La vulnérabilité en Amazon Kiro permet l'exfiltration de données en utilisant Kiro Powers

Les chercheurs en sécurité ont mis en évidence un échec dans Amazon Kiro, l'environnement de développement intégré (IDE) avec des fonctionnalités d'agents pilotées par l'IA, qui permet l'exfiltration de données locales en traitant les fichiers de projets et les soi-disant « puissance de Kiro ». Fait confirmé: la vulnérabilité a été reproduite contre Kiro IDE 0.7.45 sur Windows par la firme MindGuard et, après une divulgation responsable, Amazon a corrigé la défaillance dans la version 0.8.140; la plus récente version disponible est 1.0.337.

En termes simples, la chaîne d'attaque profite des fichiers de dépôt contrôlés par l'attaquant que l'IA elle-même interprète comme des instructions. Kiro Powers - qui regroupe les configurations de serveur MCP (Modèle Context Protocol), adresse des fichiers tels que "POWER.md", des crochets et des connaissances contextuelles - peut fournir un agent persistant avec le contexte et les outils à utiliser. MindGuard a montré que si un utilisateur ouvre un fichier d'espace de travail malveillant en utilisant File → Open Workspace From File puis envoie un message à l'agent, le flux vulnérable peut être activé et transmis des informations sensibles à un serveur externe sans que l'utilisateur ait explicitement demandé l'expédition.

Les éléments vérifiés de l'attaque sont clairs : l'explosion est reproductible dans les espaces de travail marqués et « confiants » et dans ceux qui ne l'ont pas été, la difficulté de fonctionnement a été jugée faible et le vecteur n'exige pas de l'utilisateur d'écrire une invitation malveillante : il suffit d'ouvrir le fichier de l'espace de travail et d'envoyer tout message pour déclencher la filtration. MindGuard décrit la racine comme une défaillance aux frontières de la confiance : le contenu contrôlé par le dépôt influence l'agent ; l'agent lit des informations locales sensibles ; cette information est écrite dans les configurations IDE et une capacité IDE ultérieure transforme cette configuration en trafic réseau.

Comment ça marche techniquement: Kiro intègre l'interprétation contextuelle et les exécutions d'outils dans le même flux. Les fichiers projet peuvent injecter des instructions persistantes (le fichier POWER.md) qui indiquent à l'agent que les serveurs et crochets MCP sont disponibles et quand les invoquer. Si ces instructions vous permettent de lire des fichiers locaux et de les formater dans un appel vers une ressource externe (par exemple, une requête HTTP vers une URL contrôlée par un attaquant), l'information est exfiltrée sans approbation supplémentaire de l'utilisateur. La vulnérabilité spécifique exploitée par MindGuard lie la capacité de l'agent à lire et à écrire des configurations et la capacité de l'IDE à exécuter ou convertir ces configurations en activité réseau.

Qui est touché: utilisateur final et organisations qui exécutent des versions vulnérables de Kiro sur Windows, en particulier 0,7.45 selon les tests publiés. Il n'y a pas d'identificateur CVE attribué à cette défaillance au moment du rapport; cependant, Amazon a déjà déployé un patch. Il n'est pas confirmé par des sources publiques si macOS ou Linux ont été testés ou affectés dans la même mesure ; cette extension reste incertaine.

Cette découverte est liée à une tendance plus large : plusieurs outils et développement CLis avec des capacités IA ont montré des défaillances qui permettent d'exfiltration de secrets à l'exécution à distance de code par des vecteurs tels que l'injection rapide, la gestion de fichiers de configuration fiables et l'abus des voies de recherche sur Windows. Un des problèmes précédents de Kiro (CVE-2026-10591) avait déjà démontré la gravité possible lorsqu'un acteur peut forcer la réécriture de fichiers de configuration sensibles et provoquer une exécution automatique lors de l'ouverture d'un dossier. Pour les références techniques et les dossiers de vulnérabilité connexes, voir, par exemple, le fichier NVD du CVE-2026-10591 et les analyses publiées par l'entreprise qui a signalé la constatation: CVE-2026-10591 en NVD et MindGuard.

