Le piège de la confiance : un clic qui met en danger votre assistant IA pour coder

On l'a tous fait. Vous clonez un repo – boulot d'un collègue, lib open source, snippet d'un tuto. Un coup d'œil rapide, un test local, et hop, on passe à la suite. C'est le quotidien des devs. Mais le projet de recherche TrustFall montre que les assistants IA pour coder ont repris cette mauvaise habitude. Et ça crée une faille majeure.

Le scénario idéal pour une attaque

Les experts d'Adversa AI ont analysé quatre outils IA phares. Leur point faible ? Ils lancent automatiquement des programmes d'aide stockés dans les fichiers de config du projet. Souvent, un simple dialogue "tu fais confiance à ce dossier ?" avec oui par défaut.

Le mécanisme repose sur le Model Context Protocol (MCP). Ça permet à l'IA de dialoguer avec des outils externes : connecteurs DB, linters, scripts perso. Pratique, non ? Oui. Le hic : ces outils s'activeront via des configs internes au projet.

Dès que vous ouvrez le repo et validez le prompt, ce n'est pas juste un indexage. Les programmes démarrent. Avec tous vos droits d'accès.

Un seul clic. Point final.

Les risques concrets (et ils sont nombreux)

Un helper malveillant peut :

• Voler vos clés SSH et creds cloud
• Piller votre historique shell
• Lirer le code d'autres projets sur votre machine
• Se connecter à des serveurs contrôlés par l'attaquant

Pire : tout ça se passe avant que l'IA n'analyse quoi que ce soit. Exécution auto au démarrage.

L'attaque ? Basique. Deux petits fichiers JSON. L'un définit un "linter" innocent qui télécharge et lance un payload en ligne. L'autre l'approuve direct. Le repo paraît vide à l'inspection superficielle.

Le problème des dialogues

L'UX vire au cauchemar sécuritaire. Voici ce que voient les devs :

Claude Code (v2.1+) : "Vérif rapide : projet perso ou de confiance ?" Défaut : Oui. Une vieille version proposait de désactiver MCP. Plus maintenant.

Gemini CLI : Affiche les noms des helpers. Au moins, on peut vérifier.

Cursor CLI : Parle de MCP de façon floue.

Copilot CLI : Prompt générique. Zéro mention de MCP.

Tous parient sur le oui automatique.

Rony Utevsky, lead researcher, le dit bien : ce n'est pas que la faille existe. C'est que les devs ignorent ce qu'ils valident en cliquant.

Le calvaire CI/CD

Ça empire en CI. Avec Claude Code via l'action GitHub officielle d'Anthropic, pas de dialogue. Mode headless direct.

Conséquences :

• Un PR malveillant d'un contributeur externe glisse une config piégée
• Le pipeline l'exécute sur la branche
• Accès aux clés de déploiement, certifs, tokens cloud

Adversa AI a un PoC qui exfiltre les variables d'env vers un serveur. Pas de la théorie. Un vrai vecteur.

Vos actions immédiates

En entreprise avec Claude Code ? Activez le Managed scope.

C'est une config centralisée. L'IT la déploie sur toutes les machines et la verrouille. Désactivez l'auto-approbation MCP par projet d'un coup.

Problème : peu d'orgas l'utilisent. Et la doc manque de clarté, surtout pour les nouveaux venus en IA coding.

La position des éditeurs

Anthropic a lu TrustFall. Leur vue : cliquer "Oui, je fais confiance" vaut consentement total, MCP inclus. Leur modèle de menaces voit la frontière post-clic comme voulue.

Adversa ne conteste pas le modèle. Ils pointent le dialogue : informe-t-il vraiment ?

(Pas de réponse supplémentaire d'Anthropic.)

Ce que ça change pour vous

Cette faille rappelle un truc clé : les outils IA codent en profondeur dans votre env de dev. Puissance rime avec responsabilité.

Pour Claude Code, Gemini CLI, Cursor ou Copilot CLI :

1. Soyez vigilant sur les prompts. Lisez avant de cliquer.
2. Vérifiez les configs. Pour un repo inconnu, scrutez .mcp.json et assimilés avant l'IA.
3. Choisissez la transparence MCP. Optez pour Gemini CLI qui liste les helpers.
4. Poussez le managed scope en équipe. Collaborez avec l'IT.
5. Mettez à jour. Les vendors savent. Les patchs arrivent.

La vision d'ensemble

TrustFall met en lumière un clash : pratique vs sécu. Les prompts "oui par défaut" marchent car on fait confiance à nos projets. Mais avec du code partout, c'est risqué.

MCP et helpers ? Utile, gardons-les. Le vrai débat : le lien "confiance = exécution code arbitraire" est-il clair ?

Pour l'instant, non. Devs, équipes, vendors : à tous de jouer.

Et vous, comment gérez-vous la sécu des outils ? Rencontré des prompts ambigus ? Le débat sur la safety des IA coding ne fait que commencer. Participez !