L'agent IA de Causal Security a trouvé quatre failles dans EPICS Base, dont une critique, en moins de quatre heures

Un agent d'IA autonome conçu par la jeune pousse Causal Security a mis au jour quatre vulnérabilités sérieuses dans EPICS Base, le cœur de l'Experimental Physics and Industrial Control System. EPICS est un logiciel libre, né aux laboratoires nationaux de Los Alamos et d'Argonne, qui sert à bâtir des systèmes de contrôle distribués reliant les opérateurs aux équipements physiques. D'après The Register, il équipe environ 90 grands projets dans le monde, dont l'Advanced Photon Source d'Argonne et le système de contrôle du projet de fusion ITER.

Quatre bogues, dont un potentiellement critique

Selon Shubham Raj, cofondateur de Causal Security, l'agent baptisé Cipher a analysé le code, l'a testé et a validé des exploits fonctionnels en 3 heures et 49 minutes. La première phase s'est faite sans intervention humaine ; une seule consigne a ensuite demandé d'approfondir l'exploitabilité en environnement isolé.

La faille la plus grave, CVE-2026-114595, obtient 9,8 sur l'échelle CVSS v3.1. Il s'agit d'un dépassement d'entier dans le traitement des requêtes réseau : des données fournies par un attaquant peuvent provoquer une écriture hors limites sur le tas et potentiellement l'exécution de code à distance. Les trois autres sont jugées élevées : CVE-2026-114596 (8,2), une vérification insuffisante de la longueur des messages qui peut corrompre la mémoire et faire planter le contrôleur ; CVE-2026-114597 (7,5), une lecture hors limites ; et CVE-2026-114598 (7,5), une confusion de types pouvant entraîner un déni de service et exposer de la mémoire voisine. Le service de veille Mallory situe ces problèmes dans la gestion des protocoles Channel Access et pvAccess et indique qu'ils touchent EPICS Base 7.0.10 et les versions antérieures.

Correctif et exposition

L'agence américaine de cybersécurité CISA a publié l'avis ICSA-26-300-01 le 27 octobre, évoquant des risques de déni de service, de corruption mémoire, de fuite d'informations ou d'exécution de code. Les correctifs figurent dans EPICS Base 7.0.11, selon The Register. Lors de notre vérification le 29 octobre, la page des annonces de versions du site epics-controls.org affichait encore la 7.0.10 comme la plus récente : mieux vaut le confirmer par les canaux officiels.

L'exploitation suppose un accès réseau aux services EPICS du réseau de contrôle d'une installation, par exemple à cause d'une segmentation insuffisante. Aucune authentification n'est requise, et Mallory ne signale aucune exploitation connue à ce jour. Shubham Raj estime qu'une fois à l'intérieur, attaquer ces services ne demanderait pas d'expertise poussée en technologies opérationnelles, contrairement à la manipulation d'un processus physique précis.

Pourquoi c'est important

Les délais annoncés par Causal Security n'ont pas été mesurés de façon indépendante, mais ce cas confirme que des agents d'IA peuvent auditer rapidement du code industriel de niche, au service des défenseurs comme, potentiellement, des attaquants.