Latest / Le centre de gravité / Composio, 8 heures la tête dans la sandbox

Transcript

Composio, 8 heures la tête dans la sandbox · Le centre de gravité

• 0:00
  Épisode composio 8 h la tête dans la sandox chapitre un une
• 0:05
  attaque son clavier. Aucune ligne d'exploit n'est
• 0:08
  écrite par un humain. La cible, une plate forme dont
• 0:11
  vous n'avez peut être jamais entendu parler et qui tient
• 0:14
  pourtant les clés de vos agents IA.
• 0:15
  La suite est dans le bulletin officiel.
• 0:18
  Le 21 mai 2026, il est exactement 01h05 du matin heure
• 0:22
  pacifique à San Matteo Composio d'or.
• 0:25
  Pour comprendre ce qui se prépare, il faut d'abord poser
• 0:27
  ce qu'est cette entreprise. Composio est une jeune start-up
• 0:30
  américaine sortie de White combinator, devenue en 2025 et
• 0:34
  2026 l'un des rails principaux des agents IA dans le monde.
• 0:36
  La maison ne fait pas l'i a, elle fait le câblage qui sépare
• 0:39
  l'agent de ce qu'il doit aller toucher.
• 0:41
  Quand une équipe développe un agent chez cursor dans une
• 0:44
  start-up dans un grand groupe et que cet agent doit pouvoir lire
• 0:48
  votre Gmail, envoyer un message slack, créer une page notion ou
• 0:51
  ouvrir un ticket github, il y a une chance significative que
• 0:55
  composio soit quelque part dans la chaîne.
• 0:59
  Concrètement, composio expose chaque API tiers comme un outil
• 1:02
  que l'agent peut appeler en langage naturel.
• 1:04
  Derrière, la maison gère l'authentification o out des
• 1:08
  utilisateurs finaux et le stockage de leurs jetons
• 1:11
  d'accès. Puis elle orchestre la
• 1:12
  circulation des appels entre les API de Google, Microsoft, Slack
• 1:15
  et bien d'autres. Pour des dizaines de milliers de
• 1:19
  développeurs, c'est devenu la couche d'intégration entre leurs
• 1:22
  agents et le monde réel des outils SaaS.
• 1:24
  Cette information sera utile dans une minute.
• 1:29
  Parce que quand vous utilisez un produit d'agent IA qui agit pour
• 1:31
  vous dans Gmail, votre jeton How out, la clé qui prouve à Google
• 1:35
  que vous êtes bien vous se trouve potentiellement stocké
• 1:38
  dans les serveurs composio. Voilà le décor à 01h05 du matin
• 1:42
  pacifique, quelque part dans le monde, un attaquant ouvre une
• 1:45
  session, il ne tape pas son exploit.
• 1:48
  Il le décrit à 1LLM en langage naturel, et le LLM lui génère
• 1:51
  des centaines de combinaisons de requêtes ciblant les interfaces
• 1:53
  publiques et internes de composio.
• 1:58
  Qu'un script automatisé balance contre les systèmes de la maison
• 2:01
  en continu, c'est du brute force, mais du brute force porté
• 2:05
  par l'intelligence artificielle qui apprend de chaque réponse
• 2:08
  d'erreur pour ajuster la suivante.
• 2:11
  Selon le bulletin de sécurité officiel publié par Composio
• 2:14
  quelques jours plus tard, ce sont les heures suivantes qui
• 2:17
  font basculer toute l'histoire, vers 01h30.
• 2:19
  Le LLM trouve quelque chose, l'accès n'est pas une porte
• 2:23
  publique, c'est un outil agentique interne.
• 2:27
  Composio utilise elle même un agent IA pour monitorer sa
• 2:30
  propre infrastructure. Ce monitoring reçoit en temps
• 2:33
  réel les rapports de panne des connecteurs et déclenche des
• 2:36
  actions de remédiation. C'est là que l'attaquant prend
• 2:39
  pied. Une fois dedans, il peut faire
• 2:42
  ce que l'agent de monitoring peut faire.
• 2:43
  Or, ce monitoring a un accès privilégié au système de
• 2:47
  remédiation automatique, qui sont eux-mêmes capables
• 2:50
  d'enregistrer dynamiquement de nouveaux outils dans le moteur
• 2:52
  d'exécution. L'attaquant enregistre alors
• 2:56
  quelque chose de précis, des définitions d'outils
• 2:58
  malveillantes, c'est à dire de nouvelles fonctions exécutables
• 3:02
  qu'il veut faire faire au sandbox, qu'il déclare au moteur
• 3:04
  d'exécution comme s'il en avait l'autorité légitime.
