Des failles de traversée de chemin révélées dans l'outil d'IA open source Code Graph RAG

Des alertes publiées le 5 novembre 2026 dans des bases de données de sécurité ont révélé deux vulnérabilités distinctes de traversée de chemin affectant le dépôt logiciel vitali87 Code Graph RAG, un utilitaire open source conçu pour aider les systèmes d'intelligence artificielle à indexer et à explorer des bases de code. Selon les informations répertoriées par le service de surveillance des vulnérabilités VulDB, ces failles de sécurité touchent différentes branches de développement et divers composants du package logiciel. Le premier défaut, enregistré sous la référence de suivi CVE-2026-87008, affecte les versions du projet jusqu'à la 0.0.588 au sein de ses opérations utilitaires de gestion des chemins. La seconde vulnérabilité, référencée sous le code CVE-2026-77604, réside dans les fonctions d'exécution d'outils d'une branche de développement paginée et concerne les versions du logiciel jusqu'à la 0.0.344. Les deux avis soulignent que les exploitants de systèmes utilisant les paquets logiciels concernés doivent migrer vers des versions plus récentes afin d'empêcher toute traversée de répertoire non autorisée.

## Faits marquants

- La vulnérabilité répertoriée sous le code CVE-2026-87008 affecte le projet vitali87 Code Graph RAG dans les versions antérieures ou égales à la 0.0.588. - Une seconde vulnérabilité, répertoriée sous le code CVE-2026-77604, affecte le logiciel dans les versions jusqu'à la 0.0.344 au sein d'une branche de code paginée. - Les deux vulnérabilités sont classées comme des faiblesses de traversée de chemin, permettant à des entrées de contourner les restrictions prévues d'accès aux répertoires. - Les éléments de code spécifiques identifiés dans les rapports incluent la fonction should_skip_path dans path_utils.py et l'implémentation MCPToolsRegistry.read_file dans tools.py. - Les avis de sécurité ont été formellement publiés par la base de données de suivi des vulnérabilités VulDB le 5 novembre 2026.

## Ce qui s'est passé

Selon les signalements enregistrés par VulDB, deux failles distinctes de traversée de chemin ont été répertoriées concernant le dépôt vitali87 Code Graph RAG, mettant en évidence des faiblesses architecturales distinctes où le traitement des chemins de fichiers ne parvenait pas à restreindre correctement les entrées fournies par les utilisateurs ou les agents.

Le premier problème documenté, attribué à la CVE-2026-87008, concerne les mécanismes de gestion des chemins du logiciel. Les détails techniques publiés par VulDB identifient la faille dans le fichier path_utils.py, ciblant spécifiquement la fonction should_skip_path. Dans les architectures de génération augmentée de récupération (RAG), les scripts utilitaires de chemin déterminent généralement quels fichiers, répertoires et extensions doivent être analysés, ignorés ou indexés dans un graphe sémantique. Lorsque les routines d'évaluation de chemin manquent de contrôles stricts des limites, des notations de chemin relatif telles que les séquences point-point-barre oblique peuvent induire la routine en erreur. Dans ce cas, VulDB a indiqué que les versions jusqu'à la 0.0.588 contiennent la faille, conseillant aux administrateurs et développeurs utilisant le composant de déployer des itérations plus récentes et corrigées.

La seconde vulnérabilité, enregistrée sous la référence CVE-2026-77604, affecte une version de référence antérieure au sein d'une branche paginée du logiciel, englobant les versions jusqu'à la 0.0.344. L'avis attribue la faiblesse au script tools.py, ciblant en particulier le composant MCPToolsRegistry.read_file. Le nom du registre indique une intégration avec le Model Context Protocol, un standard d'interface largement utilisé pour connecter les grands modèles de langage à des outils d'exécution et sources de données externes. Le gestionnaire read_file au sein de ce registre s'est avéré vulnérable à la traversée de répertoire, créant des conditions dans lesquelles une requête de lecture de fichier pourrait aller au-delà du répertoire racine désigné de la base de code en cours d'analyse. Comme pour l'autre signalement, VulDB a recommandé une mise à niveau immédiate de version pour les utilisateurs en aval.

