Une vulnérabilité « zero-click » dans un framework populaire d'agents IA est l'avertissement que personne dans le commerce ne veut entendre, mais que tout le monde doit connaître.
Je faisais la queue, glorieuse et chaotique, chez Bay Cities Italian Deli à Santa Monica, serrant mon ticket en papier. Leur système de numérotation est un magnifique anachronisme. Quelqu'un derrière une montagne de prosciutto crie un numéro, vous hurlez votre commande pour un sandwich Godmother, et une chaîne d'agents humains en chair et en os se met en action. Il n'y a pas d'interface utilisateur, pas d'application, juste un processus robuste et auditable qui a survécu à des décennies. Chaque étape est observable. Le gars qui coupe le capicola n'accède pas silencieusement à votre compte bancaire. Le système est lisible, testable et sécurisé dans sa belle simplicité analogique.
Puis mon téléphone a vibré avec une alerte concernant une vulnérabilité de haute gravité nommée « ClawJacked » [2]. Il s'agit d'une faille dans OpenClaw, un framework open-source populaire que les développeurs utilisent pour construire les agents IA autonomes que les marques se précipitent pour déployer. En bref, ClawJacked permet à n'importe quel site web malveillant de détourner votre agent IA local, lui accordant le pouvoir de voler des données, d'abuser des API et d'effectuer des actions en votre nom, le tout sans que vous ne cliquiez sur quoi que ce soit [11].
En regardant mon numéro — encore une quarantaine de places devant — il m'est apparu que toute l'industrie du commerce était sur le point d'échanger le système éprouvé, bien que rudimentaire, de Bay Cities contre un web opaque et interconnecté d'agents construits sur des frameworks que nous ne comprenons pas entièrement et ne pouvons pas sécuriser correctement. Nous sommes tellement obsédés par le potentiel du commerce agentique (agentic commerce) que nous construisons notre avenir sur du sable, et la marée monte.
Qu'est-ce qu'OpenClaw et pourquoi une marque devrait-elle s'en soucier ?
Pour la plupart des dirigeants du marketing et du commerce, un nom comme « OpenClaw » ressemble à du jargon de développeur arcanique. C'est un détail que l'équipe d'ingénierie doit gérer. C'est une hypothèse catastrophiquement fausse. Pour comprendre le risque, vous devez comprendre ce que sont ces outils et comment ils forment la couche fondamentale de l'avenir agentique dont tout le monde parle avec tant d'enthousiasme.
OpenClaw est un framework open-source qui agit comme un système nerveux pour les agents IA. Sa fonction principale est de connecter un Grand Modèle Linguistique (LLM - Large Language Model) — le « cerveau » — à un ensemble d'outils et à l'internet en direct. Ces outils sont appelés « compétences » (skills), et ce sont des paquets de code discrets qui permettent à l'agent d'effectuer des actions spécifiques : vérifier l'inventaire, traiter un remboursement, réserver un vol ou, plus sinistrement, lire vos fichiers privés [13]. Pensez-y comme un système d'exploitation de smartphone qui permet d'installer n'importe quelle application (une compétence) pour donner au téléphone de nouvelles capacités.
Les développeurs se tournent en masse vers des frameworks comme OpenClaw car ils résolvent un énorme problème : les LLM ne sont que des processeurs de langage. Ils ne peuvent rien faire d'eux-mêmes. Des frameworks comme celui-ci fournissent la plomberie — les API, les contrôleurs de navigateur, les environnements d'exécution — qui transforment un modèle de génération de texte en un agent d'action. Un bulletin récent de HackerNoon a mentionné que les développeurs assemblent avec enthousiasme des agents avec un mélange d'outils comprenant Kafka, Flink et des protocoles comme MCP, illustrant l'explosion cambrienne de systèmes complexes et interconnectés en cours de construction [8].
