Skills et plugins IA : auditer avant d'installer, pour que vos données restent chez vous

Points clés de cet article :

• Un skill, un plugin ou un serveur MCP tourne avec les droits de la personne qui l'installe : ses fichiers, ses clés, sa messagerie, ses accès au CRM.
• Sur 3 984 skills publics analysés par Snyk en février 2026, 13,4 % présentent au moins une faille critique, et 76 contiennent du code malveillant confirmé.
• Les cas documentés passent par une fausse page d'installation, une mise à jour piégée, un dépôt cloné qui embarque ses propres réglages, ou les outils IA du poste détournés par un paquet compromis.
• Un skill s'audite avant installation, dans un dossier isolé, sans rien exécuter, puis s'installe dans la version auditée.
• Votre charte IA dit qui a le droit d'installer quoi, qui valide, et à quel rythme les extensions déjà en place se réauditent.

Une publicité Instagram montre un skill qui génère des logos, des devis ou des posts LinkedIn en une commande. Un collaborateur copie la ligne d'installation, lance son agent, et le skill tourne avec ses droits : ses dossiers clients, ses clés d'accès, sa boîte mail. Si le skill envoie ces données vers un serveur extérieur, rien ne s'affiche à l'écran.

Les agents IA de bureau comme Claude Code, Cursor, Codex ou OpenClaw s'enrichissent avec des skills, des plugins et des serveurs MCP. Ce sont des dossiers de consignes et de scripts, publiés par n'importe qui, et que l'agent exécute sur le poste.

Ce qu'un skill ou un plugin IA peut faire sur un poste

Un skill est un dossier : un fichier SKILL.md qui donne des consignes à l'agent, souvent accompagné de scripts. Un plugin en regroupe plusieurs, avec parfois des hooks (des commandes déclenchées à chaque action de l'agent) et des serveurs MCP (des connecteurs vers vos logiciels). L'agent lit les consignes, lance les scripts, appelle les connecteurs.

Tout cela s'exécute avec les droits de l'utilisateur. Un script peut lire ~/.ssh, les jetons d'accès (des clés qui ouvrent GitHub, Google ou le CRM sans mot de passe) rangés dans le dossier personnel, les fichiers d'un projet client, et les envoyer où il veut. Un serveur MCP branché sur la messagerie voit les courriels qui passent.

Certains mécanismes ne laissent même pas au modèle l'occasion de refuser. Dans Claude Code, un skill peut contenir des commandes shell précédées de !. Datadog Security Labs a montré en mai 2026 que ces commandes s'exécutent avant que le contenu du skill soit envoyé au modèle : sur un skill modifié pour voler un jeton GitHub, le modèle a refusé de continuer, mais le vol avait déjà eu lieu. Le réglage disableSkillShellExecution coupe ce comportement, et une entreprise peut l'imposer à tous ses postes par les réglages gérés (une configuration poussée par la DSI, que l'utilisateur ne peut pas lever).

Les chiffres publiés en 2026 sur les skills d'agents IA

• Snyk, 5 février 2026 : sur 3 984 skills publiés sur ClawHub et skills.sh, 36,82 % ont au moins une faille de sécurité, 13,4 % une faille critique, et 76 contiennent du code malveillant confirmé. 91 % des skills malveillants combinent une injection de consignes dans le texte et un logiciel malveillant classique.
• Cisco AI Defense, 28 janvier 2026 : 26 % des 31 000 skills d'agents analysés contiennent au moins une vulnérabilité.
• Bitdefender Labs, 5 février 2026 : environ 17 % des skills OpenClaw analysés la première semaine de février ont un comportement malveillant, et plus de la moitié d'entre eux se présentent comme des outils de cryptomonnaies.
• Antiy CERT, 6 février 2026 : au moins 1 184 skills malveillants sont passés par ClawHub, dont 677 publiés par un seul auteur. Sur Mac, la campagne faisait installer de faux « prérequis » qui déposaient le voleur de mots de passe Atomic Stealer.
• Unit 42, Palo Alto Networks : des skills malveillants restaient en ligne et indétectés par les outils existants plusieurs mois après la première alerte. L'un d'eux cachait son code derrière 22 Mo de texte de remplissage pour faire abandonner les scanners.

Ces études portent sur des places de marché ouvertes, où n'importe qui publie. Dans Claude Code, une ligne /plugin marketplace add ajoute une place de marché tierce : un dépôt GitHub, que son auteur modifie quand il veut.

