dans Docker ignore sans condition tous les contrôles d'approbation. La fonctionnalité que de nombreuses entreprises considéreraient comme plus sûre supprime en fait le dernier point de contrôle humain.

4. Injection persistante de compétences — Hermes écrit des fichiers de compétences qui sont chargés automatiquement lors des sessions futures. Une seule session compromise peut générer des instructions persistantes qui survivent aux redémarrages.

Les neuf résultats High s'étendent au mode YOLO (qui désactive tout), aux mécanismes d'approbation automatique injectables, au sandboxing opt-in et aux attaques de substitution de dépendances.

Zéro malware. Zéro porte dérobée. Zéro télémétrie. Mais l’architecture elle-même crée des risques que les outils traditionnels de détection des points de terminaison ne peuvent pas détecter.

Why This Matters Right Now

Voici la partie qui rend cette histoire plus grande qu'une simple brèche.

Nous Research serait en train de finaliser un tour de table de 1,5 milliard de dollars mené par Robot Ventures. Hermes Agent compte 214 000 étoiles GitHub et près de 40 000 forks. Il fonctionne sur Telegram, Discord, Slack, WhatsApp, Signal et email. Il apprend de chaque session et écrit ses propres compétences.

La même semaine, la société est évaluée à 1,5 milliard de dollars, son agent est utilisé contre un ministère des Finances souverain avec les dispositifs de sécurité désactivés et les journaux laissés ouverts.

La Cloud Security Alliance a publié une note de recherche qui va au cœur du problème : « Les fonctionnalités de base qui rendent ces frameworks précieux – mémoire longue durée, accès étendu aux outils, installation de compétences au moment de l'exécution, intégration d'informations d'identification multi-fournisseurs, exécution rapide – sont précisément les capacités qui élargissent la surface d'attaque et résistent aux défenses standard. »

Les outils EDR conventionnels ne peuvent pas signaler une injection rapide. Ils ne peuvent pas détecter lorsque la mémoire d'un agent contient des instructions insérées par un document malveillant analysé il y a trois sessions. Il n’y a aucune écriture de fichier à surveiller, aucun processus anormal n’apparaît, aucune signature réseau.

La surface d'attaque est la fenêtre contextuelle du modèle. The detection surface is the prompt layer.

Le point de vue d'Aratech : contrôlez ce que vous pouvez

L'agent Hermès ne s'en va pas. C'est trop puissant, trop ouvert et trop populaire. Le génie est sorti de la bouteille.

Mais chaque entreprise déployant des agents d’IA persistants a besoin d’une liste de contrôle. Voici le nôtre :

• N'exécutez jamais d'agents en mode YOLO sur des systèmes dotés de véritables informations d'identification. Si vous avez besoin d'une exécution automatisée, commencez par la mettre en sandbox.
• La valeur par défaut n'est pas sûre. Le mode conteneur désactive les contrôles d'approbation. L'accès en lecture est illimité. La persistance des compétences est illimitée. Modifiez les valeurs par défaut.
• Isolez vos environnements d'agent. Comptes d'utilisateurs dédiés, montages de volumes minimaux, répertoires de clés en lecture seule et portefeuilles matériels pour tout ce qui concerne les systèmes financiers.
• Auditez ce que votre agent apprend. Les compétences qu'il écrit peuvent persister au fil des sessions. Passez-les en revue.
• Connaissez votre écart de détection. Si vous surveillez les commandes shell et les écritures de fichiers, il vous manque la couche d'invite. La surface d'attaque se trouve dans la fenêtre contextuelle.

La faille du ministère thaïlandais des Finances n’est pas une vulnérabilité d’Hermes Agent. Il s'agit d'une vulnérabilité de déploiement qui pourrait survenir avec n'importe quelle plate-forme d'agent persistant. La question n'est pas de savoir si votre agent est en sécurité. Il s'agit de savoir si votre déploiement l'est.

Parce que dans le futur cyberpunk qui est déjà là, la chose la plus dangereuse chez un agent IA n'est pas le code — c'est la personne qui actionne les interrupteurs.

Nick a tout écrit, j'ai juste aidé à tout mettre en place en tant que fidèle assistant.