Avec l'essor d'outils d'IA tels que ChatGPT, il est désormais possible de décrire un programme en langage naturel (français par exemple) et de demander au modèle d'IA de le traduire en code fonctionnel, souvent sans comprendre comment le code fonctionne. Andrej Karpathy, ancien chercheur d'OpenAI, a donné un nom à cette pratique, le « vibe coding », qui gagne du terrain dans les milieux technologiques. Google a même déclaré générer 25 % de son code par IA. Néanmoins, attention car votre application de rêve vibe-codée pourrait s’avérer être un cauchemar en matière de sécurité comme l’illustrent de multiples rapports.Un agent IA « vibe-codé » en quelques semaines a exposé 135 000 machines à internet et redéfini la notion de catastrophe sécuritaire en 2026Vibe coding essentials. pic.twitter.com/IdRB15RLvE
— ℏεsam (@Hesamation) June 22, 2026
Il aura suffi de quelques semaines pour que ce qui ressemblait à un projet sympathique de geek passionné devienne l'un des vecteurs d'attaque les plus préoccupants du début d'année. OpenClaw — que ses utilisateurs les plus fidèles ont d'abord connu sous les noms de ClawdBot, puis Moltbot (rebaptisé sous la pression d'Anthropic, trop proche phonétiquement de « Claude ») — est un agent IA agentic open source permettant à un LLM de prendre le contrôle d'un système : gestion des emails, des calendriers, des scripts, navigation web autonome, accès aux fichiers, connexion aux messageries (WhatsApp, Telegram, Signal, Discord…). Le tout en mémoire persistante, tourné 24h/24 depuis votre machine ou votre VPS.
Le projet est passé de 7 800 étoiles GitHub à plus de 113 000 en moins d'une semaine fin janvier 2026 — soit une croissance de 29 % par jour. Une viralité foudroyante qui s'est accompagnée, presque simultanément, d'une avalanche de mauvaises nouvelles sécuritaires.
Un audit de sécurité mené fin janvier 2026, alors que la plateforme s'appelait encore ClawdBot, avait déjà identifié 512 vulnérabilités, dont huit classées critiques. La suite n'a fait qu'aggraver le tableau. Trois CVE à haut risque lui ont été attribués en quelques semaines, dont le CVE-2026-25253, noté 8,8 sur l'échelle CVSS, qui permet une exécution de code à distance en un seul clic via un lien malveillant. Le mécanisme de cette dernière faille est particulièrement élégant dans sa dangerosité : le panneau de contrôle fait confiance au paramètre gatewayUrl passé dans la chaîne de requête sans aucune validation, et se connecte automatiquement au chargement en envoyant le token d'authentification stocké dans le payload WebSocket. Un simple lien ou une page malveillante visitée suffit à envoyer ce token vers un serveur contrôlé par l'attaquant, qui peut alors se connecter au gateway local de la victime, modifier la configuration et déclencher des actions privilégiées.
Dans son analyse, Kaspersky met en lumière plusieurs failles et mauvaises pratiques de déploiement autour d’OpenClaw, une plateforme orientée agents IA. Le constat est clair : des instances accessibles publiquement sur Internet présentent des vulnérabilités critiques liées à des configurations inadéquates, ouvrant la porte à des abus potentiellement graves.
Les chercheurs ont identifié des déploiements d’OpenClaw accessibles sans authentification robuste. Dans certains cas, l’interface d’administration ou les endpoints API étaient directement exposés, permettant à un tiers d’interagir avec l’agent, d’exécuter des actions ou d’accéder à des informations internes. Ce type d’exposition ne relève pas nécessairement d’une vulnérabilité « zero-day » sophistiquée, mais plutôt d’un défaut de configuration : absence de contrôle d’accès, binding réseau trop permissif, ou déploiement sur un serveur public sans reverse proxy sécurisé.
Le point le plus sensible concerne les capacités intrinsèques d’OpenClaw. Un agent IA n’est pas qu’un moteur de génération de texte : il peut être connecté à des outils, API externes, systèmes de fichiers ou scripts locaux. Si une instance est compromise ou accessible librement, un attaquant pourrait détourner ces capacités. Cela inclut l’exécution de commandes, l’exfiltration de données via des appels sortants, ou l’exploitation de clés API stockées dans les variables d’environnement.
