Magazine LLM Opensource · 7 September 2026

Nemo(Claw) : quand le garde du corps d’OpenClaw devient la porte d’entrée des empoisonneurs

En août 2026, les chercheurs de Cyera’s Oasis Identity Research ont mis au jour une faille aussi ironique que redoutable : NemoClaw, le wrapper de sécurité signé Nvidia censé protéger les agents OpenClaw, contient lui-même une vulnérabilité d’empoisonnement par le réseau. L’outil conçu pour verrouiller la porte a laissé la fenêtre grande ouverte. Décryptage d’une attaque silencieuse qui pourrait bien redéfinir les règles de la sécurité agentique.

Le paradoxe Nemo(Claw) : quand le garde du corps devient la faille

Il y a dans cette histoire un goût de tragédie grecque. OpenClaw, le framework open-source d’agents IA qui a conquis développeurs et entreprises par sa flexibilité — installable sur macOS, Windows, Raspberry Pi, compatible avec n’importe quel modèle —, avait trouvé son chevalier servant en Nvidia. Le géant californien avait dévoilé NemoClaw, un « security wrapper » destiné à ceinturer les ardeurs des agents : sandbox limitant les accès fichiers aux répertoires sandbox et tmp, Policy Engine basé sur des fichiers YAML pour définir les actions autorisées, les appels réseau et les demandes nécessitant une approbation explicite. Le tout présenté comme la réponse aux angoisses des entreprises — Salesforce, Cisco, Adobe sont citées comme cibles de ce déploiement sécurisé.

Sauf que le 30 août 2026, les chercheurs de Cyera’s Oasis Identity Research ont publié leurs travaux : NemoClaw, l’armure, est percée. Pire, c’est précisément dans l’armure que se cache le poignard. Une configuration réseau défaillante dans l’intégration d’Ollama — le runtime open-source d’inférence LLM locale — permet à un attaquant distant d’empoisonner silencieusement et durablement le template de chat du modèle, corrompant les instructions des agents OpenClaw sans la moindre interaction utilisateur.

Le paradoxe est total. L’outil censé apporter la sécurité devient le vecteur de l’attaque. Non pas par une faille exotique dans le code du framework, mais par une erreur de configuration aussi banale qu’une porte laissée entrouverte. Cette découverte, rapportée par Dark Reading et reprise par des blogs spécialisés comme Clawbeat, n’a pas encore reçu de confirmation officielle de Nvidia ni d’attribution CVE par NVD ou MITRE — le CVE-2026-65105 circule sur LinkedIn sans validation officielle. Mais la démonstration technique, elle, est suffisamment solide pour inquiéter.

Le cheval de Troie dans le réseau : comment Ollama a ouvert la porte

Plongeons dans les entrailles du mécanisme. Ollama, pour rappel, est un runtime d’inférence locale très prisé des développeurs d’agents : il permet d’exécuter des modèles LLM en local, sans dépendre d’API cloud, avec une simplicité déconcertante. NemoClaw l’a intégré comme composant central pour l’inférence des agents OpenClaw. C’est cette intégration qui est devenue le point d’entrée.

Le problème réside dans la configuration réseau par défaut de cette intégration. Ollama expose une API HTTP locale, généralement sur le port 11434, qui permet de soumettre des requêtes d’inférence, de gérer les modèles, et surtout de définir le « template de chat » — le format dans lequel les messages sont structurés avant d’être envoyés au modèle. Ce template est un élément critique : c’est lui qui détermine comment les instructions système, les messages utilisateur et les réponses de l’assistant sont formatés. Corrompre ce template, c’est altérer la manière même dont l’agent interprète ses instructions.

L’attaque se déroule en plusieurs temps. Premièrement, l’attaquant identifie une instance OpenClaw dont l’intégration Ollama est joignable — soit parce que le port est exposé sur Internet, soit parce que la configuration réseau par défaut ne restreint pas suffisamment les connexions entrantes. Deuxièmement, il envoie des requêtes HTTP malveillantes à l’API Ollama, exploitant la configuration laxiste pour modifier le template de chat enregistré. Troisièmement, une fois le template corrompu, chaque future requête de l’agent — chaque nouvelle conversation, chaque exécution de tâche — intègre les instructions empoisonnées de l’attaquant.

