2026-07-18

Resilience & Cyber-Security

prompt injection, data poisoning, agent abuse, adversarial-aware defense, non-human identity

1. 175 000 serveurs Ollama exposés : le LLMjacking devient infrastructure d'attaque autonome

— Sysdig Threat Research Team + CSA Research Note "LLMjacking Evolved: Stolen AI Compute as Offensive Infrastructure", 12–18 juin 2026

L'Insight : En juin 2026, Sysdig a documenté un acteur malveillant utilisant des serveurs Ollama publiquement accessibles — 175 000 instances exposées sans authentification sur port 11434 — pour alimenter VAPT, un framework d'exploitation automatisé multi-étapes capable d'enchaîner fingerprinting de services, génération d'exploits, injection SQL et escalade de privilèges sans intervention humaine. Le LLMjacking a ainsi muté : du vol de compute cloud vers une infrastructure offensive autonome, dont le coût d'inférence est intégralement externalisé sur des tiers négligents.

Le vecteur : Scans massifs du port 11434 Ollama (aucune authentification par défaut) ; pivot vers des endpoints LiteLLM également exposés ; injection du framework VAPT qui orchestre des workflows d'attaque en plusieurs étapes — reconnaissance → exploitation → extraction de secrets → élévation de privilèges — en utilisant le modèle local comme moteur de raisonnement.

La surface exposée : Toute équipe DevAI ou MLOps déployant Ollama ou LiteLLM sans isolement réseau strict ; les ~175 000 instances publiques cataloguées par Shodan dans plus de 130 pays ; la plupart hors du périmètre SOC classique car perçues comme outils de développement, pas comme infrastructure critique.

La mitigation : Bind Ollama sur 127.0.0.1 (pas 0.0.0.0) ; reverse proxy avec authentification forte ; inventaire exhaustif des endpoints d'inférence IA dans le CMDB ; intégration dans le scope SIEM/EDR. Correspondances MITRE ATLAS : AML.T0098 (Tool Credential Harvesting via Agent), AML.T0100 (AI Agent Clickbait / manipulation de l'agent).

Lecture du consultant : Le changement structurel n'est pas le vol d'IA mais l'effondrement du coût d'attaque : un acteur peut désormais déployer un agent de pentest complet sans payer un seul token d'inférence — les coûts offensifs tendent vers zéro pendant que la sophistication augmente. Les équipes SecOps doivent traiter tout endpoint d'inférence IA avec le même niveau de contrôle qu'un serveur C2 potentiel.

Risque / Limite : Sysdig est vendor en détection cloud-native — biais commercial possible ; le chiffre 175 000 provient de scans Shodan non datés précisément ; la généralisation à "toutes les entreprises" reste spéculative sans audit interne.

Lien : sysdig.com Date de publication : 12 juin 2026 (CSA Research Note : 18 juin 2026) Fraîcheur : 🟡 <30j Fiabilité de la source : probable Cadre d'analyse : menace cyber

2. Prompt injection → exécution de code arbitraire : CVE-2026-25592 et CVE-2026-26030 dans Microsoft Semantic Kernel

— Microsoft Security Blog, 7 mai 2026

L'Insight : Microsoft a divulgué deux vulnérabilités critiques dans Semantic Kernel — CVE-2026-25592 (.NET SDK) et CVE-2026-26030 (Python SDK) — franchissant pour la première fois la frontière entre "risque LLM" et "vulnérabilité système" : dans le SDK Python, la sortie du modèle était passée directement à eval() sans assainissement ; dans le SDK .NET, une fonction de téléchargement de fichier arbitraire avait été exposée au LLM comme KernelFunction native, permettant d'écrire dans le dossier Startup de la machine hôte. Un seul prompt malveillant suffit à ouvrir un shell sur la machine exécutant l'agent.

Le vecteur : Un attaquant contrôlant le contenu vu par l'agent (document malveillant, réponse RAG empoisonnée, page web) injecte une chaîne qui, via eval() ou DownloadFileAsync exposé, déclenche l'exécution de commandes shell ou l'écriture de fichiers arbitraires sur l'hôte — exploitable à distance, sans accès physique.

La surface exposée : Toute application construite sur Semantic Kernel avant la version 1.39.4 (Python) ou 1.71.0 (.NET) ; mais le pattern structurel s'applique à tout framework utilisant eval() implicite ou exposant des fonctions système au modèle (LangChain, AutoGen) — les auditeurs doivent traiter ces patterns comme une classe de vulnérabilité, pas un CVE isolé.