Et au cœur de l'architecture d'OpenClaw se trouve un composant appelé la « passerelle » (gateway) [2, 10]. Cette passerelle est un serveur qui s'exécute localement sur la machine d'un développeur ou potentiellement sur l'infrastructure d'une marque. Elle gère la communication entre le LLM et ses compétences, souvent en utilisant des WebSockets pour maintenir une connexion persistante et bidirectionnelle. C'est ce qui permet la sensation en temps réel et réactive d'un agent sophistiqué. C'est aussi précisément ce qui a rendu la vulnérabilité ClawJacked si dévastatrice.
La raison pour laquelle vous, en tant que leader de marque, devez vous en soucier est que votre future préparation aux vitrines agentiques (agentic storefront readiness) dépend de la sécurité de cette couche fondamentale. Le concierge IA que vous planifiez, la fonction d'achat assisté par agent (agent-assisted shopping), l'IA d'essayage virtuel — tous seront construits en utilisant des frameworks comme OpenClaw. Si le framework lui-même est compromis, toute votre architecture d'IA de commerce (commerce AI architecture) repose sur une faille fatale.
L'anatomie d'un détournement : comment votre agent se fait « ClawJacked »
Devenons techniques un instant, car les détails de l'attaque ClawJacked sont une illustration parfaite des nouvelles surfaces d'attaque créées par les systèmes agentiques. Il ne s'agissait pas d'une simple attaque de phishing ; c'était un exploit sophistiqué, SANS UN SEUL CLIC (ZERO-CLICK), qui exploitait l'architecture même conçue pour la commodité [12].
La vulnérabilité, corrigée dans la version 2026.2.26, résidait dans le composant de passerelle OpenClaw. Voici la chaîne d'échecs :
- Configuration par défaut non sécurisée : La passerelle, par défaut, était configurée pour être accessible depuis n'importe quelle origine. Cela signifie que n'importe quel site web, y compris un site malveillant, pouvait tenter de communiquer avec elle.
- Connexion WebSocket persistante : La passerelle utilise des WebSockets pour communiquer avec le frontend basé sur le navigateur. Cela crée un canal « toujours actif ». Lorsqu'un utilisateur exécutant une instance OpenClaw locale visitait une page web malveillante, cette page pouvait ouvrir une connexion WebSocket vers la passerelle sur sa machine.
- Injection de commande : Le site malveillant pouvait alors envoyer des commandes via ce WebSocket détourné. Parce que la passerelle était conçue pour servir d'intermédiaire à l'accès aux « compétences » de l'agent, le site web pouvait désormais demander à l'agent d'exécuter n'importe quelle compétence qu'il avait installée.
Imaginez que vous êtes un développeur pour une grande marque de mode, utilisant une instance OpenClaw pour construire un agent capable d'interroger votre base de données de produits. Vous lui avez donné une compétence avec des clés API pour accéder à inventory.yourbrand.com. Vous visitez ensuite, dans un autre onglet du navigateur, un site web compromis — par exemple, un blog sur les statistiques de basketball. Ce site, sans que vous ne cliquiez sur quoi que ce soit, peut maintenant envoyer une commande à votre agent local lui disant d'utiliser la compétence d'inventaire, d'exfiltrer toutes les données et de les envoyer au serveur de l'attaquant. C'est l'essence de l'attaque ClawJacked [2, 11].
Le déroulement de l'attaque ressemble à ceci :
Ce n'est pas théorique. Il s'agit d'une réelle CVE qui expose une vérité fondamentale : le tissu connectif de l'IA agentique devient la cible principale. Les fonctionnalités mêmes qui rendent les agents puissants — leur capacité à se connecter à des outils, à accéder aux données et à fonctionner de manière autonome — les rendent également incroyablement dangereux lorsqu'ils sont mal architecturés [14].
Votre architecture de commerce agentique est-elle ne serait-ce que vaguement prête ?