## Pourquoi c'est important

Les vulnérabilités de traversée de chemin, répertoriées dans les normes de l'industrie sous l'entrée Common Weakness Enumeration CWE-22, représentent une classe fondamentale de défauts logiciels qui comportent des risques accrus lorsqu'ils sont intégrés dans des flux de travail d'intelligence artificielle. Dans les applications web traditionnelles, la traversée de répertoire permet généralement à un attaquant de s'échapper des répertoires racines du web pour consulter des fichiers sensibles du serveur, tels que les configurations d'environnement, les registres d'utilisateurs système ou le code source de l'application. Lorsqu'elle est introduite dans des assistants de codage automatisés et des pipelines de génération augmentée de récupération, les conséquences s'amplifient considérablement.

Dans les systèmes de récupération classiques, un agent d'intelligence artificielle ou un grand modèle de langage s'appuie sur des outils autonomes pour explorer des répertoires, lire des fichiers sources et assembler des cartes contextuelles. Si un outil tel que read_file manque d'un assainissement rigoureux, un adversaire peut exploiter cette faiblesse directement par des entrées manipulées ou indirectement par des attaques par injection d'instructions (prompt injection) dissimulées dans les fichiers du dépôt. Si un modèle autonome rencontre des instructions conçues pour déclencher l'outil MCP avec un chemin de fichier arbitraire, un système vulnérable pourrait lire des jetons de configuration sensibles, des clés cryptographiques privées ou des données propriétaires hébergées sur l'infrastructure sous-jacente, réinjectant directement ces informations dans le flux de sortie contextuel du modèle. Étant donné que de nombreux ingénieurs logiciels exécutent des assistants de modèles de langage locaux et des outils d'indexation de code avec l'ensemble des privilèges administratifs de leurs environnements de développement locaux, des vulnérabilités de cette nature peuvent octroyer des capacités de lecture arbitraire de fichiers sur le poste de travail d'un ingénieur ou sur un serveur d'intégration continue.

## Contexte

La génération augmentée de récupération, couramment appelée RAG, est devenue une architecture dominante pour l'IA générative moderne à la suite de l'adoption rapide en entreprise des grands modèles de langage dès la fin de 2022. Bien que les modèles de base possèdent de vastes connaissances acquises lors de leur entraînement, ils manquent d'une visibilité en temps réel sur les bases de code privées, les bibliothèques internes propriétaires et les dépôts techniques en constante évolution. Les systèmes RAG comblent cette lacune en interrogeant des sources de données externes, en récupérant des extraits pertinents et en les injectant dans l'invite (prompt) transmise au modèle de langage.

Pour la compréhension du code source, le RAG vectoriel standard — qui repose principalement sur le découpage de texte et les plongements lexicaux de similarité (embeddings) — s'avère souvent inadapté. Les bases de code reposent sur une logique structurelle : les fonctions appellent d'autres fonctions, les classes héritent de définitions parentes et les modules importent des dépendances externes. Pour prendre en compte ces relations structurelles, les développeurs ont créé des systèmes de « Code Graph RAG », qui combinent la recherche vectorielle sémantique avec des bases de données de graphes de connaissances. Ces systèmes analysent les arbres syntaxiques du code, cartographient les appelants et les appelés et construisent des graphes structurés représentant l'architecture complète d'un dépôt.

À mesure que les écosystèmes d'IA orientés développeurs ont gagné en maturité tout au long de 2024 et 2025, des normes d'interopérabilité ont émergé pour standardiser la manière dont les modèles interagissent avec les environnements externes. Le Model Context Protocol, introduit par Anthropic fin 2024, est rapidement devenu un standard ouvert prisé dans l'outillage de développement open source et commercial. Le protocole offre une méthode structurée permettant aux agents d'IA d'interroger des outils externes — tels que des clients de bases de données, des moteurs de recherche et des utilitaires de systèmes de fichiers locaux — à l'aide de registres standardisés. Cependant, l'intégration d'agents autonomes à des opérations sur les fichiers locaux a introduit d'importants défis en matière de sécurité de la chaîne logistique et des applications. Les opérations de fichiers standard telles que read_file ou les filtres de chemin nécessitent un cloisonnement (sandboxing) rigoureux pour empêcher le modèle, ou tout texte malveillant ingéré par le modèle, de sortir du répertoire de dépôt prévu. Lorsque des utilitaires open source sont publiés à un rythme soutenu sous des numéros de version sémantique expérimentaux (tels que des versions inférieures à 1.0.0), la validation défensive des entrées est fréquemment négligée au profit d'itérations rapides sur les fonctionnalités.