La mitigation : Mise à jour immédiate vers les versions patchées ; audit de toutes les KernelFunctions exposées au modèle ; principe du moindre privilège sur les outils agent ; ne jamais passer de sortie modèle non assainie à eval() ou à des fonctions système ; sandboxing des processus agent.

Lecture du consultant : Ces CVEs transforment la conversation CISO : l'injection de prompt n'est plus un risque de qualité des réponses mais un vecteur d'exécution de code avec CVSS critique. Tout framework d'agent doit désormais passer par un audit de surface d'attaque des KernelFunctions exposées avant déploiement en production. La question n'est plus "est-ce que le modèle répond bien" mais "est-ce que l'agent peut être retourné contre l'infrastructure".

Risque / Limite : Microsoft est éditeur du framework affecté — l'auto-divulgation est partielle par nature ; les CVEs sont patchés et aucune exploitation dans la wild n'a été confirmée publiquement ; l'applicabilité aux autres frameworks dépend de leurs patterns d'intégration spécifiques.

Lien : microsoft.com Date de publication : 7 mai 2026 Fraîcheur : ⚪ rapport de fond — premier CVE documenté transformant l'injection de prompt en RCE sur un framework enterprise de production Fiabilité de la source : confirmé Cadre d'analyse : menace cyber

3. 50 % des entreprises piratées via une identité non humaine non gérée — le vacuum de gouvernance des NHI

— CSA "State of Non-Human Identity Security" (avec Astrix) + CSA Whitepaper "Non-Human Identity Agentic AI Governance", 2026

L'Insight : Une enquête CSA/Astrix portant sur 800+ experts et 2 millions de NHIs monitorés dans des Fortune 500 révèle que 50 % des organisations ont déjà subi une violation attribuable à des identités non humaines non gérées, et que 68 % des incidents de sécurité IT impliquent désormais des identités machine. Le ratio NHI/humains atteint 25–50:1 en moyenne (144:1 dans les environnements cloud-natifs) — et les agents IA agentiques ajoutent une rupture qualitative : contrairement à un service account statique, un agent peut acquérir de nouvelles permissions à l'exécution, spawner des sous-agents et modifier son empreinte de privilèges sans déclencher de révision d'accès.

Avant : La gouvernance des identités était un problème de provisionnement : droits attribués au déploiement, révisés périodiquement, inventoriés dans un annuaire centralisé (AD, Okta).

Après : Les agents IA transforment l'identité en problème runtime : un agent autonome choisit ses outils, appelle des APIs externes et délègue à des sous-agents dynamiques — hors de portée des outils IAM classiques, qui supposent des permissions statiques et prévisibles.

La dépendance créée : L'expansion du Model Context Protocol (MCP) — quadruplement des serveurs distants depuis mai 2026 — multiplie les NHIs potentiels : chaque connexion MCP est un identifiant supplémentaire à gouverner, souvent créé à la volée par un développeur et jamais inventorié dans les outils de secrets management.

Lecture du consultant : Le vrai risque n'est pas le compte de service oublié, mais le fait qu'un agent IA peut créer de nouveaux NHIs dynamiquement et les propager à des sous-agents. Les entreprises qui déploient des agents sans inventaire NHI exhaustif créent une surface invisible — ni scannée par les SAST/DAST, ni couverte par le PAM traditionnel, ni dans le scope des revues d'accès. Traiter les endpoints MCP comme des identités à part entière est la première mesure concrète.

Risque / Limite : L'enquête est co-publiée avec Astrix Security, vendor NHI — biais commercial majeur ; les chiffres (50 %, 68 %) agrègent des méthodologies d'enquête hétérogènes ; le ratio 144:1 cite des environnements cloud-natifs atypiques non représentatifs de la majorité des entreprises.

Lien : labs.cloudsecurityalliance.org Fraîcheur : 🟡 <30j Fiabilité de la source : probable Cadre d'analyse : bascule structurelle

4. L'OWASP publie le premier Top 10 des risques pour les applications agentiques — l'injection de prompt relie six des dix catégories

— OWASP Gen AI Security Project "Top 10 for Agentic Applications 2026", décembre 2025 / analyse : 2 juillet 2026

L'Insight : L'OWASP Top 10 pour les Applications Agentiques — premier référentiel normatif global pour les systèmes IA autonomes — identifie dix risques critiques (ASI01–ASI10) structurés autour d'un constat central : les agents IA brisent les hypothèses de sécurité des applications traditionnelles en ajoutant planification, délégation multi-étapes et exécution autonome. Fait structurant : le Q1 2026 Exploit Round-up de l'OWASP GenAI (avril 2026) révèle que la majorité des incidents IA en production ne reçoivent pas de CVE — les risques sont systémiques et architecturaux, pas des failles de code discrètes, ce qui les exclut de facto des processus de patch management existants.