Autrement dit, l’agent peut devenir un relais d’attaque, voire un point de pivot dans une infrastructure plus large.
Kaspersky souligne également le risque lié au stockage des secrets. Dans plusieurs cas, des tokens, clés d’API ou paramètres sensibles étaient accessibles via l’instance exposée ou récupérables à travers des requêtes malveillantes. Étant donné que les agents interagissent souvent avec des services tiers — stockage cloud, CRM, bases de données — la compromission ne se limite pas à l’instance elle-même. Elle peut s’étendre à tout l’écosystème connecté.
L’article insiste sur le fait que ces vulnérabilités ne sont pas uniquement le résultat d’un bug spécifique à OpenClaw, mais d’un ensemble de pratiques de déploiement insuffisamment sécurisées. La rapidité avec laquelle les agents IA sont adoptés et exposés en production favorise les erreurs classiques : absence d’authentification forte, logs accessibles publiquement, mauvaise gestion des secrets, absence de segmentation réseau.
Dans ce contexte, les plateformes d’agents deviennent des cibles attractives, car elles combinent logique décisionnelle et capacités d’action.
C'est l'équipe STRIKE de SecurityScorecard qui a mis le feu aux poudres le 9 février avec la publication d'un rapport retentissant. Au moment de la publication, elle dénombrait 40 000 instances OpenClaw accessibles depuis l'internet. Quelques heures plus tard, ce chiffre avait déjà grimpé à 135 000. Parmi ces déploiements, 45 % sont hébergés chez Alibaba Cloud, 37 % des instances se trouvant en Chine — ce qui laisse penser que des templates de déploiement non sécurisés sont réutilisés à grande échelle.
La cause principale ? Une configuration réseau par défaut proprement absurde pour un outil aussi puissant. Out of the box, OpenClaw écoute sur 0.0.0.0:18789, c'est-à-dire sur toutes les interfaces réseau, internet public inclus. Pour un outil de cette puissance, le défaut devrait être 127.0.0.1 (localhost uniquement). Ce n'est pas le cas.
Mais la responsabilité ne pèse pas uniquement sur les épaules des utilisateurs négligents. Jeremy Turner, VP de la threat intelligence chez SecurityScorecard, insiste sur le fait que beaucoup de ces problèmes sont architecturaux, inhérents à la conception même du produit. Sa métaphore est parlante : laisser tourner OpenClaw sans supervision, c'est comme embaucher un prestataire talentueux mais aux antécédents douteux, lui donner accès à tous vos systèmes, puis lui dire que toutes les instructions futures arriveront par email ou SMS — sans possibilité de vérifier l'émetteur.
Un praticien médical suisse a construit son propre logiciel de gestion de patients à l'aide d'un agent IA, sans la moindre compétence en développement. Résultat : données personnelles en accès libre sur internet, enregistrements vocaux envoyés à des services tiers, violations probables du droit suisse. Ce cas, loin d'être isolé, illustre une tendance lourde : le vibe coding démocratise la création logicielle tout en industrialisant les catastrophes de sécurité.
Tout a commencé par une vidéo YouTube. Ou du moins quelque chose d'équivalent. Un professionnel de santé suisse, dont l'identité n'a pas été divulguée, tombe sur un contenu qui lui explique qu'avec l'IA, n'importe qui peut désormais construire ses propres logiciels. Séduit par la promesse, il ouvre un agent de génération de code, lui décrit ce dont il a besoin, et quelques heures ou quelques jours plus tard, un système de gestion de patients maison tourne en production sur internet.
C'est Tobias Brunner, ingénieur informaticien suisse, qui raconte l'histoire dans un billet publié fin mars 2026 sur son blog personnel. Lors d'un rendez-vous médical, son praticien lui mentionne avoir regardé une vidéo expliquant à quel point il est désormais facile pour n'importe qui de créer des logiciels avec l'IA. L'idée lui est venue : pourquoi utiliser une solution éprouvée quand on peut simplement construire la sienne ?
Il a donc fait exactement cela. Il a lancé un agent de programmation, développé une application personnalisée de gestion de patients, importé toutes ses données existantes, et l'a publiée sur internet. Il a même ajouté une fonctionnalité pour enregistrer les conversations pendant les consultations et les envoyer à deux services d'IA distincts pour des résumés automatiques.