• 3:08
  Le Sandbox les accepte parce qu'il est conçu pour accepter
• 3:11
  dynamiquement des outils par design.
• 3:13
  À chaque étape, l'attaquant chaîne une nouvelle escalation
• 3:16
  de privilège via les outils qu'il vient d'enregistrer,
• 3:19
  jusqu'à pouvoir exécuter du code arbitraire dans le tout
• 3:22
  l'exécution sandbox. À ce stade, il est dans la
• 3:25
  machine et la machine héberge les jetons o out des clients.
• 3:30
  À 09h00, 15 h, Pacifique San Matteo se réveille, les équipes
• 3:34
  Composio détectent l'intrusion, la fenêtre éclose.
• 3:37
  Le bilan tombe quelques jours plus tard dans le bulletin
• 3:40
  officiel, un service auxiliaire de cache contenait 5241 clés
• 3:44
  API, qui ont potentiellement été lues par l'attaquant pendant les
• 3:46
  8 h de la fenêtre. Ces clés sont des jetons o out
• 3:49
  des clients de composio. Si elles sont compromises,
• 3:55
  l'attaquant peut en théorie parler à Google ou à Slack au
• 3:59
  nom des utilisateurs concernés ou à n'importe quel autre
• 4:02
  service connecté par leur intermédiaire. 5241, c'est un
• 4:07
  chiffre presque petit pour un bridge de 2026, loin des 1000000
• 4:11
  de comptes equifax ou des 500000000 de mariottes.
• 4:15
  Sauf que ce n'est pas le chiffre qui compte, c'est la chaîne.
• 4:18
  La chaîne tient en 4 maillons, la reconnaissance se fait par
• 4:22
  LLM, l'exploite aussi. L'élévation passe par une
• 4:25
  injection d'outils dans le Sandbox même qui devait les
• 4:27
  accepter. Et l'exfiltration ferme la
• 4:30
  boucle sur 4 maillons. 3 sont portés par l'intelligence
• 4:34
  artificielle. Si vous êtes RSSI dans un grand
• 4:36
  groupe et que vous avez intégré une plate forme d'agents IA dans
• 4:38
  votre chaîne, vous ne Regardez pas le mauvais tableau de bord
• 4:41
  ce matin, vous Regardez le bon. Pourtant, il ne vous dit pas ce
• 4:45
  qu'il faudrait. Parce que ce qui s'est passé
• 4:47
  chez Composio, vos contrôles applicatif hérités ne savent pas
• 4:50
  le détecter. La raison est dans la machine
• 4:54
  elle même. Chapitre 2, le sandbox qui
• 4:59
  s'enregistre lui même un sandbox bien construit, accepte de plein
• 5:04
  gré ce qu'une application classique aurait refusé, voilà
• 5:08
  le pivot du nouveau régime cyber.
• 5:12
  Pour comprendre pourquoi un service d'agent est, par
• 5:14
  construction, plus exposé qu'une application classique, il faut
• 5:17
  regarder comment chacun gère son périmètre de code exécutable.
• 5:21
  Une application classique à un manifeste figé à la compilation
• 5:24
  ou au déploiement. On liste les points d'accès et
• 5:27
  les bibliothèques chargées avec leur permission précise.
• 5:30
  Un attaquant qui veut introduire du nouveau code doit casser une
• 5:33
  couche de validation. Le périmètre du code exécutable
• 5:36
  est borné par contrat. Un service d'agent lui accepte
• 5:40
  par contrat ce qu'une appli classique refuserait.
• 5:43
  Son sandbox d'exécution est conçu pour enregistrer
• 5:46
  dynamiquement de nouvelles définitions d'outils, c'est
• 5:49
  précisément sa fonction. Quand un agent doit, en pleine
• 5:52
  exécution, appeler une nouvelle API qu'il découvre dans le
• 5:54
  contexte d'une requête utilisateur, il faut que le
• 5:57
  sandbox accepte le nouveau pelo de définition, sinon l'agent ne
• 6:01
  sert à rien, c'est par design. Voilà pourquoi la formulation
• 6:05
  exacte du bulletin composio est centrale.
• 6:07
  Je cite l'anglais original register malicious tool
• 6:11
  definitions inside the sandbox execution environment.