Incidences réelles: dans des scénarios de risque pratiques, un développeur qui ouvre un projet téléchargé à partir d'un dépôt inconnu (ou même apparemment fiable si l'attaque est cachée) pourrait filtrer les clés, les jetons, le code privé ou tout fichier accessible au processus IDE aux serveurs contrôlés par les attaquants. Comme l'activation n'exige que « l'envoi d'un message » à l'agent, l'action semble banale du point de vue de l'utilisateur, ce qui augmente le risque d'exploitation accidentelle. Il n'existe aucune preuve publique dans le rapport sur l'exploitation de l'état sauvage, de sorte que la portée réelle des intrusions antérieures demeure incertaine.

Mesures spécifiques à prendre par le lecteur:: Les recommandations pratiques, qui distinguent les mesures immédiates des mesures structurelles, sont les suivantes :

Mise à jour immédiate : Si vous utilisez Kiro, mettez à jour dès que possible. Le patch signalé est présent dans la version 0.8.140; l'idéal est de passer à la version stable la plus récente (la 1.0.337 mentionnée dans le rapport) et de revoir les notes de publication avant et après la mise à jour.

Pratiques d'ouverture des projets: éviter d'ouvrir des fichiers d'espace de travail à partir de sources non vérifiées avec File → Ouvrir Workspace From File; au lieu de cela, cloner le dépôt et ouvrir le dossier directement ou manuellement inspecter le fichier d'espace de travail et tout POWER. md avant de permettre à Kiro de le traiter.

Reformé le réseau des environnements de développement: implémenter des règles de pare-feu qui limitent les connexions de processus IDE sortantes à des destinations non approuvées, et utiliser des procurations ou des enregistrements pour détecter des requêtes HTTP sortantes inattendues. Pour les équipements sensibles, envisager l'isolation dans les conteneurs ou les machines virtuelles avec des politiques de réseau strictes.

Contrôle et vérification de la configuration: désactiver ou restreindre l'installation automatique de serveurs MCP, de crochets ou de toute charge d'outils à distance à partir de dépôts externes, et surveiller les modifications aux fichiers de configuration qui peuvent intégrer des destinations réseau ou des commandes automatiques.

Politique organisationnelle et révisions : traiter les fichiers de projet comme un code exécutable: appliquer la révision de changement (demandes de tirage), balayage automatique de POWER. md contenu et règles qui bloquent les artefacts avec des instructions d'exécution automatique. Ajouter des contrôles pour l'accès à la numérisation secrète et des limites sur les permis de lecture de fichiers sensibles de l'IDE.

Si vous soupçonnez une exposition: révoquer et faire pivoter les lettres d'identité (jetons, clés SSH, clés API) qui auraient pu être accessibles à partir de l'espace de travail et examiner les journaux de sortie du réseau de la période de risque pour identifier les destinations inhabituelles. Il n'y a aucune preuve publique d'exploitation massive, mais s'il y a une suspicion fondée, agir comme si des secrets avaient été divulgués.

Enfin, il est important de souligner que vulnérabilité n'est pas juste un bug Kiro opportun mais un symptôme d'un problème architectural : lorsque les agents IA et les capacités d'exécution sont mélangés avec la configuration et le contenu du dépôt, les frontières de confiance sont exposées. Les programmes de sensibilisation devraient évoluer pour évaluer les itinéraires d'exécution de bout en bout, et les développeurs d'outils IA doivent concevoir des contrôles qui séparent explicitement le contenu du dépôt du plan d'exécution et des paramètres du réseau. Pour des lectures supplémentaires des risques et des guides de sécurité dans l'IV, le lecteur peut consulter les ressources officielles telles que celles de l'ACIS sur l'intelligence artificielle : CISA - Intelligence artificielle.