Rein Security fait exécuter du code à un assistant d’achat

Une démonstration publique Le 19 août 2026, Netanel Rubin et Dan Avraham ont présenté leurs travaux à Black Hat USA 2026, à Las Vegas. Les chercheurs de Rein Security ont ciblé l’assistant d’achat d’un des trois plus grands distributeurs américains. Cet assistant était accessible depuis l’application mobile publique du distributeur. La démonstration a commencé par une comparaison d’avocats. Elle s’est terminée par l’exécution de code dans l’environnement informatique de l’assistant. Le système a renvoyé des listes de répertoires, des variables d’environnement et d’autres informations internes. Rein Security n’a pas identifié le distributeur, invoquant des raisons juridiques. La vérification indépendante auprès de celui-ci reste donc impossible.

Une injection indirecte L’assistant pouvait consulter des sites externes pour comparer certains produits. Les chercheurs ont placé des instructions dans un contenu qu’ils contrôlaient. L’assistant a récupéré ces instructions pendant une tâche légitime. Il les a ensuite traitées comme de nouvelles consignes. Cette technique est appelée injection indirecte de prompt. Le contenu malveillant peut se trouver dans une page, un document ou une fiche produit. Une première couche de sécurité examinait les demandes avant leur transmission à l’assistant. Cette protection devait maintenir la conversation dans le domaine des achats. Les chercheurs ont constaté que cette protection ne s’appliquait pas uniformément aux différents champs de l’application.

Les chercheurs contournent le filtrage

Un champ moins protégé L’interface principale comportait des garde-fous, contrairement au champ de recherche classique de l’application. Rubin et Avraham ont utilisé cette différence pour obtenir des informations sur la configuration interne. L’assistant a révélé les noms de certains outils disponibles et la syntaxe nécessaire pour les appeler. Les chercheurs ont ensuite préparé d’autres instructions. Celles-ci ont amené l’assistant à exécuter du code dans son propre environnement informatique. Une division par zéro a produit une erreur Python. Cette erreur a confirmé que le code avait bien été exécuté. L’assistant a également renvoyé des listes de fichiers et d’autres informations sur son système.

Un signalement sans correctif Les chercheurs ont signalé les vulnérabilités le 13 mars. Le 16 juillet, plus de 90 jours après ce signalement, Rein Security indiquait qu’elles n’étaient toujours pas corrigées. L’entreprise n’a pas publié de mise à jour plus récente sur leur statut. Les chercheurs ont travaillé dans un environnement contrôlé, avec leur propre session. Ils n’ont pas consulté de données clients réelles. Ils n’ont pas modifié de commandes et n’ont pas tenté de perturber les systèmes du distributeur. Leur présentation est détaillée dans le programme de Black Hat USA 2026, tandis que Rein Security commercialise des outils de supervision des agents d’IA.

Les outils créent un angle mort

Des accès plus larges Les assistants d’achat peuvent récupérer des informations, appeler des services externes et utiliser des outils logiciels. Les distributeurs veulent aussi leur confier des listes d’achats, des stocks, des commandes et des achats. Chaque capacité supplémentaire augmente toutefois le nombre d’actions que l’assistant peut effectuer après une consigne trompeuse. Selon Rein Security, le système de sécurité surveillait les messages des utilisateurs et les réponses de l’assistant. Il ne voyait pas nécessairement les contenus récupérés ni les outils utilisés entre ces messages. Les chercheurs ont aussi observé des clés d’API Google Maps dans le trafic déchiffré de l’application. Ils n’ont pas déclaré les avoir utilisées pour accéder à des données clients.