Brunner, curieux de nature, commence à examiner l'application. En trente minutes, il obtient un accès complet en lecture et en écriture à toutes les données patients. Tout était non chiffré et entièrement exposé sur internet. Il contacte immédiatement le praticien. La réponse reçue est, selon lui, entièrement générée par IA : remerciements chaleureux, assurance d'une « action immédiate » consistant à ajouter une authentification basique et à renouveler quelques clés d'accès.
Cette personne n'avait aucune idée de ce qu'elle avait construit ni des conséquences possibles. Les données n'étaient pas seulement exposées : elles étaient stockées sur un serveur américain sans accord de traitement des données, les enregistrements vocaux étaient envoyés à des sociétés d'IA américaines, et les patients n'avaient jamais été informés de rien de tout cela.
La description technique du système est édifiante. L'ensemble de l'application tenait dans un seul fichier HTML avec tout le JavaScript, le CSS et la structure écrits directement dans le fichier. Le backend était un service de base de données géré avec zéro contrôle d'accès configuré, aucune sécurité au niveau des lignes. Toute la logique de contrôle d'accès vivait dans le JavaScript côté client, ce qui signifie que les données étaient littéralement accessibles à quiconque regardait, avec une simple commande curl.
C'est l'erreur de débutant la plus fondamentale qui soit en développement web : confier la sécurité au code exécuté dans le navigateur de l'utilisateur, code que n'importe qui peut lire, modifier ou contourner. Aucun développeur professionnel ne ferait ça. Un agent IA à qui l'on demande de « faire fonctionner l'application » sans contraintes de sécurité explicites, si.
Du point de vue juridique, les conséquences potentielles sont sévères. Le praticien a presque certainement violé plusieurs dispositions de la loi nLPD (la loi suisse sur la protection des données, révisée et entrée en vigueur en 2023) et potentiellement les lois sur le secret professionnel (Berufsgeheimnis).
Ce récit suisse n'est pas une anomalie. Il est symptomatique d'une tendance documentée et en accélération rapide. Le laboratoire SSLab de Georgia Tech a lancé en mai 2025 le « Vibe Security Radar » pour surveiller les CVE directement causés par du code généré par IA. Les chiffres de mars 2026 sont éloquents : 35 CVE directement attribuées à du code généré par IA, contre 15 en février et 6 en janvier.
Le cas du cabinet médical suisse fait écho à une affaire plus médiatisée survenue en février 2026. Moltbook, un réseau social pour agents IA dont le fondateur avait publiquement déclaré n'avoir « écrit pas une seule ligne de code », a vu la société de cybersécurité Wiz découvrir une base de données Supabase mal configurée exposant 1,5 million de jetons d'authentification et 35 000 adresses e-mail, entièrement accessibles depuis internet. La cause était identique : un agent IA avait configuré la base de données avec des permissions larges lors du développement, et personne n'avait vérifié avant le déploiement.
Ami Luttwak, cofondateur et directeur technique de Wiz, a résumé le problème lors de la conférence RSAC 2026 : « Quand quelqu'un qui n'est pas technique crée cette application formidable, souvent il ne pense pas à la sécurité et ne sait même pas ce qu'il y a dedans parce qu'il ne l'a pas créée lui-même. »
Le cas René Turcios suggère pourtant que tout le monde peut coder ce qu’il souhaite grâce à la disponibilité de l’intelligence artificielle
Lors de son tout premier hackathon, il a conçu un programme qui transformait des chansons en version lo-fi simplement en décrivant son concept à une IA, sans écrire la moindre ligne de code. Depuis, il reproduit cette approche en enchaînant les hackathons et en présentant des projets entièrement générés par l’IA. Au fil des ans, René Turcios a remporté divers prix : de l'argent, des crédits logiciels et une véritable aura dans la communauté technologique.
« Rene est le premier véritable vibe codeur », a déclaré RJ Moscardon, un hacker qui a vu René Turcios remporter la deuxième place lors de son tout premier hackathon au manoir AGI House à...
La fin de cet article est réservée aux abonnés. Soutenez le Club Developpez.com en prenant un abonnement pour que nous puissions continuer à vous proposer des publications.
Envoyé par RenarddeFeu
