MindsDB souffre d’une exécution de code à distance non authentifiée via son agent IA
CVE-2026-73678, notée CVSS 10, permet à un attaquant sans compte d’exécuter des commandes système sur la plateforme MindsDB en passant par l’outil scratchpad de l’agent Anton. Si vous exposez une instance MindsDB, coupez l’accès public avant même d’attendre un correctif.
14 août 2026. La base NVD enregistre CVE-2026-73678, un score CVSS de 10 — le maximum absolu. La cible n’est pas un pare-feu ni un VPN : c’est MindsDB, une plateforme d’IA qui connecte des modèles de langage à vos bases de données. Le vecteur : l’outil scratchpad de son agent Anton, qui appelle exec() sur du code Python influencé par l’attaquant, sans sandbox.
Le scénario est aussi simple qu’inquiétant. Un attaquant sans aucun compte envoie une requête forgée à l’endpoint POST /api/v1/responses/, atteint l’outil d’exécution de l’agent, et obtient des commandes système arbitraires sous l’identité du processus qui fait tourner la plateforme. Tout ce que l’instance avait en mémoire — clés SSH, identifiants stockés, secrets d’environnement — est à portée de main, plus la possibilité de pivoter vers le reste du réseau.
Un CVSS 10, trois conditions d’exploitation nulles
La gravité tient au vecteur, qui cumule les trois pires caractéristiques. Réseau : l’attaque arrive par Internet, sans proximité physique. Aucun privilège : pas besoin de s’authentifier. Aucune interaction : aucune victime humaine n’a rien à cliquer. C’est le triplet « Network · No privileges · No interaction » que les équipes sécurité redoutent — une exploitation entièrement automatisable, scannable à grande échelle.
La chaîne d’exploitation révèle un enchaînement de deux faiblesses. L’attaquant commence par configurer sa propre clé d’API de LLM via un endpoint de réglages non protégé (PUT /api/v1/settings/). Puis il invoque l’outil scratchpad de l’agent Anton, qui exécute du code Python dont la source est influencée par l’attaquant, sans aucune barrière de sandbox. Le résultat est une exécution de code à distance complète, décrite par la NVD comme permettant « d’exécuter des commandes système arbitraires » et d’accéder aux « identifiants d’environnement sensibles ».
MindsDB est le genre d’outil que les équipes data déploient vite, souvent en auto-hébergé, pour exposer des requêtes en langage naturel sur des bases internes. Sa valeur tient précisément à ce qu’il soit connecté à tout : bases, entrepôts, clés d’API de modèles. C’est exactement cette connectivité qui transforme une RCE en incident majeur — l’instance compromise devient un point de pivot vers les données qu’elle était censée servir.
Les agents IA élargissent la surface d’attaque, pas seulement l’IA
Ce qui rend CVE-2026-73678 instructive au-delà de MindsDB, c’est le motif. L’outil scratchpad — un espace où l’agent écrit et exécute du code pour raisonner — est un primitif d’exécution désormais standard dans les frameworks d’agents. Chaque plateforme qui ajoute un « tool » d’exécution de code ajoute, mécaniquement, une RCE potentielle à sa surface. Et on déploie ces plateformes avec la discipline d’une base de données interne, parfois moins.
Le risque se décompose en trois couches. D’abord, l’exposition : un endpoint d’API non authentifié est la porte d’entrée. Ensuite, l’outillage : un agent capable d’exec() transforme n’importe quelle entrée mal contrôlée en commande système. Enfin, le sandbox : l’absence d’isolation entre le code de l’agent et le système hôte fait la différence entre une exécution confinée et une compromission totale. Sur MindsDB, les trois couches sont tombées en même temps — d’où le 10.
La différence avec une injection SQL classique mérite d’être soulignée. Une injection SQL exige souvent de comprendre le schéma de la base et de contourner des filtres ; ici, l’attaquant n’a rien à comprendre du métier de la cible. L’outil d’exécution fait le travail à sa place : il transforme directement une entrée en commande. C’est un raccourci d’exploitation qui abaisse le niveau technique requis et élargit mécaniquement le vivier d’attaquants.
