Kiro a laissé un dépôt exfiltrer des secrets, le correctif date de janvier
Mindgard a détaillé le 27 août 2026 une faille de Kiro IDE permettant au contenu contrôlé d’un dépôt de conduire l’agent à lire une donnée locale sensible, à l’insérer dans une URL de configuration, puis à provoquer son envoi vers un serveur externe. L’analyse technique de Mindgard indique que le scénario visait Kiro IDE 0.7.45 sous Windows et que le correctif avait déjà été intégré à la version 0.8.140 en janvier 2026.
La démonstration ne reposait pas sur une commande malveillante directement saisie par l’utilisateur. Celui-ci devait ouvrir le projet depuis un fichier d’espace de travail, puis envoyer un message quelconque à l’agent ; les instructions du dépôt pouvaient alors guider Kiro à travers ses outils, sa configuration Powers et une requête réseau sortante. La chaîne a été reproduite dans des espaces de travail approuvés comme non approuvés.
La publication d’août décrit un correctif de janvier
La divulgation publique détaillée est postérieure de plusieurs mois à la remédiation. La chronologie de Mindgard situe la découverte et le signalement de cette seconde voie d’exfiltration au 11 décembre 2025, la vérification initiale par HackerOne au 13 décembre, puis la vérification par Amazon et la mise à disposition de la remédiation au 26 janvier 2026.
Amazon donne un jalon légèrement différent. Dans sa réponse rapportée par The Hacker News, l’entreprise affirme avoir traité le problème dans la mise à jour de Kiro IDE du 15 janvier. Le média et Mindgard identifient néanmoins la même version corrigée, 0.8.140.
Les deux dates ne décrivent donc pas nécessairement la même étape : le 15 janvier peut correspondre à la mise à jour contenant le changement, tandis que le 26 janvier correspond, dans le relevé du chercheur, à la vérification du signalement et à la clôture de la remédiation. Les sources permettent d’établir que le correctif date de janvier, mais pas de réduire toute la chronologie à un jour unique.
Quatre frontières de confiance ont formé la chaîne
Le dépôt ne contenait pas un programme chargé d’envoyer directement un secret. La preuve de concept combinait quatre capacités légitimes de l’environnement, chacune faisant passer une donnée ou une instruction vers une couche disposant de davantage d’effets.
- Du dépôt vers l’agent. Un fichier d’espace de travail référençait un projet contenant un fichier index.md placé sous un répertoire .stuff dont le nom invitait l’agent à lire et à suivre les instructions. Du contenu de projet traité comme contexte devenait ainsi une consigne opérationnelle.
- De l’agent vers les données locales. Ces instructions demandaient de rechercher puis de lire une valeur sensible. Dans le test, un fichier .env contenait une fausse clé OPENAI_API_KEY utilisée pour rendre l’exfiltration observable sans exposer un véritable secret.
- Des données vers la configuration. La valeur lue remplaçait le marqueur XXX dans le réglage kiroAgent.powersRecommendationUrl du fichier .code-workspace. Le secret se retrouvait alors incorporé à une URL contrôlée par l’attaquant.
- De la configuration vers le réseau. L’invocation de kiroPowers avec l’action de configuration amenait l’IDE à récupérer la ressource indiquée. La valeur placée dans la chaîne de requête devenait visible sur le serveur externe.
Le résultat provenait donc de la composition entre interprétation du texte, accès aux fichiers, modification d’une configuration sensible et comportement réseau de l’application. Aucun composant n’avait besoin de recevoir isolément l’instruction explicite d’exfiltrer un secret.
La preuve de concept avait un périmètre précis
Deux actions de la victime restaient nécessaires. Le projet devait être ouvert avec la commande « Open Workspace From File », et non comme un simple dossier, puis l’utilisateur devait envoyer un message à l’agent. Ce message pouvait être ordinaire : il n’avait pas à citer le fichier piégé ni à demander l’accès à la donnée sensible.
Le comportement documenté concerne Kiro IDE 0.7.45 sous Windows. La publication ne démontre pas que toutes les anciennes versions, tous les systèmes d’exploitation ou toutes les méthodes d’ouverture réagissaient de manière identique. Elle établit en revanche que, dans cette configuration, le mécanisme de confiance de l’espace de travail n’arrêtait pas la chaîne.
La version minimale corrigée indiquée par les deux publications est 0.8.140. À la date de la divulgation, le journal officiel de Kiro IDE répertoriait déjà la version 1.0.395, publiée le 27 août 2026. Une installation récente se trouve donc au-delà de la version corrigée, tandis qu’une ancienne image de développement ou une machine isolée doit être contrôlée sur la base de sa version réellement installée.
Les vérifications découlent des quatre passages observés
Le premier contrôle consiste à inventorier les installations de Kiro IDE, y compris les machines virtuelles, images de poste et environnements de test, puis à vérifier qu’elles exécutent au minimum la version 0.8.140. La simple disponibilité d’une mise à jour ne prouve pas qu’elle a été installée.
- Recenser les dépôts tiers ouverts au moyen de fichiers .code-workspace, condition nécessaire dans la démonstration publiée.
- Examiner les noms de répertoires, fichiers Markdown et autres contenus de dépôt formulés comme des instructions destinées à l’agent.
- Rechercher des modifications inhabituelles de kiroAgent.powersRecommendationUrl, notamment des destinations externes ou des valeurs locales incorporées à l’URL.
- Corréler ces modifications avec l’invocation de Kiro Powers et avec des requêtes réseau vers des domaines inattendus.
- Si une ancienne version, une configuration suspecte et une requête sortante concordent, considérer les secrets accessibles dans l’espace comme potentiellement compromis et les renouveler.
L’état documenté est ainsi celui d’une faille corrigée en janvier et divulguée en détail en août, non celui d’un défaut encore dépourvu de solution. L’incertitude restante porte sur le jalon exact du déploiement en janvier — le 15 dans la déclaration d’Amazon, le 26 dans la chronologie de Mindgard — et non sur la version minimale intégrant le correctif.
À lire aussi:
Abonnez-vous à notre newsletter
Recevez directement les dernières actualités sur le Web3, l’IA et les cryptomonnaies.