• 6:17
  Traduction, sans le jargon, l'attaquant n'a pas exploité un
• 6:19
  bug du Sandbox. Il a utilisé sa fonction normale
• 6:23
  qui est d'accepter l'enregistrement d'outils à
• 6:25
  l'exécution. Pour y arriver, il fallait
• 6:28
  d'abord prendre pied quelque part dans un agent privilégié.
• 6:31
  C'est ce qu'il a fait via le monitoring interne, une fois
• 6:34
  cette première marche franchie. Le reste est une cascade prévue
• 6:38
  par l'architecture du système, mais détournée par un acteur que
• 6:41
  cette architecture n'avait pas anticipée.
• 6:44
  Il y a là un changement de régime qu'on n'a pas encore
• 6:46
  intégré collectivement. Dans la cyber d'application
• 6:49
  classique, on sandboxait l'exécution du code soumis par
• 6:52
  l'utilisateur. On vérifiait que ce code ne
• 6:55
  sortait pas d'un périmètre prévu.
• 6:56
  On savait comment faire. Dans la cyber d'agent, il faut
• 7:00
  sandboxer non seulement l'exécution, mais aussi
• 7:03
  l'enregistrement des outils que le sandbox accepte.
• 7:06
  C'est une logique de sandboxing récursif.
• 7:09
  Et cette logique a ses propres failles.
• 7:11
  Parce que le registre des outils signés n'existe pas encore comme
• 7:15
  standard industriel partagé pour les RSSI qui m'écoutent, voici
• 7:18
  la question qui vient à l'horizon, vos fournisseurs
• 7:20
  d'agents IA vous les évaluez avec quelle grille la grille SAS
• 7:24
  classique qui regarde la sécurité du périmètre exposé ?
• 7:27
  Ou une grille qui regarde aussi comment le sandbox interne
• 7:30
  accepte les définitions d'outils à chaud et qui peut les
• 7:34
  enregistrer ? Si vous n'avez pas encore posé
• 7:38
  cette 2e question, Vous êtes statistiquement dans le
• 7:40
  périmètre dont on va parler. Maintenant, chapitre 3, 65%, le
• 7:48
  chiffre n'apparaît pas dans le tableau de bord du socle moyen.
• 7:51
  Pour savoir s'il vous concerne, il faut aller le chercher.
• 7:54
  D'après une étude publiée par Keytworks en mai 2026, 65% des
• 7:57
  organisations ont eu au moins un incident de sécurité lié à un
• 8:00
  agent IA opérant sur leur réseau au cours des 12 derniers mois.
• 8:03
  Le détail est précis, 61% ont vécu une exposition de données
• 8:05
  sensibles. Pour 43%, l'incident a été une
• 8:07
  perturbation opérationnelle et plus d'une organisation sur 3,
• 8:09
  41% a constaté des actions de l'agent qu'il n'aurait pas dû
• 8:13
  prendre dans ses propres processus métiers.
• 8:15
  Ces chiffres sont déjà élevés. Pourtant, ce qui les rend
• 8:22
  vertigineux, c'est ce qu'ils ne disent pas.
• 8:24
  Les équipes sécurité d'une organisation moyenne n'ont pas
• 8:27
  encore les outils pour attribuer correctement un incident à la
• 8:29
  couche agentique. Quand un agent IA déclenche une
• 8:32
  suppression de fichiers qu'il ne devait pas, le ticket part en
• 8:34
  mauvaise manipulation utilisateur.
• 8:35
  Quand il fuit des données vers un connecteur tiers, le ticket
• 8:39
  part en mauvaise configuration, la couche agent est invisible
• 8:42
  dans le socle moyen. Un précédent éclaire cet angle
• 8:45
  mort, mai 2026, toujours incident Pocket OS, rapporté par
• 8:47
  IT Security Guru, un agent IA. À effacer une base de production
• 8:53
  et ses backup en quelques secondes.
• 8:54
  Aucune attaque externe, aucun bug d'agent, juste une
• 8:57
  instruction mal cadrée donnée à un agent qui avait toutes les
• 9:00
  permissions nécessaires pour faire ce qu'on lui demandait.
• 9:02
  Le post mortem m'a parlé d'un agent qui aurait dépassé ses
• 9:05
  limites, sauf que l'agent était dans ses limites.