Le parallèle avec l’injection de prompt est direct. Un agent qui exécute du code à partir d’une entrée non fiable est vulnérable par construction, même sans « injection » sophistiquée : il suffit que l’entrée atteigne l’outil d’exécution. La leçon vaut pour tous les produits d’agents connectés à des données : l’outil d’exécution doit être optionnel, désactivable et isolé, jamais activé par défaut sur un endpoint public.
Qui est concerné, et comment le savoir
MindsDB cible les équipes data et IA qui veulent interroger leurs bases en langage naturel. Il se déploie typiquement en auto-hébergé — image Docker ou pip install — sur une machine qui a accès aux bases internes, aux entrepôts et aux clés d’API des modèles. C’est précisément cette position, au centre du système d’information, qui fait de CVE-2026-73678 un incident à fort impact malgré un produit de niche.
La question du périmètre est simple à poser : toute instance en version 26.1.0 ou antérieure est vulnérable, et l’exploitation ne demande aucun compte. Vérifier sa version et la joignabilité de l’endpoint POST /api/v1/responses/ suffit à établir l’exposition. Une instance derrière un VPN ou une liste blanche d’IP n’est pas atteignable de l’extérieur ; une instance exposée l’est.
Le signal dépasse MindsDB. Le motif — un outil d’exécution de code joignable sans authentification — se retrouvera dans d’autres plateformes d’agents. La parade de fond ne change pas : l’outil d’exécution d’un agent doit vivre dans un conteneur dédié, sans accès réseau interne par défaut, et jamais derrière un endpoint public. Un agent qui raisonne n’a pas besoin d’un shell sur l’hôte.
Que faire en l’absence de correctif confirmé
Au 15 août 2026, la disponibilité d’un correctif éditeur n’était pas confirmée dans les agrégateurs, et aucun exploit public n’était documenté — mais l’absence d’exploit public n’est pas une protection, surtout pour une faille exploitable sans authentification. La réponse tient en trois gestes, dans l’ordre.
Isoler d’abord. Restreignez l’accès aux endpoints de la plateforme via un pare-feu ou un VPN. Si l’instance n’a pas de raison d’être joignable depuis Internet, retirez-la de l’exposition publique immédiatement — c’est la mesure qui rapporte le plus, et elle est réversible quand la rustine arrivera.
Surveiller ensuite. Les deux endpoints impliqués laissent des traces nettes dans les journaux du frontal web :
# Repérer les appels vers l'endpoint RCE et l'endpoint de configuration du LLM
grep -E "POST /api/v1/responses/|PUT /api/v1/settings/" /var/log/nginx/access.logUne requête PUT /api/v1/settings/ suivie de près d’un POST /api/v1/responses/ depuis la même adresse est le schéma exact de l’exploitation documentée.
Durcir enfin. En amont d’un correctif, un WAF correctement réglé peut bloquer les requêtes contenant de la syntaxe Python suspecte vers l’endpoint de réponses. C’est un filet partiel — les variantes passent — mais il complète l’isolation réseau, il ne la remplace pas. Désactivez l’agent Anton et son outil d’exécution si votre usage de MindsDB ne les requiert pas.
Verdict
Si vous exposez une instance MindsDB sur Internet, traitez-la comme compromise jusqu’à preuve du contraire : coupez l’exposition publique, inspectez les journaux pour les PUT /api/v1/settings/ anormaux, et préparez la rotation des secrets que l’instance pouvait lire — clés de base de données, clés d’API de modèles, identifiants d’environnement.
Si vous adoptez des plateformes d’agents connectées à des données, intégrez une règle dans votre processus : l’outil d’exécution de code d’un agent est un privilège critique, pas une fonctionnalité anodine. Il doit être désactivé par défaut, isolé dans un sandbox quand il est actif, et jamais exposé sur un endpoint non authentifié.
Le signal de fond est clair : les agents IA ne déplacent pas le risque vers « l’IA », ils le déplacent vers l’exécution. Chaque outil qui transforme une entrée en commande est une nouvelle porte — et les équipes qui les déploient comme des briques internes, sans revue d’exposition, sont celles que ce genre de CVSS 10 frappe en premier.