Une IA trouve quatre failles dans le contrôle d'un accélérateur
Un agent autonome a trouvé seul quatre failles dans EPICS, un logiciel de contrôle utilisé par des accélérateurs de particules et des expériences de fusion. Il lui a fallu moins de quatre heures, et le correctif est déjà publié.
Actualité du 28 octobre 2026 · 1 min 35 · 5 sources · 12 affirmations sourcées
En 30 secondes
L'essentiel
- Un agent d'IA a trouvé seul quatre failles réelles dans EPICS Base, en 3 h 49, sans connaissance préalable du système.
- Les failles permettent de faire planter un contrôleur, de lire ou d'écrire hors de sa mémoire ; l'exécution de code n'a pas été obtenue.
- Le correctif est publié en 7.0.11 : mettre à jour, isoler le réseau de contrôle, et ne plus compter sur l'obscurité.
Ce qui est établi, et ce qui ne l'est pas
Chaque affirmation de l'épisode, son statut et ses sources.
- ÉtabliQuatre vulnérabilités dans EPICS Base 7.0.10 et antérieures, corrigées en 7.0.11 ; avis CISA ICSA-26-300-01 du 27 octobre 2026
- ÉtabliScores CVSS 3.1 : 9,8 pour CVE-2026-114595, 8,2 pour CVE-2026-114596, 7,5 pour CVE-2026-114597 et 7,5 pour CVE-2026-114598
- ÉtabliCVE-2026-114595 : dépassement d'entier dans le traitement des requêtes réseau, allocation d'une taille fausse, puis corruption mémoire, déni de service ou exécution de code potentielle
- ÉtabliExploitables sans privilège ni interaction de l'utilisateur : vecteur CVSS AV:N/AC:L/PR:N/UI:N
- RapportéAccès réseau aux services EPICS requis, typiquement TCP 5064 (Channel Access) ou 5075 (pvAccess) ; les quatre failles touchent ces deux protocoles
- RapportéCipher, agent autonome de Causal Security, a trouvé seul les quatre failles en 3 h 49, sans connaissance préalable d'EPICS, avec une seule instruction humaine pour autoriser les tests d'exploitabilité
- RapportéAucune exécution de code aboutie : l'écriture hors limites et le plantage ont été démontrés avec AddressSanitizer, l'exploit d'exécution n'a pas été poursuivi
- ÉtabliAucune exploitation publique de ces failles signalée à la CISA à la date de l'avis
- RapportéEnviron 90 grands projets scientifiques utilisent EPICS, dont le synchrotron d'Argonne et le contrôle du réacteur ITER, selon Causal Security
- RapportéLes failles ont entre environ 14,5 et 31,5 ans ; les mainteneurs ont été prévenus le 9 juin, les correctifs fusionnés en juillet et août
- InconnuNombre d'installations EPICS joignables depuis Internet inconnu ; une vérification Censys a relevé des candidats par ports exposés, aucun confirmé comme EPICS
- ÉtabliRecommandations CISA : réduire l'exposition réseau, placer les réseaux de contrôle derrière un pare-feu et les isoler du réseau bureautique, utiliser un VPN pour l'accès distant
Transcription
En trois heures et quarante-neuf minutes, un agent d'intelligence artificielle a trouvé seul quatre failles dans un logiciel de contrôle d'accélérateurs de particules. Il ne connaissait rien au système. L'une d'elles dormait dans ce code depuis plus de trente ans.
CyberFlash, c'est l'émission cybersécurité de DecodeVox. Ici, on ne s'arrête pas aux gros titres : on décrypte les attaques, on révèle leurs mécanismes et on explique ce qu'elles changent concrètement.
Mais comment un programme trouve-t-il une faille invisible ?
Pour atteindre un contrôleur, il faut déjà être sur le réseau de contrôle. Là, deux protocoles transportent les mesures et les commandes : Channel Access et pvAccess. Un message qui annonce une fausse longueur suffit à déborder la mémoire du processus.
Ce qui est établi : l'avis de la CISA, du 27 octobre, un correctif publié en 7.0.11, et une écriture hors limites démontrée, sans exécution de code aboutie. Ce qu'on ignore : combien d'installations sont joignables depuis Internet, ce qu'un attaquant en ferait, et quel impact physique cela pourrait avoir. Aucune exploitation publique n'a été signalée.
Trois réflexes. Un : mettre à jour vers 7.0.11. Deux : segmenter le réseau de contrôle, pour qu'un poste bureautique ne puisse pas joindre un accélérateur. Trois : ne plus compter sur l'obscurité, car une faille dans un logiciel rare se trouve désormais en quelques heures.
La découverte d'une faille critique ne se compte plus en mois d'expertise. Elle se compte en heures de calcul.
Pour aller plus loin, retrouvez l'édition complète du jour sur notre plateforme en ligne, le lien en description. Abonnez-vous à DecodeVox pour ne rien manquer de nos prochains décryptages. Et dites-nous en commentaire : saviez-vous qu'un accélérateur tourne sur de l'open source ?
La suite
Continuer
1 min 27Quand on vole votre budget d'IA
1 min 35Un lien partagé pouvait lire vos conversations privées
1 min 40L'extension officielle qui cachait une porte dérobée
Ne pas manquer le prochain épisode
Le flux RSS annonce chaque nouvel épisode, sans compte ni inscription.
L'actu cyber complète du jour
Les 10 actualités du mercredi 28 octobre 2026, dont celle-ci, avec leurs sources.