RECHERCHE
Mai 2026 : l'informatique confidentielle tombe face au matériel amateur, OAuth et MCP
Mai 2026 est le mois d'IEEE S&P. Avec du matériel bon marché sur le bus mémoire, deux équipes cassent Intel SGX, TDX et AMD SEV-SNP, et le Rowhammer sur GPU mène jusqu'au contrôle du système. Les outils MCP s'enchaînent pour exfiltrer des données, et les navigateurs à agents IA contournent l'isolation des sites. OAuth, gestionnaires de mots de passe et attribution complètent le mois.
Archives : reconstitution rédigée en novembre 2026
1. TEE.Fail: Breaking Trusted Execution Environments via DDR5 Memory Bus Interposition
IEEE Symposium on Security and Privacy · Jalen Chuang, Alex Seto, Nicolas Berrios, Stephan van Schaik et al. · Matériel et canaux auxiliaires
En bref: Avec des pièces achetées en ligne, TEE.Fail écoute le bus DDR5 et extrait des clés d'Intel SGX, TDX et AMD SEV-SNP.
Le passage des enclaves des PC aux machines virtuelles confidentielles sur serveur a privé le chiffrement mémoire d'intégrité et de protection contre le rejeu. Les auteurs construisent une sonde de bus DDR5 avec des pièces du commerce en ligne et, grâce au chiffrement déterministe, extraient des clés secrètes, parfois d'attestation, de machines en statut pleinement fiable.
Pourquoi c'est important. De nombreux services cloud promettent la confidentialité même vis-à-vis du fournisseur : il faut savoir qu'un accès physique l'annule à faible coût.
2. Battering RAM: Low-Cost Interposer Attacks on Confidential Computing via Dynamic Memory Aliasing
IEEE Symposium on Security and Privacy · Jesse De Meulemeester, David Oswald, Ingrid M.R. Verbauwhede, Jo Van Bulck · Matériel et canaux auxiliaires
En bref: Une sonde DDR4 bon marché modifie à la volée les adresses mémoire et casse l'attestation de SGX et SEV-SNP.
L'informatique confidentielle chiffre la mémoire et vérifie les alias au démarrage. Battering RAM est une sonde DDR4 peu coûteuse qui modifie les lignes d'adresse en cours d'exécution et contourne ces contrôles. Les auteurs lisent et écrivent en clair dans Scalable SGX, extraient sa clé de provisionnement et cassent à nouveau l'attestation d'AMD SEV-SNP.
Pourquoi c'est important. Les défenses firmware contre l'aliasing n'arrêtent pas un attaquant physique : le risque concerne surtout les centres de données tiers.
3. GPUBreach: Privilege Escalation Attacks on GPUs using Rowhammer
IEEE Symposium on Security and Privacy · Chris S. Lin, Yuqin Yan, Guozhen Ding, Joy Qu et al. · Matériel et canaux auxiliaires
En bref: GPUBreach exploite le Rowhammer sur la mémoire des GPU NVIDIA pour monter en privilèges jusqu'au contrôle du système.
Le Rowhammer sur GPU ne servait jusqu'ici qu'à altérer au hasard les poids des modèles. GPUBreach repère où sont allouées les tables de pages du GPU et les modifie par inversions de bits ciblées : un processus sans privilèges accède à la mémoire d'autres processus ou clients, extrait des clés et altère le code des modèles. Il obtient ensuite un shell root sur le CPU, en contournant l'IOMMU.
Pourquoi c'est important. Les GPU partagés dans le cloud deviennent un point de compromission pour tous leurs clients : un risque de cumul à évaluer.
4. Parasites in the Toolchain: A Large-Scale Analysis of Attacks on the MCP Ecosystem
IEEE Symposium on Security and Privacy · Shuli Zhao, Qinsheng Hou, Zihan Zhan, Yanhao Wang et al. · Sécurité de l'IA et des LLM
En bref: Des instructions cachées dans les données enchaînent des outils MCP légitimes pour exfiltrer des informations privées.
Avec le Model Context Protocol, les LLM orchestrent des chaînes d'outils. Les auteurs décrivent des attaques parasites : des instructions cachées dans des sources lues pendant une tâche légitime assemblent des outils anodins en un flux qui collecte et exfiltre des données privées, sans interaction de la victime. Sur 12 230 outils et 1 360 serveurs MCP, beaucoup d'éléments sont exploitables.