Comment les données partent

Une fausse page d'installation. En octobre 2026, Push Security a relevé une publicité Google sur la recherche « claude mac » qui menait à une copie de la page d'installation de Claude. La commande affichée était la bonne, mais le bouton « copier » plaçait une autre commande dans le presse-papiers, qui téléchargeait et lançait un script. En mars, la même équipe avait trouvé des copies quasi parfaites de la page d'installation de Claude Code qui distribuaient le voleur Amatera Stealer.

Une mise à jour piégée. Le paquet npm postmark-mcp, un serveur MCP d'envoi de courriels, a fonctionné normalement pendant quinze versions. La version 1.0.16 a ajouté une ligne qui mettait l'attaquant en copie cachée de chaque courriel envoyé. Koi Security estime qu'environ 300 organisations l'utilisaient, pour 3 000 à 15 000 courriels détournés par jour ; Postmark, de son côté, n'avait connaissance que d'un client touché. Côté éditeur, Check Point a montré en août 2025 que Cursor ne revérifiait plus un serveur MCP une fois approuvé, même si ses commandes changeaient ensuite (CVE-2025-54136, corrigée depuis).

Un dépôt cloné qui embarque ses réglages. Un projet peut contenir ses propres skills, hooks et serveurs MCP, chargés dès qu'on ouvre le dossier et qu'on lui fait confiance. Check Point Research a publié en février 2026 des failles de Claude Code, corrigées avant leur divulgation, où les réglages d'un dépôt exécutaient des commandes et faisaient partir la clé API avant tout consentement (CVE-2025-59536 et CVE-2026-21852). Un dépôt inconnu s'ouvre dans un dossier isolé, comme un skill à auditer.

Les outils IA du poste détournés par un paquet compromis. En août 2025, le paquet npm Nx a été compromis. Le code ajouté lançait les outils IA installés sur le poste (Claude, Gemini, Q) avec leurs garde-fous désactivés pour leur faire chercher les secrets du disque. Wiz relève que cela a fonctionné dans des centaines de cas, avec plus de 1 000 jetons GitHub valides divulgués.

Comment nous auditons un skill avant de l'installer

Quand un collaborateur ou un client nous demande s'il peut installer un skill, nous l'auditons avant toute installation. La méthode vaut aussi pour un plugin ou un serveur MCP.

1. Récupérer le code dans un dossier isolé, sans rien lancer. Un clone dans un répertoire temporaire, à l'écart de tout projet, sans installer de dépendances ni exécuter de script. Python se lance en mode isolé (python3 -I) si un script doit lire les fichiers du dépôt.
2. Lire tout ce qui s'exécute. Les scripts, les hooks, la déclaration des serveurs MCP, les commandes ! du SKILL.md, les fichiers de configuration. Nous cherchons les appels réseau (curl, fetch, urllib, requests, les sockets), les lancements de processus, les lectures de variables d'environnement et de dossiers sensibles (~/.ssh, ~/.aws, les jetons), le code rendu illisible (encodé en base64) ou caché derrière des caractères invisibles.
3. Lire les consignes comme un attaquant les écrirait. Un SKILL.md peut demander à l'agent d'envoyer un fichier « pour vérification », ou d'ignorer les consignes de l'utilisateur. Les fichiers HTML, SVG ou Markdown embarqués se vérifient aussi : scripts, liens vers des serveurs extérieurs, polices ou images chargées à distance.
4. Séparer ce qui sert au skill de ce qui sert à son auteur. Un dépôt contient souvent des outils de publication ou de statistiques qui appellent une API. Ils ne posent pas de problème s'ils ne s'exécutent jamais chez vous. Nous le vérifions.
5. Installer la version auditée, et seulement elle. Nous copions le dossier du commit audité dans les skills de l'utilisateur, avec un fichier qui note le commit et la date de l'audit. Le skill ne se met plus à jour tout seul. Une nouvelle version repasse par l'audit.

Sur un skill de création de logos audité récemment, l'examen a confirmé que tout tournait en local : aucun appel réseau dans les scripts, aucun hook, aucun serveur MCP, aucune consigne cachée, des SVG sans script. Le seul code qui appelait Internet servait à l'auteur pour suivre les visites de son dépôt. Le verdict était favorable, avec une réserve : installé par sa place de marché, le skill aurait reçu les futures versions du dépôt à la première mise à jour, sans que personne les ait lues.