La furtivité est remarquable. L’empoisonnement ne laisse aucune trace visible dans les journaux d’activité de l’agent : les conversations semblent normales, les réponses du modèle paraissent cohérentes. Mais sous le capot, les instructions cachées peuvent ordonner à l’agent d’exfiltrer des données, d’exécuter des commandes arbitraires, ou de rediriger des flux d’information vers des serveurs contrôlés par l’attaquant. La latence d’exploitation est quasi nulle : une fois le template corrompu, l’effet est immédiat lors de la prochaine inférence. Et la persistance est durable : tant que le template n’est pas restauré, l’empoisonnement continue de faire son œuvre silencieusement.

Surface d’exposition : qui est vraiment à portée de tir ?

La question qui fâche est simple : cette faille est-elle exploitable depuis Internet sur une configuration par défaut, ou nécessite-t-elle un prérequis local ? Les sources disponibles ne permettent pas de trancher avec certitude. Ce qui est documenté, c’est que l’intégration Ollama dans NemoClaw crée un vecteur réseau — et que la configuration par défaut d’Ollama, qui écoute sur toutes les interfaces et non seulement sur localhost, est un piège classique. Combiné à une exposition accidentelle du port sur un pare-feu ou un reverse proxy mal configuré, le vecteur devient exploitable à distance.

Mais il faut être honnête : les détails précis de la configuration par défaut d’OpenClaw avec NemoClaw ne sont pas publics. Les chercheurs de Cyera n’ont pas publié de preuve de concept complète, et les blogs qui relayent l’information restent vagues sur ce point. Ce qui est certain, c’est que les composants architecturaux touchés sont les plus sensibles : l’orchestrateur (qui gère les flux de conversation et les décisions de l’agent), les exécuteurs d’outils (qui permettent à l’agent d’interagir avec le monde extérieur), et le sandbox lui-même — puisque c’est dans les répertoires restreints que le template empoisonné est stocké.

Les limites du sandbox de NemoClaw sont d’ailleurs un autre point d’attention. Le wrapper n’est disponible que sous Linux, restreint aux répertoires sandbox et tmp, et ne fonctionne qu’avec les modèles Neotron de Nvidia. Autrement dit, les déploiements réels qui utilisent d’autres modèles — très nombreux, OpenClaw étant justement apprécié pour sa compatibilité multi-modèles — ne sont pas protégés par le sandbox, et donc potentiellement exposés à d’autres vecteurs. La surface d’exposition ne se limite donc pas à la seule faille Nemo(Claw) : elle englobe l’ensemble des configurations où la sécurité repose sur des rustines plutôt que sur une architecture robuste.

Trois visages de l’empoisonnement : réseau, documents, données d’entraînement

Pour bien comprendre la gravité de cette faille, il faut la situer dans le paysage plus large des attaques par empoisonnement des LLM. Trois grandes familles existent, avec des caractéristiques radicalement différentes.

L’injection de prompt indirecte (IPI) est la plus connue : elle exploite le contenu de documents ou de pages web lus par l’agent pour injecter des instructions malveillantes dans le contexte de l’inférence. Sa détection est difficile car le contenu malveillant est noyé dans un flux légitime — une page web contient des centaines de tokens, et l’instruction cachée peut être formulée de manière à passer inaperçue. La latence d’exploitation est immédiate : dès que l’agent lit le document, l’effet se produit. La gravité est généralement limitée à l’exfiltration de données ou à des actions non autorisées dans le contexte de l’agent — mais pas au-delà.