• 9:07
  Le vrai problème, c'est que ses limites étaient trop larges pour
• 9:09
  ce qu'on lui demandait. SN. 65% composio a publié son
• 9:12
  post mortem en quelques jours pour Pocket OS, ça a pris une
• 9:15
  semaine de plus. Combien d'incidents agents n'ont
• 9:17
  jamais de post mortem parce que personne dans l'organisation n'a
• 9:20
  su faire le lien entre l'effet observé et la couche agent qui
• 9:23
  l'a produit ? La cybersécurité a un nom pour
• 9:26
  ça. Depuis les années 2000, l'effet
• 9:27
  d'iceberg, un incident publié sur 10 subit, c'est l'estimation
• 9:30
  sectorielle qui circule dans les conférences spécialisées.
• 9:32
  Si on applique le même ratio aux agents I à, la statistique
• 9:36
  réelle ne se situe plus à 65%, elle se situe plus haut et le.
• 9:41
  Débat de gouvernance change, on ne discute plus de bonnes
• 9:43
  pratiques à diffuser dans une roadmap trimestrielle.
• 9:46
  La conversation porte désormais sur la praticabilité du
• 9:49
  déploiement d'agent IA dans les périmètres sensibles, là où le
• 9:52
  risque ne peut pas être absorbé par une amélioration
• 9:54
  progressive. Chapitre 4, le contremouvement
• 9:57
  et sa limite l'industrie a réagi vite et pourtant, sa réaction se
• 10:01
  heurte à une limite que la cyber des années 2000 connaît déjà le.
• 10:05
  20 mai 2026, Microsoft publie sur son blog sécurité 2 outils
• 10:08
  open source, remparts et clarity.
• 10:11
  Présenté comme une boîte à outils pour intégrer la safety
• 10:13
  dans le workflow de développement d'agent IA.
• 10:15
  Le timing est exact, 24 h avant l'attaque composio.
• 10:18
  Au lendemain de l'incident, Composio publie à son tour sa
• 10:21
  réponse de mitigation. La maison force la rotation des
• 10:24
  cris client avec une Deadline au 23 mai à 23h00 heure pacifique.
• 10:27
  Dans la foulée, elle annonce une migration vers une architecture
• 10:30
  0 trust proxy kms. Où chaque client peut garder en
• 10:35
  propre ses clés de chiffrement. Et un système de whitelist par
• 10:38
  adresse IP vient compléter le dispositif.
• 10:40
  Côté client, pour restreindre les entrées autorisées, la
• 10:43
  sécurité des agents devient un produit.
• 10:45
  C'est nouveau, il YA1 an. On parlait surtout de
• 10:48
  gouvernance et de cadrage. Aujourd'hui, l'écosystème a fait
• 10:50
  apparaître des SDK dédiés et des KMS spécialisés et les premiers
• 10:54
  registres signés émergent. L'industrie réagit à grande
• 10:57
  vitesse. Or, cette réaction a une limite
• 11:00
  structurelle qu'il faut nommer rempart et clarity travaillent
• 11:03
  sur le développement de l'agent. Ils interviennent avant la mise
• 11:05
  en production. Ils ne couvrent pas le risque
• 11:08
  d'un sandbox déjà en production qui accepte de nouveaux outils à
• 11:11
  l'exécution. Le 0 trust proxy KMS, lui,
• 11:13
  déplace la menace de l'épaule de Composio vers celle du client.
• 11:16
  Vos clés deviennent les vôtres, mais leur cycle de vie devient
• 11:19
  aussi votre charge depuis la rotation jusqu'à l'audit.
• 11:22
  Ce n'est pas une suppression, c'est un transfert.
• 11:26
  Les sandbox d'agent acceptent par design l'enregistrement
• 11:28
  dynamique d'outils. Cette propriété fondamentale ne
• 11:31
  change pas dans les mitigations qu'on voit aujourd'hui.
• 11:34
  Chaque rustine déplace le périmètre, aucune ne le
• 11:36
  supprime. C'est exactement le piège
• 11:38
  classique des premiers cycles de sécurité applicative.
• 11:41
  Au début des années 2000, les premières vagues d'attaque XSS
• 11:44
  et d'injection SQL ont déclenché l'apparition des web application
• 11:47
  firewall. Ces produits colmataient la
• 11:50
  couche application sans toucher au modèle d'exécution.
• 11:52
  sous-jacent, ils ont déplacé l'exposition sans la réduire.
• 11:56
  Il a fallu changer la façon dont on construit les applications
• 11:59
  elles-mêmes prix perd statement pour SQL Content Security policy
• 12:02
  pour le browser pour que la menace baisse réellement,
• 12:05
  durablement sur 10 ans. Pour les agents IA, le
• 12:08
  changement architectural équivalent n'existe pas encore.
