Vous visitez un site web. Rien ne se télécharge. Pas de pop-up, pas de demande de permission, pas d'alerte. Et pourtant, l'agent IA sur votre machine vient d'être détourné.
C'est le scénario qu'Oasis Security a démontré cette semaine en divulguant CVE-2026-65105, une vulnérabilité dans le toolkit d'agents NemoClaw de NVIDIA. L'attaque nécessite exactement une chose de la victime : ouvrir une page web malveillante dans un navigateur. Tout le reste est automatique.
Qu'est-ce que NemoClaw ?
NVIDIA a lancé NemoClaw à sa conférence GTC en mars 2026 comme stack de référence pour construire des agents IA fonctionnant dans des environnements sandboxés. L'idée est simple : donner à votre agent un sandbox (OpenShell), un backend de modèle (Ollama pour l'inférence locale) et un ensemble d'outils, et le laisser travailler.
NemoClaw est populaire parmi les développeurs qui veulent garder leurs flux de travail IA locaux. Au lieu d'envoyer des prompts à une API cloud, l'agent exécute son modèle sur le GPU du développeur via Ollama. L'hypothèse est que local signifie privé et sûr.
Oasis Security vient de prouver que cette hypothèse est fausse.
La chaîne d'attaque DNS Rebinding
La vulnérabilité existe dans la façon dont NemoClaw configure Ollama sur Windows et WSL. Il lance Ollama avec la variable d'environnement OLLAMA_HOST=0.0.0.0:11434, qui lie le serveur de modèle à toutes les interfaces réseau au lieu de seulement localhost.
L'API d'Ollama sur le port 11434 n'a pas d'authentification. Elle repose sur deux vérifications middleware : une validation du header Host et une liste CORS. Mais quand l'adresse de liaison n'est pas loopback (127.0.0.1), la vérification du Host est entièrement ignorée.
Cela laisse la vérification CORS, et le DNS rebinding la contourne facilement. Voici comment fonctionne l'attaque :
- L'attaquant sert une page web sur le port 11434 d'un domaine qu'il contrôle
- La victime visite la page dans son navigateur
- Le domaine de l'attaquant se résout à nouveau de son serveur vers 127.0.0.1
- Le navigateur traite les requêtes comme même origine
- Les requêtes atteignent l'instance Ollama locale de la victime
L'attaquant a maintenant un accès API complet et non authentifié au serveur de modèle.
Empoisonnement du modèle : le pire scénario
L'accès API complet seul est dangereux. Un attaquant peut énumérer les modèles installés, lire les prompts système, extraire le nom d'hôte et la clé publique, ou supprimer des modèles directement. Mais la vraie récompense est l'empoisonnement du modèle.
Le chercheur Elad Luz et son équipe d'Oasis Security sont allés plus loin que la simple injection de prompts. Ils savaient qu'injecter un prompt système caché ne survivrait pas car OpenClaw envoie son propre prompt système qui l'écrase.
Ils ont donc ciblé le endpoint /api/create d'Ollama, qui accepte un champ de template de chat. La chaîne d'attaque :
- Extraire le template existant du modèle via
/api/show - Insérer une instruction cachée dans le template
- L'écrire via
/api/create
Chaque message que le client envoie passe maintenant par le template modifié de l'attaquant, y compris le propre prompt système de l'agent. L'instruction cachée atteint le modèle après le prompt légitime, détournant effectivement chaque réponse.
De l'extérieur, rien ne semble anormal. Le nom, la taille et les métadonnées du modèle sont normaux. Ouvrir un nouveau chat ne résout rien. La charge vit dans la définition du modèle elle-même, bien en dessous de l'état de conversation qu'un opérateur peut réinitialiser.
Pourquoi le sandboxing n'aide pas
C'est la partie qui devrait préoccuper chaque équipe exécutant des agents IA. La proposition de valeur complète de NemoClaw est le sandboxing : OpenShell isole le système de fichiers, le réseau et les processus que l'agent peut toucher.
Mais le sandbox ne protège pas contre cette attaque parce que la vulnérabilité est dans le backend du modèle, pas dans l'agent lui-même. Comme Oasis Security l'a noté : « Le sandboxing protège le endpoint, mais prendre l'agent prend son accès et ses outils. »
La correction et ce qu'elle signifie pour votre stack
NVIDIA a publié NemoClaw v0.0.35, qui corrige le problème sur macOS et Linux. Sur Windows et WSL, v0.0.34 a ajouté un chemin d'installation avec avertissement.
Si votre équipe exécute des agents IA localement, voici ce à quoi vérifier aujourd'hui :
- Mettre à jour NemoClaw vers v0.0.35 ou ultérieur sur macOS et Linux
- Vérifier la liaison Ollama — s'assurer qu'il est sur 127.0.0.1, pas sur 0.0.0.0
- Ajouter la validation du Host header — vérifier contre une liste de valeurs autorisées
- Auditer votre stack d'agents — tout serveur de modèle local exposé est une cible
- Surveiller l'intégrité du modèle — comparer les templates de chat et les hashes contre des baselines connues
La vue d'ensemble
Cette vulnérabilité est un aperçu des défis de sécurité qui accompagnent l'IA agentic. Alors que les développeurs migrent de l'inférence cloud uniquement vers des déploiements locaux et hybrides, la surface d'attaque s'étend de manières que les modèles de sécurité traditionnels ne couvrent pas.
Le sandbox protège le endpoint. Le guardrail protège la conversation. Mais aucun ne protège le modèle lui-même d'être silencieusement réécrit par une seule visite web.
Pour les organisations construisant sur des frameworks d'agents IA, la leçon est claire : traitez votre infrastructure de modèles locaux avec la même rigueur que vos serveurs de production. Parce que dans un monde agentic, un modèle compromis est un tout compromis.