## Réactions

Les alertes de VulDB n'ont pas inclus de commentaires publics ni de déclarations de l'auteur du dépôt, Vitali87, et les synthèses de la base de données n'ont pas non plus documenté de rapports d'incidents externes ou d'exploitation active dans la nature. Dans les cycles habituels de gestion des vulnérabilités, les mainteneurs de projets open source hébergés sur des plateformes comme GitHub répondent généralement à de telles déclarations en publiant des commits qui canonisent les chemins de fichiers, éliminent la syntaxe de chemin relatif et imposent des validations de limites avant que les fichiers ne soient ouverts ou évalués.

Les équipes de réponse aux incidents de sécurité et les chercheurs indépendants qui surveillent la sécurité des outils d'IA rappellent régulièrement que les outils automatisés opérant sur des dépôts non fiables doivent appliquer des principes rigoureux de défense en profondeur. Les recommandations de l'industrie émanant des organismes de sécurité applicative préconisent que les registres logiciels mettant en œuvre des protocoles d'appel d'outils cloisonnent toutes les interactions avec le système de fichiers dans des limites de conteneurs isolés ou au moyen de listes blanches explicites de chemins. Les développeurs de logiciels en aval utilisant l'utilitaire vitali87 Code Graph RAG dans des flux d'indexation automatisés ou des plateformes internes de développement doivent évaluer leurs pipelines de déploiement internes et s'assurer que les paquets installés dépassent les versions 0.0.344 et 0.0.588 conformément aux paramètres des avis respectifs.

## Ce que l'on ignore encore

Plusieurs détails de fond demeurent sans réponse dans les rapports initiaux de vulnérabilité répertoriés par VulDB. Les enregistrements de départ ne précisent pas si ces failles de sécurité ont été découvertes lors d'un audit de code interne, signalées par un chercheur externe en sécurité dans le cadre d'un processus de divulgation coordonnée, ou identifiées à la suite d'une analyse statique automatisée. De plus, les résumés n'indiquent pas si les vulnérabilités ont reçu des scores de gravité de base officiels selon le Common Vulnerability Scoring System (CVSS), qui déterminent des métriques d'impact standardisées incluant le vecteur d'attaque, la complexité et les privilèges requis.

Les avis de divulgation ne précisent pas non plus si des scripts d'exploitation de preuve de concept ont été diffusés publiquement ou si le mainteneur a publié des versions formelles de correctifs accompagnées des empreintes de commit correspondantes, au-delà de la recommandation de migrer vers des versions supérieures à celles affectées. Il reste non confirmé si une exploitation active a été détectée contre des systèmes utilisant le paquet, ou si le logiciel est intégré comme dépendance dans des outils de développement commerciaux plus larges.

## Les points à surveiller

Les organisations et les développeurs individuels intégrant des outils de RAG basés sur des graphes de code doivent surveiller les canaux de distribution en amont du paquet, tels que le Python Package Index (PyPI) ou le dépôt source du projet, afin de repérer les nouvelles balises de version qui remplaceront formellement la version 0.0.588. Les analystes en sécurité attendront que la National Vulnerability Database (NVD), gérée par le National Institute of Standards and Technology des États-Unis, attribue des vecteurs CVSS officiels et des niveaux de gravité standardisés.

Par ailleurs, les observateurs devront suivre les discussions techniques entourant les implémentations de sécurité du Model Context Protocol, en particulier sur la manière dont les outils du registre gèrent la normalisation des chemins lors de l'exécution de routines de lecture de fichiers pour le compte de modèles de langage. Alors que les outils d'IA open source se multiplient dans les environnements d'ingénierie d'entreprise, l'adoption de cadres de cloisonnement obligatoires et de tests automatisés contre les attaques par traversée de répertoire dans les outils pilotés par l'IA constituera un critère clé pour mesurer la maturité de la chaîne logistique logicielle.

Les informations de cet article reposent sur les avis de divulgation de vulnérabilités publiés par VulDB.