• 12:11
  On ne sait pas comment garantir qu'un sandbox d'agent reste sain
• 12:15
  quand son contrat est d'accepter l'enregistrement dynamique
• 12:17
  d'outils. Les registres signés et les
• 12:19
  White listes d'éditeurs aident sans résoudre le problème de
• 12:22
  base. La citation exacte de composio,
• 12:25
  Je la prends mot pour mot du bulletin Moving to World the
• 12:28
  zero trust proxy KMS solution where customers can self custody
• 12:32
  encryption Keys. Le verbe est Moving, pas
• 12:35
  resolving, tout est dans cette nuance.
• 12:39
  Chapitre 5, le contrat fournisseur de 2026, pas une
• 12:42
  check list, une grille de lecture pour la prochaine
• 12:46
  signature. Pour un dirigeant ou 1RSSI qui
• 12:49
  doit aujourd'hui signer ou renouveler un contrat avec un
• 12:52
  fournisseur d'agent IA ? Voici les 4 questions qui
• 12:55
  changent la conversation. Première question, votre sandbox
• 12:58
  d'exécution accepte-t-il l'enregistrement dynamique de
• 13:01
  définition d'outils ? Si oui, à quel niveau de
• 13:04
  privilège et avec quel mécanisme de registre signé ?
• 13:07
  Si la réponse est floue ou si votre interlocuteur ne comprends
• 13:10
  pas la question, c'est déjà un signal sur la maturité de ces
• 13:14
  contrôles. 2e, quels outils agentiques internes utilisez
• 13:18
  vous pour gérer votre propre infrastructure et avec quel
• 13:21
  périmètre de permission ? Cette question paraît
• 13:23
  indiscrète. Pourtant, c'est précisément ce
• 13:26
  qui a servi de point d'entrée chez composio.
• 13:28
  Vous avez besoin de savoir ce qui se trouve dans la chaîne du
• 13:31
  fournisseur parce que c'est ce qui vous expose à travers elle.
• 13:35
  3e est celle qui fait sortir les juristes du contrat type.
• 13:39
  Si votre fournisseur propose le KMS en gardant propre comme
• 13:42
  composio en mai 2026, quel est le périmètre exact de
• 13:46
  chiffrement et qui peut le contourner en cas d'incident ?
• 13:49
  Côté fournisseur, le diable se cache souvent dans la liste des
• 13:53
  contournements autorisés. La 4e question est la plus
• 13:57
  contractuelle, combien de temps s'écoule entre la détection
• 14:00
  d'une intrusion et la rotation forcée des clés clients ?
• 14:03
  Composio a tenu 2 jours pour une fenêtre d'attaque de 08h00,
• 14:07
  c'est plutôt rapide pour 2026. Quel engagement de service
• 14:09
  êtes-vous prêt à signer et qu'est ce qui se passe
• 14:12
  contractuellement si vous le ratez ?
• 14:14
  Voilà la grille, maintenant la clé de lecture finale.
• 14:18
  Ce qui se passe avec les agents IA en mai 2026 ressemble
• 14:21
  structurellement à ce qui s'est passé avec configer en 2008.
• 14:24
  À l'époque, ce verre a forcé les organisations à accepter que
• 14:28
  l'application des patchs devait devenir une discipline
• 14:31
  opérationnelle quotidienne, pas trimestrielle.
• 14:32
  La routine de sécurité a été redéfinie pour une décennie
• 14:38
  composio en mai 2026 et les 65% qui flottent autour forcent les
• 14:42
  organisations à accepter quelque chose d'équivalent.
• 14:48
  Les fournisseurs d'agents IA ne sont pas des fournisseurs SAS
• 14:51
  comme les autres, le risque s'accumule sur leur sandbox au
• 14:55
  rythme de l'usage et la fenêtre pour reprendre le contrôle de
• 14:58
  cette accumulation se ferme à mesure que les déploiements
• 15:01
  grossissent dans vos systèmes. Cette redéfinition n'arrivera
• 15:05
  pas dans 10 ans, elle arrive cette année.
• 15:07
  Les contrats que vous signez en juin 2026 ne ressembleront pas à
• 15:11
  ceux que vous signez en décembre 2025.
• 15:14
  Si vos juristes n'ont pas encore la grille, c'est qu'ils
• 15:17
  l'écrivent en ce moment. Aidez les.
• 15:20
  Vous écoutiez composio 8 h la tête dans la sandbox.
• 15:23
  Merci d'avoir écouté jusqu'au bout.
• 15:25
  Si cet épisode vous a parlé, partagez le.