L'obligation : ASI01 (Agent Goal Hijack — détournement d'objectif via contenu externe), ASI02 (Tool Misuse — abus des outils légitimes par injection), ASI03 (Identity & Privilege Abuse — exploitation des credentials délégués ou cachés) et ASI04 (Agentic Supply Chain — outils ou modèles compromis) forment le cœur du risque ; l'injection de prompt est le fil conducteur de six des dix catégories.

L'échéance : Référentiel disponible depuis décembre 2025 ; la pression réglementaire (AI Act pour les systèmes à haut risque, DORA pour les services financiers, NIS2 pour les infrastructures critiques) commence à exiger des références normatives explicites pour les audits de conformité IA en 2026–2027.

L'exposition pour l'entreprise : Une organisation déployant des agents IA sans mapping vers ASI01–ASI10 s'expose à un risque d'audit croissant — notamment si l'agent accède à des données personnelles (RGPD) ou à des systèmes financiers critiques (DORA) ; la responsabilité civile pour les dommages causés par un agent détourné reste un terrain juridique non balisé.

Lecture du consultant : L'apport décisif n'est pas la liste des risques (largement anticipés) mais le fait que l'OWASP fournit enfin un vocabulaire commun pour les conversations CISO-CTO-juristes sur la responsabilité des agents. Les DSI peuvent maintenant lier leurs politiques d'agent à une norme de marché — et les assureurs cyber peuvent structurer leur underwriting autour de ce référentiel.

Risque / Limite : Le référentiel date de décembre 2025 et ne couvre pas encore pleinement les architectures multi-agents de type MCP/EMA émergentes en 2026 ; l'absence de CVE pour les risques agentiques fragilise l'intégration dans les outils de vulnerability management classiques.

Lien : genai.owasp.org Date de publication : décembre 2025 (analyse récente : 2 juillet 2026) Fraîcheur : 🟡 <30j (analyse récente d'un référentiel de fond) Fiabilité de la source : confirmé Cadre d'analyse : régulation ou norme

Signaux stratégiques de la semaine

Asymétrie du coût d'attaque IA : LLMjacking via Ollama + Semantic Kernel RCE signalent un changement structurel — les attaquants externalisent leur coût d'inférence sur des tiers négligents et transforment les frameworks d'agents en shells. Les coûts offensifs tendent vers zéro, les coûts défensifs augmentent : la parité attaque/défense se dégrade asymétriquement.
Le CVE classique ne capture plus les risques IA systémiques : L'OWASP Q1 2026 round-up documente que la grande majorité des incidents IA en production n'ont pas de CVE — les failles sont architecturales (permission sprawl, chaînes d'agents, eval() implicite) et échappent aux processus de patch management et de vulnerability management existants. Un CISO qui pilote son risque IA uniquement par les CVE a un angle mort structurel.
⚖️ Ce qui contredit le consensus : Le "2026 Cybersecurity Assessment" (Bitdefender, juillet 2026 — The Hacker News) révèle que 84 % des attaques de haute sévérité exploitent encore des techniques LOTL (Living off the Land) et des outils légitimes détournés — pendant que seulement 1 professionnel sur 5 les classe parmi ses trois principales menaces. Pendant que l'industrie sécurité orchestrait l'alarme sur les menaces IA, les attaquants réels ont continué de prospérer sur des vulnérabilités d'hygiène IT classiques. L'effet de panique IA risque de détourner les budgets de défense de menaces dont la probabilité d'impact est statistiquement encore plus élevée.

1. 175,000 Exposed Ollama Servers: LLMjacking Becomes Autonomous Attack Infrastructure

— Sysdig Threat Research Team + CSA Research Note "LLMjacking Evolved: Stolen AI Compute as Offensive Infrastructure", June 12–18, 2026

The Insight: In June 2026, Sysdig documented a threat actor using publicly accessible Ollama servers — 175,000 instances exposed with no authentication on port 11434 — to power VAPT, a multi-stage automated exploitation framework capable of chaining service fingerprinting, exploit generation, SQL injection, and privilege escalation without human intervention. LLMjacking has mutated: from cloud compute theft to autonomous offensive infrastructure, with inference costs fully externalized onto negligent third parties.

The vector: Mass scans of port 11434 (Ollama has no auth by default); pivot to exposed LiteLLM endpoints; injection of the VAPT framework, which orchestrates multi-stage attack workflows — reconnaissance → exploitation → secret extraction → privilege escalation — using the local model as a reasoning engine.