Pourquoi c'est important. MCP manque d'isolation et de moindre privilège : relier des outils d'entreprise à un agent impose de limiter soigneusement ses droits.
5. Site Isolation is Dead: How Site Isolation is Broken in Agentic Browsers and Extensions
IEEE Symposium on Security and Privacy · Suyoung Lee, Seongho Keum, C W Lee, Dongwon Shin et al. · Sécurité de l'IA et des LLM
En bref: Tous les navigateurs et extensions à agents IA analysés permettent de contourner l'isolation des sites.
L'isolation des sites empêche une page malveillante de lire les données d'autres sites. Mais les navigateurs à agents IA relient processus privilégiés et pages non fiables par des canaux internes. En étudiant deux navigateurs open source et sept extensions, les auteurs exploitent ces canaux pour injecter des prompts et voler des données d'autres sites. Tous les produits testés sont vulnérables.
Pourquoi c'est important. Les navigateurs à agents IA rouvrent un risque que l'isolation des sites avait fermé : leur adoption en entreprise mérite une évaluation attentive.
6. Credential Extraction Attacks Against Compromised Credential Checking Services of Password Managers
IEEE Symposium on Security and Privacy · Yihe Duan, D Y Wang, Yutong Li · Identité et authentification
En bref: Les vérifications de mots de passe compromis des gestionnaires laissent des traces qui identifient les utilisateurs.
De nombreux gestionnaires vérifient si les identifiants figurent dans des fuites via des services comme Have I Been Pwned, par requêtes k-anonymes. Mais ces requêtes sont déterministes et suivent des schémas reconnaissables. Un service curieux peut identifier 83 à 88 % des utilisateurs et augmenter de 15 à 30 % la réussite au premier essai. Dix gestionnaires sur 14 sont vulnérables.
Pourquoi c'est important. Même les fonctions de sécurité peuvent laisser fuir des informations : les tiers de la chaîne des gestionnaires de mots de passe sont à évaluer.
7. Audience Injection Attacks: A New Class of Attacks on Web-Based Authorization and Authentication Standards
IEEE Symposium on Security and Privacy · Pedram Hosseyni, Ralf Küsters, Tim Würtele · Identité et authentification
En bref: Une nouvelle classe d'attaques sur OAuth et OpenID Connect permet d'usurper des utilisateurs, même en open banking.
Les attaques par audience injection visent des standards comme OAuth 2.0, OpenID Connect et FAPI, utilisés aussi en open banking, assurance et santé. Elles exploitent la gestion du destinataire dans l'authentification des clients par signature quand plusieurs serveurs interviennent. L'attaquant peut usurper des utilisateurs et accéder à leurs ressources. Une douzaine de standards sont en révision.
Pourquoi c'est important. Les plateformes d'assurance et de finance qui utilisent ces standards doivent vérifier que leurs fournisseurs appliquent les correctifs.
8. Demystifying the (In)Security of Oauth-Based Account Linking in Connector Ecosystems
IEEE Symposium on Security and Privacy · Kaixuan Luo, Xianbo Wang, Pui Ho Adonis Fung, Wing Cheong Lau · Web et mobile
En bref: La liaison de comptes OAuth dans les connecteurs d'apps et d'agents IA permet de prendre le contrôle de comptes d'autrui.
Apps, plateformes d'automatisation et agents IA se relient à des outils externes via des connecteurs OAuth, poussant le protocole au-delà de son modèle d'origine. Les auteurs montrent comment ces connexions brisent l'intégrité de session et permettent la prise de contrôle de comptes : 40 fournisseurs sont vulnérables, plus 8 services OAuth gérés.
Pourquoi c'est important. Chaque connecteur reliant un agent aux systèmes de l'entreprise est un point de vol de compte possible : il doit entrer dans l'évaluation du risque.
9. APT to Disagree: A Comparative Analysis of Attribution in Commercial TI
IEEE Symposium on Security and Privacy · Aksel Ethembabaoglu, Rolf van Wegberg, Yury Zhauniarovich, Michel J. G. van Eeten · Malware et menaces
En bref: Sept fournisseurs de renseignement sur les menaces, 13,5 millions d'indicateurs : peu de recoupements, accord seulement sur le pays.