L’empoisonnement des données d’entraînement (EDE) est plus insidieux encore : il modifie le jeu de données en amont, créant des backdoors persistantes dans le modèle lui-même. La détection nécessite une analyse forensique approfondie — inspection des poids, tests adversariaux — et la latence est différée : l’attaque n’a d’effet qu’après l’entraînement et le déploiement. La gravité peut être totale : un modèle backdooré peut obéir à des commandes cachées pendant des années sans que personne ne s’en aperçoive.

La faille Nemo(Claw) se situe entre les deux. Elle cible la couche de communication entre l’agent et le modèle — le template de chat —, ce qui la rend immédiate comme l’IPI, mais persistante comme l’EDE. Et surtout, elle ne nécessite aucune interaction avec un document ou une page web : l’attaquant agit directement sur le runtime, sans que l’utilisateur ou l’agent n’aient à faire quoi que ce soit. C’est cette combinaison — furtivité, persistance, absence d’interaction — qui la rend particulièrement redoutable.

Août 2026 : la chronologie d’une divulgation sous tension

Reconstituons la chronologie avec les éléments disponibles. Les chercheurs de Cyera’s Oasis Identity Research ont identifié la vulnérabilité — la date exacte de leur découverte n’est pas publique, mais leur publication est datée d’août 2026, comme l’indique le slug d’URL du billet de Clawbeat (2026-08). Dark Reading a relayé l’information, et des posts LinkedIn ont amplifié la diffusion.

Le statut du CVE-2026-65105 est, lui, plus ambigu. Ce numéro circule sur LinkedIn, mais aucune confirmation officielle de NVD, MITRE ou Nvidia n’est disponible. Il faut donc le traiter avec prudence : il pourrait s’agir d’une attribution anticipée par un chercheur, ou d’une erreur. Ce qui est documenté avec plus de certitude, c’est la version affectée : le vecteur initial concerne les versions d’OpenClaw antérieures à la v0.0.35. Le correctif est disponible pour Linux — c’est la seule plateforme supportée par NemoClaw — mais son statut pour Windows est incertain, aucune version de correctif n’ayant été annoncée pour cet OS.

Cette situation illustre un problème récurrent dans la sécurité des logiciels open-source : la divulgation se fait souvent par des canaux non officiels — blogs, posts LinkedIn, articles de presse spécialisée — avant que les mainteneurs ne publient un bulletin officiel. Pour les équipes de sécurité, cela signifie qu’il faut surveiller ces sources en temps réel, et ne pas attendre une confirmation officielle pour agir.

Durcissement : les réflexes pour ne pas finir empoisonné

Que faire concrètement si vous déployez OpenClaw avec NemoClaw ? La première mesure est évidente : mettre à jour vers la v0.0.35 ou une version ultérieure, si vous êtes sous Linux. Pour les déploiements Windows, la prudence impose de considérer l’installation comme vulnérable tant qu’un correctif n’est pas disponible.

La deuxième mesure est l’isolation réseau stricte de l’intégration Ollama. Le runtime ne doit jamais écouter sur une interface autre que localhost, et si un accès distant est nécessaire, il doit passer par un tunnel chiffré avec authentification. Les règles de pare-feu doivent être explicites : refuser toute connexion entrante sur le port d’Ollama depuis l’extérieur.

La troisième mesure est l’application de politiques YAML strictes via le Policy Engine de NemoClaw. Le wrapper permet de définir les actions autorisées, les appels réseau et les demandes nécessitant une approbation explicite. Ces politiques doivent être configurées de manière minimaliste : tout ce qui n’est pas explicitement autorisé doit être refusé. C’est le principe du moindre privilège appliqué aux agents.

La quatrième mesure est la surveillance active des templates de chat. Les équipes de sécurité doivent mettre en place des mécanismes de détection d’anomalies : comparer régulièrement le template enregistré avec une version de référence, alerter sur toute modification non planifiée, et journaliser les accès à l’API Ollama. La furtivité de l’attaque impose une vigilance particulière : l’absence de signes évidents ne signifie pas l’absence d’attaque.