The exposed surface: Any DevAI or MLOps team deploying Ollama or LiteLLM without strict network isolation; the ~175,000 public instances catalogued by Shodan across 130+ countries; most outside the SOC perimeter because they are perceived as developer tools, not critical infrastructure.

The mitigation: Bind Ollama to 127.0.0.1 (not 0.0.0.0); reverse proxy with strong authentication; exhaustive inventory of AI inference endpoints in the CMDB; integration into SIEM/EDR scope. MITRE ATLAS mappings: AML.T0098 (Tool Credential Harvesting via Agent), AML.T0100 (AI Agent Clickbait / agent manipulation).

Consultant's reading: The structural shift is not AI theft but the collapse of attack costs: a threat actor can now deploy a full pentest agent without paying a single inference token — offensive costs trend to zero while sophistication increases. SecOps teams must treat every AI inference endpoint with the same controls as a potential C2 server.

Risk/Limitation: Sysdig is a cloud-native detection vendor — commercial bias is possible; the 175,000 figure comes from undated Shodan scans; the generalization to "all enterprises" remains speculative without an internal audit.

Link: sysdig.com Publication date: June 12, 2026 (CSA Research Note: June 18, 2026) Freshness: 🟡 <30d Source reliability: probable Analytical frame: cyber threat

2. Prompt Injection → Arbitrary Code Execution: CVE-2026-25592 and CVE-2026-26030 in Microsoft Semantic Kernel

— Microsoft Security Blog, May 7, 2026

The Insight: Microsoft disclosed two critical vulnerabilities in Semantic Kernel — CVE-2026-25592 (.NET SDK) and CVE-2026-26030 (Python SDK) — crossing for the first time the boundary between "LLM risk" and "system vulnerability": in the Python SDK, model output was passed directly to eval() without sanitization; in the .NET SDK, an arbitrary file download function was exposed to the LLM as a native KernelFunction, enabling writes to the host's Startup folder. A single malicious prompt is sufficient to open a shell on the machine running the agent.

The vector: An attacker controlling content seen by the agent (malicious document, poisoned RAG response, web page) injects a string that — via eval() or the exposed DownloadFileAsync — triggers shell command execution or arbitrary file writes on the host, exploitable remotely with no physical access required.

The exposed surface: Any application built on Semantic Kernel prior to version 1.39.4 (Python) or 1.71.0 (.NET); but the structural pattern applies to any framework using implicit eval() or exposing system functions to the model (LangChain, AutoGen) — auditors should treat these patterns as a vulnerability class, not an isolated CVE.

The mitigation: Immediate update to patched versions; audit of all KernelFunctions exposed to the model; least-privilege principle on agent tools; never pass unsanitized model output to eval() or system functions; sandbox agent processes.

Consultant's reading: These CVEs transform the CISO conversation: prompt injection is no longer a response-quality risk but a code-execution vector with a critical CVSS score. Every agent framework must now undergo a KernelFunction attack-surface audit before production deployment. The question shifts from "does the model respond well" to "can the agent be turned against the infrastructure."

Risk/Limitation: Microsoft is the publisher of the affected framework — self-disclosure is inherently partial; the CVEs are patched and no in-the-wild exploitation has been publicly confirmed; applicability to other frameworks depends on their specific integration patterns.

Link: microsoft.com Publication date: May 7, 2026 Freshness: ⚪ foundational — first documented CVE turning prompt injection into RCE on a production enterprise framework Source reliability: confirmed Analytical frame: cyber threat

3. 50% of Enterprises Breached Via Unmanaged Non-Human Identities — The NHI Governance Vacuum

— CSA "State of Non-Human Identity Security" (with Astrix) + CSA Whitepaper "Non-Human Identity Agentic AI Governance", 2026

The Insight: A CSA/Astrix survey of 800+ experts and 2 million monitored NHIs in Fortune 500 companies finds that 50% of organizations have already suffered a breach attributable to unmanaged non-human identities, with 68% of IT security incidents now involving machine identities. The NHI-to-human ratio averages 25–50:1 (reaching 144:1 in cloud-native environments) — and agentic AI adds a qualitative rupture: unlike a static service account, an agent can acquire new permissions at runtime, spawn sub-agents, and modify its privilege footprint without triggering an access review.

Before: Identity governance was a provisioning problem: rights assigned at deployment, reviewed periodically, inventoried in a centralized directory (AD, Okta).

After: Agentic AI transforms identity into a runtime problem: an autonomous agent selects its tools, calls external APIs, and delegates to dynamically spawned sub-agents — outside the reach of classical IAM tools, which assume static and predictable permissions.