Chaque marque de commerce à laquelle je parle est soit en train de construire, de planifier ou de se faire proposer une forme d'IA agentique. La conversation porte toujours sur la capacité : « L'agent peut-il comprendre des requêtes utilisateur nuancées ? » « Peut-il personnaliser les recommandations ? » « Peut-il compléter une réservation en plusieurs étapes ? »
Après la divulgation de ClawJacked, la seule question qui compte est : « Votre architecture d'IA de commerce (commerce AI architecture) est-elle auditable et sécurisée ? » Pour la plupart, la réponse est un non retentissant.
L'approche actuelle de construction du commerce agentique est terrifiante par son caractère ad-hoc. Les équipes se procurent des frameworks open-source comme OpenClaw, les raccordent à des API internes et les connectent à une interface utilisateur de chatbot frontend. La sécurité est une réflexion après coup, si tant est qu'il y ait une réflexion. Ils sont tellement concentrés sur les prouesses conversationnelles du LLM qu'ils oublient qu'ils construisent un système qui, par conception, détient les clés du royaume.
Considérez les implications architecturales. Un système de commerce agentique bien conçu doit être plus qu'un simple modèle linguistique avec des outils. Il exige des couches de sécurité et de gouvernance :
- Exécution de compétences Zero-Trust (Zero-Trust Skill Execution) : Chaque fois qu'un agent tente d'utiliser une compétence, cette requête doit être authentifiée et autorisée, quelle que soit son origine. Le concept d'un agent « local » étant intrinsèquement digne de confiance est désormais caduc.
- Politiques strictes d'origine et de contenu : Les passerelles et les courtiers doivent appliquer des contrôles stricts sur qui peut leur parler et ce qu'ils sont autorisés à demander.
- Journaux d'audit immuables : Chaque action qu'un agent entreprend — chaque pensée, chaque utilisation d'outil, chaque appel d'API — doit être enregistrée d'une manière qui ne peut être altérée. Sans cela, vous n'avez aucun moyen de savoir si un agent agit sur une demande utilisateur légitime ou une commande détournée.
La plupart des marques construisent des systèmes agentiques monolithiques où le LLM, la logique métier et les intégrations d'outils sont tous emmêlés. C'est une recette pour le désastre. Une seule vulnérabilité, comme ClawJacked, peut compromettre l'ensemble de la pile. Une architecture IA de commerce plus résiliente isolerait ces composants, traitant le cœur de l'agent, les compétences et la couche de communication comme des entités distinctes et non fiables qui doivent constamment se vérifier mutuellement.
H3: Le cauchemar des dépendances
La sécurité de votre agent ne concerne pas seulement votre code ; elle concerne toute la chaîne d'approvisionnement. Quels frameworks utilisez-vous ? Quelles compétences avez-vous téléchargées ? Chacun est une porte dérobée potentielle. OpenClaw n'est qu'un exemple [2]. La précipitation à ajouter des capacités signifie que les développeurs intègrent du code provenant de dizaines de sources, et peu d'organisations disposent de l'appareil de sécurité nécessaire pour toutes les vérifier. Les capacités de votre IA sont définies par ses dépendances, tout comme sa surface d'attaque.
H3: Les données structurées pour l'IA, votre première ligne de défense
Les marques pensent souvent à la sécurité comme des pare-feu et des tests d'intrusion. À l'ère agentique, cela commence par vos données. Un composant critique, et souvent négligé, d'une architecture sécurisée est de fournir des données hautement structurées et lisibles par machine pour vos agents. Lorsque les agents doivent deviner, analyser du texte non structuré ou explorer votre propre site web, ils sont plus sujets aux erreurs et aux hallucinations qui peuvent être exploitées. Fournir des données propres et structurées via des API sécurisées minimise l'ambiguïté et réduit le besoin de l'agent d'expérimenter, ce qui, à son tour, уменьшает la probabilité de réussite d'une instruction malveillante. Les données structurées pour la recherche IA n'