Enfin, si Ollama n’est pas indispensable à votre architecture, envisagez des alternatives. D’autres runtimes d’inférence locale existent, et certains offrent des mécanismes de sécurité plus robustes par défaut. Le coût de migration est souvent inférieur au coût d’une compromission.

L’onde de choc : ce que cette faille change pour l’industrie des agents

Au-delà des mesures techniques, cette faille a des répercussions profondes sur l’adoption des systèmes agentiques en entreprise. Les frameworks open-source comme OpenClaw ont conquis le marché par leur flexibilité et leur coût — mais cette flexibilité a un prix : la sécurité repose sur des couches ajoutées a posteriori, comme NemoClaw, plutôt que sur une conception native.

La responsabilité des fournisseurs est directement engagée. Nvidia a présenté NemoClaw comme la solution de sécurité pour OpenClaw — et c’est précisément cette solution qui a introduit la faille. Pour les entreprises cibles comme Salesforce, Cisco ou Adobe, qui envisageaient de déployer des agents sécurisés via ce wrapper, la question est désormais : peut-on faire confiance à un fournisseur qui sécurise une brique par une autre brique tout aussi vulnérable ?

Les équipes DevSecOps doivent tirer les leçons de cet épisode. Premièrement, la sécurité des agents LLM ne peut pas être déléguée à un wrapper externe : elle doit être intégrée dès la conception, avec des mécanismes de défense en profondeur. Deuxièmement, les audits de sécurité des déploiements d’agents doivent inclure une analyse de la configuration réseau de tous les composants — pas seulement du framework principal, mais aussi des runtimes d’inférence, des bases de données vectorielles, des outils d’orchestration. Troisièmement, la veille sur les vulnérabilités doit être systématique : les CVE ne sont pas toujours publiés à temps, et les blogs spécialisés sont souvent les premiers à relayer une information critique.

Vers une sécurité agentique native : la fin des rustines ?

Cette faille marque-t-elle un tournant ? Il est tentant de le croire. L’approche actuelle — ajouter des wrappers de sécurité autour de frameworks conçus sans sécurité native — montre ses limites. La prochaine génération de frameworks open-source devra intégrer la sécurité dès la conception : sandboxing natif, contrôle d’accès granulaire, journalisation systématique, et surtout, une conception réseau qui ne repose pas sur des configurations par défaut laxistes.

Les protocoles comme MCP (Model Context Protocol) pourraient jouer un rôle clé dans cette évolution. En standardisant la communication entre agents et outils, ils permettraient de définir des politiques de sécurité au niveau du protocole lui-même, plutôt que de laisser chaque intégration improviser. L’émergence de la détection runtime des empoisonnements — des mécanismes capables de surveiller les templates de chat, les flux de contexte et les sorties d’inférence en temps réel — est une autre piste prometteuse.

Mais il serait naïf de croire que la technologie seule résoudra le problème. La faille Nemo(Claw) est avant tout une faille de configuration — une erreur humaine, une décision d’architecture prise sans considération suffisante pour la sécurité. Tant que les développeurs et les architectes ne prendront pas la sécurité des agents avec le sérieux qu’elle exige, les rustines continueront de se multiplier, et les chevaux de Troie continueront de se cacher dans les gardes du corps.

L’histoire de Nemo(Claw) est un avertissement : dans le monde des agents IA, la sécurité n’est pas un accessoire que l’on ajoute après coup. C’est une propriété fondamentale, qui doit être pensée dès la première ligne de code. Ceux qui l’oublient — fournisseurs comme utilisateurs — le paieront cher.

Sources

• Finding Nemo(Claw): Networking Issue Allows for LLM Poisoning in OpenClaw — Dark Reading
• Clawbeat — Trace du 2026-08 sur la faille Nemo(Claw)
• Tipsaitech — Analyse d’OpenClaw et NemoClaw
• OWASP GenAI Security Project — 2026 Top 10 for LLM Applications
• LLM security risks hit software development — Abacus News
• Ray Summit 2026 — RL post-training forces open-source AI infrastructure to converge

Article recherché et rédigé automatiquement · Magazine Electrosens