The lock-in created: The expansion of the Model Context Protocol (MCP) — a 4× surge in remote servers since May 2026 — multiplies potential NHIs: every MCP connection is an additional credential to govern, often created on the fly by a developer and never inventoried in secrets management tooling.

Consultant's reading: The real risk is not the forgotten service account but the fact that an AI agent can dynamically create new NHIs and propagate them to sub-agents. Enterprises deploying agents without comprehensive NHI inventory are creating an invisible attack surface — not scanned by SAST/DAST, not covered by traditional PAM, not in scope for access reviews. Treating MCP endpoints as first-class identities is the first concrete control.

Risk/Limitation: The survey is co-published with Astrix Security, an NHI vendor — significant commercial bias; the figures (50%, 68%) aggregate heterogeneous survey methodologies; the 144:1 ratio cites atypical cloud-native environments not representative of most enterprises.

Link: labs.cloudsecurityalliance.org Freshness: 🟡 <30d Source reliability: probable Analytical frame: structural shift

4. OWASP Releases First Top 10 for Agentic Applications — Prompt Injection Links Six of Ten Categories

— OWASP Gen AI Security Project "Top 10 for Agentic Applications 2026", December 2025 / analysis: July 2, 2026

The Insight: The OWASP Top 10 for Agentic Applications — the first global normative framework for autonomous AI systems — identifies ten critical risks (ASI01–ASI10) built around a core finding: AI agents break the security assumptions of traditional applications by adding planning, multi-step delegation, and autonomous execution. Crucially, the OWASP GenAI Q1 2026 Exploit Round-up (April 2026) reveals that the majority of AI-related production security incidents receive no CVE assignment — the risks are systemic and architectural, not discrete code flaws, which de facto excludes them from existing patch management processes.

The obligation: ASI01 (Agent Goal Hijack — objective redirection via external content), ASI02 (Tool Misuse — abuse of legitimate tools via injection), ASI03 (Identity & Privilege Abuse — exploitation of delegated or cached credentials), and ASI04 (Agentic Supply Chain — compromised tools or models) form the core risk; prompt injection runs through six of the ten categories as a shared enabling mechanism.

The deadline: Framework available since December 2025; regulatory pressure (EU AI Act for high-risk systems, DORA for financial services, NIS2 for critical infrastructure) is starting to require explicit normative references for AI compliance audits in 2026–2027.

The exposure: An organization deploying AI agents without mapping to ASI01–ASI10 faces growing audit risk — especially where agents access personal data (GDPR) or critical financial systems (DORA); civil liability for damages caused by a hijacked agent remains legally uncharted territory.

Consultant's reading: The decisive contribution is not the list of risks (largely anticipated) but the fact that OWASP finally provides a common vocabulary for CISO-CTO-legal conversations on agent liability. CIOs can now tie agent policies to a market standard — and cyber insurers can structure their underwriting around this framework.

Risk/Limitation: The framework dates from December 2025 and does not yet fully address emerging 2026 multi-agent architectures (e.g. MCP with EMA); the absence of CVEs for agentic risks (noted in the Q1 2026 round-up) complicates integration into classical vulnerability management tooling.

Link: genai.owasp.org Publication date: December 2025 (recent analysis: July 2, 2026) Freshness: 🟡 <30d (recent analysis of a foundational reference) Source reliability: confirmed Analytical frame: regulation or standard

Strategic Signals This Week

AI attack cost asymmetry: LLMjacking via Ollama + Semantic Kernel RCE signal a structural shift — attackers externalize their inference costs onto negligent third parties and turn agent frameworks into shells. Offensive costs trend to zero while defensive costs increase: attack/defense parity is degrading asymmetrically.
The classical CVE no longer captures systemic AI risks: The OWASP Q1 2026 round-up documents that the vast majority of AI-related production incidents receive no CVE — the flaws are architectural (permission sprawl, agent chaining, implicit eval()) and fall outside existing patch management and vulnerability management processes. A CISO tracking AI risk exclusively through CVEs has a structural blind spot.
⚖️ What contradicts the consensus: The "2026 Cybersecurity Assessment" (Bitdefender, July 2026 — The Hacker News) finds that 84% of high-severity attacks still exploit LOTL (Living off the Land) techniques and abused legitimate tools — while only 1 in 5 security professionals ranks LOTL attacks in their top 3 concerns. While the security industry orchestrated the AI threat alarm, real-world attackers have continued to thrive on classical IT hygiene failures. The AI panic effect risks diverting defense budgets away from threats with statistically higher impact probability.