Les auteurs comparent 13,5 millions d'indicateurs de compromission recueillis sur 14 ans par sept fournisseurs commerciaux de renseignement sur les menaces. La plupart des acteurs suivis par l'un ne le sont par aucun autre, et 1 % seulement des indicateurs apparaît dans plusieurs sources. L'accord sur l'attribution à un groupe est modéré, celui sur le pays d'origine élevé.
Pourquoi c'est important. L'attribution d'une attaque pèse sur des clauses comme l'exclusion de guerre : cette étude montre combien elle varie d'une source à l'autre.
10. Incalmo: an Autonomous Llm-Assisted System for Red Teaming Multi-Host Networks
IEEE Symposium on Security and Privacy · Brian Singer, Keane Lucas, Lakshmi Adiga, Meghna Jain et al. · Sécurité de l'IA et des LLM
En bref: Incalmo s'empare des actifs critiques dans 37 réseaux d'entreprise simulés sur 40, en moins d'une heure et pour moins de 15 dollars.
Les outils d'attaque à base de LLM échouent à se déplacer entre de nombreux hôtes. Incalmo fait planifier le LLM en tâches de haut niveau exécutées par des agents spécialisés, avec des services qui suivent le contexte et les actifs acquis. Sur 40 réseaux simulés de 22 à 50 hôtes, il atteint ses objectifs 37 fois, contre 3 pour les systèmes précédents, en 12 à 54 minutes.
Pourquoi c'est important. Les attaques complexes en plusieurs étapes deviennent automatisables et bon marché : fréquence et vitesse des incidents peuvent augmenter.
Les tendances du mois
Matériel et canaux auxiliaires
57 articles du mois sur ce thème
L'informatique confidentielle perd une garantie de plus. Deux équipes indépendantes, avec du matériel bon marché sur les bus DDR4 et DDR5, extraient des clés et cassent l'attestation d'Intel et d'AMD, tandis que GPUBreach montre que le Rowhammer sur GPU mène au contrôle total du système. Les protections promises tiennent face au logiciel, pas face à un accès physique.
Articles cités:
- TEE.Fail: Breaking Trusted Execution Environments via DDR5 Memory Bus Interposition
- Battering RAM: Low-Cost Interposer Attacks on Confidential Computing via Dynamic Memory Aliasing
- GPUBreach: Privilege Escalation Attacks on GPUs using Rowhammer
Sécurité de l'IA et des LLM
723 articles du mois sur ce thème
Avec 723 articles sur 2 627, la sécurité de l'IA reste le premier thème. Les outils MCP s'enchaînent pour exfiltrer des données, les navigateurs à agents IA contournent l'isolation des sites et un système autonome conquiert des réseaux d'entreprise simulés en moins d'une heure. Les agents élargissent à la fois la surface d'attaque et la capacité offensive.
Articles cités:
- Parasites in the Toolchain: A Large-Scale Analysis of Attacks on the MCP Ecosystem
- Site Isolation is Dead: How Site Isolation is Broken in Agentic Browsers and Extensions
- Incalmo: an Autonomous Llm-Assisted System for Red Teaming Multi-Host Networks
Identité et authentification
85 articles du mois sur ce thème
Les standards d'identité montrent des fissures structurelles. Une nouvelle classe d'attaques touche OAuth et OpenID Connect jusqu'à l'open banking et l'assurance, les connecteurs OAuth des apps et agents permettent le vol de comptes, et les vérifications de fuites des gestionnaires de mots de passe en révèlent trop. Les correctifs passent par les organismes de normalisation.
Articles cités:
- Audience Injection Attacks: A New Class of Attacks on Web-Based Authorization and Authentication Standards
- Demystifying the (In)Security of Oauth-Based Account Linking in Connector Ecosystems
- Credential Extraction Attacks Against Compromised Credential Checking Services of Password Managers
Comment ce digest est réalisé
Ce numéro fait partie des archives du digest, reconstituées a posteriori. Les articles du mois ont été collectés depuis arXiv, l'archive IACR ePrint et les principales conférences et revues de sécurité ; la sélection tient aussi compte des citations reçues depuis la publication. Un modèle d'intelligence artificielle a évalué les candidats et rédigé les synthèses, qui reposent sur les abstracts : pour les détails, l'article original fait foi.
Articles du mois évalués : 2627.