Ce que la charte IA doit dire sur les skills, plugins et serveurs MCP

Une charte IA qui parle des outils autorisés sans parler de leurs extensions laisse la porte ouverte : ChatGPT, Claude ou Cursor sont validés, et chacun y ajoute ce qu'il a vu passer sur les réseaux sociaux. À trancher par écrit :

• Qui installe. Un salarié installe-t-il seul un skill ou un serveur MCP, ou passe-t-il par une liste d'extensions validées ?
• Qui valide, sur quels critères. La personne qui audite, la méthode, et ce qui vaut refus (appel réseau non justifié, code illisible, auteur introuvable).
• Quelle version. Une extension validée l'est dans une version précise. Les mises à jour automatiques sont coupées, ou passent par la même validation.
• Quels réglages imposés. Les réglages gérés de Claude Code s'appliquent à tous les postes et l'utilisateur ne peut pas les lever : places de marché autorisées, blocage des skills et des serveurs MCP venus d'ailleurs, désactivation des commandes shell des skills, permissions refusées. Le contrôle des postes de travail vérifie qu'ils sont en place.
• Quel rythme de revue. L'inventaire des extensions installées se refait à intervalle fixe, et à chaque alerte publiée sur un paquet ou une place de marché.
• Qui est formé. Les équipes savent reconnaître une page d'installation clonée et ne collent pas dans un terminal une commande trouvée dans une publicité.

Depuis le 2 février 2025, l'AI Act demande aux entreprises qui se servent de l'IA de prendre des mesures pour développer la maîtrise de l'IA de leur personnel. Savoir ce qu'on installe en fait partie, et un client qui vous envoie un questionnaire fournisseur vous demandera de le prouver.

Faire auditer vos skills et cadrer leur installation

Les skills, plugins et serveurs MCP s'installent sans passer par les achats ni par la DSI. Notre offre de gouvernance, traçabilité et conformité IA part de ce qui tourne techniquement chez vous : nous inventorions les extensions et les connecteurs en place, nous auditons ceux que vos équipes utilisent, nous écrivons avec vous les règles d'installation de votre charte, et nous posons les réglages qui les font respecter sur les postes. Chaque audit laisse une trace datée, que vous pouvez montrer à un client, à votre assureur ou à votre RSSI.

Pour un agent qui écrit dans votre ERP, votre CRM ou votre messagerie, nous livrons des agents IA connectés au système d'information : des connecteurs dont nous avons écrit ou audité le code, avec des droits limités à ce que l'agent doit faire, et des journaux de ce qu'il a envoyé et reçu. Notre espace de travail IA sécurisé sur Dust donne aux équipes un espace IA commun, où les connecteurs et les droits d'accès se gèrent au même endroit.

Si vos équipes installent déjà leurs propres outils, la formation IA opérationnelle leur apprend à construire leurs assistants et à les brancher sur leurs logiciels, avec les règles de sécurité qui vont avec. Une conférence de sensibilisation pose le sujet devant toute l'entreprise en une séance.

Questions fréquentes

Un skill publié sur GitHub avec beaucoup d'étoiles est-il sûr ?

Non. Cisco a analysé un skill dont la popularité avait été gonflée jusqu'à la première place de son registre : il envoyait des données vers le serveur de son auteur, sans rien afficher. Un dépôt populaire peut aussi changer de propriétaire ou recevoir une version piégée après coup, comme postmark-mcp.

Une place de marché ajoutée par /plugin marketplace add est-elle vérifiée ?

Par son auteur seulement. C'est un dépôt GitHub tiers, qu'il modifie quand il veut. Les réglages gérés de Claude Code peuvent limiter les places de marché autorisées à l'officielle et à celle de votre entreprise.

Faut-il réauditer un skill à chaque mise à jour ?

Oui. L'audit couvre la version lue. Une mise à jour peut ajouter un appel réseau, une commande ou une consigne, et c'est ainsi que postmark-mcp a détourné des courriels à partir de sa seizième version.

Peut-on interdire les skills non validés sur tous les postes ?

Oui, par les réglages gérés de Claude Code, déployés par votre outil de gestion des postes ou par la console d'administration Claude. Ils limitent les places de marché autorisées, bloquent les skills, hooks et serveurs MCP installés en dehors, et coupent l'exécution des commandes shell des skills. L'utilisateur ne peut pas les modifier. Ces réglages couvrent Claude Code ; Cursor, Codex ou ChatGPT se règlent chacun dans leur outil.

Un antivirus suffit-il à détecter un skill malveillant ?

Non. Un skill peut ne contenir que du texte qui demande à l'agent d'envoyer un fichier, et un antivirus n'y trouve aucun programme à bloquer. Unit 42 a aussi trouvé des skills qui contournaient les scanners spécialisés pendant des mois.

Vos équipes installent des skills, des plugins ou des serveurs MCP sans que personne les ait lus ? Dites-nous ce qui tourne chez vous, et nous commençons par l'inventaire.