Une faille NemoClaw critique, référencée CVE-2026-65105, permet à un simple site web malveillant de détourner des agents IA locaux tournant sur cet outil de déploiement de Nvidia, selon une recherche publiée le 25 août 2026 par les chercheurs Elad Luz et Ofek Itach d’Oasis Security. La vulnérabilité touche NemoClaw, le gestionnaire de déploiement d’agents OpenClaw de Nvidia, combiné au sandbox OpenShell et au moteur d’inférence local Ollama.
Une seule visite de site web suffit
Le mécanisme d’attaque repose sur le DNS rebinding, une technique connue qui consiste à faire changer la résolution DNS d’un domaine après le premier chargement d’une page pour tromper les protections du navigateur. NemoClaw configure Ollama pour écouter sur toutes les interfaces réseau (0.0.0.0:11434) afin de permettre l’accès depuis les conteneurs Docker du sandbox OpenShell. Cette configuration désactive au passage la validation de l’en-tête Host d’Ollama, ne laissant que le contrôle CORS du navigateur comme protection. Un domaine contrôlé par l’attaquant peut d’abord pointer vers un serveur public, puis rediriger sa résolution DNS vers 127.0.0.1 : le navigateur continue de traiter les requêtes comme provenant de la même origine, ce qui contourne la protection CORS et ouvre un accès direct à l’API Ollama de la victime, sans authentification.
Un risque d’empoisonnement des modèles
Une fois l’accès obtenu, l’attaquant peut consulter, télécharger, modifier ou supprimer les modèles installés localement. Le risque le plus sérieux concerne le champ template d’Ollama, qui régit la mise en forme des messages envoyés au modèle : y injecter des instructions cachées permet de faire persister un comportement malveillant d’une conversation à l’autre, sans que le nom, la taille ou les paramètres visibles du modèle ne changent. Un agent ainsi compromis peut générer du code vulnérable, masquer des alertes de sécurité, recommander des paquets malveillants ou exfiltrer des données vers une infrastructure contrôlée par l’attaquant.
Divulgation responsable et recommandations
Oasis Security a notifié le PSIRT de Nvidia avant la publication de sa recherche. En attendant un correctif, les équipes utilisant NemoClaw avec Ollama sont invitées à vérifier que le port 11434 n’est pas exposé au-delà de l’interface locale, à restreindre l’accès réseau au sandbox, à surveiller toute modification des templates de modèles, et à traiter les serveurs d’inférence locaux comme des frontières de sécurité à part entière. L’incident illustre un risque plus large pour l’écosystème des agents IA tournant en local : la commodité d’exposer un service d’inférence pour le faire dialoguer avec un conteneur peut, sans configuration réseau stricte, ouvrir une porte directe depuis le web public.
Détails techniques complets dans la recherche d’Oasis Security publiée par Cyera.
Qu’est-ce que la faille NemoClaw ?
C’est une vulnérabilité critique (CVE-2026-65105) dans l’outil de déploiement d’agents NemoClaw de Nvidia, qui permet à un site web malveillant de détourner l’agent IA local d’un visiteur via une technique de DNS rebinding.
Qui a découvert cette faille et quand ?
Les chercheurs Elad Luz et Ofek Itach d’Oasis Security ont publié leur recherche le 25 août 2026, après une notification responsable au PSIRT de Nvidia.
Comment se protéger de cette vulnérabilité ?
Il faut vérifier que le port 11434 d’Ollama n’est pas exposé au-delà de l’interface locale, restreindre l’accès réseau au sandbox OpenShell et surveiller toute modification des templates de modèles.