Fine-tuning oublié, RAG qui fuit, Langflow piraté : la bataille des architectures agentiques est déclarée

Le vrai problème : pourquoi les agents IA ne passent pas la porte de la production

Le constat est partagé par tous les déploiements d'agents IA en entreprise : ils fonctionnent quelques minutes, puis nécessitent une intervention humaine pour recharger le contexte ou corriger les sorties. Le problème n'est pas la capacité des modèles. Il est architectural. Source : VentureBeat.

L'enjeu se résume à une question simple : où placer la connaissance métier par rapport au modèle ? La réponse détermine combien de temps un agent peut fonctionner avant qu'un humain doive intervenir. Et aujourd'hui, quelle que soit l'approche choisie, l'humain reste dans la boucle.

Échec n°1 : le fine-tuning oublie ce qu'il savait hier

Le fine-tuning consiste à entraîner un modèle sur des données spécifiques pour intégrer la connaissance métier dans ses poids. Problème : il souffre d' oubli catastrophique, un phénomène identifié dans les années 1980 et toujours non résolu. Le modèle « désapprend » ce qu'il savait en intégrant de nouvelles informations.

Pour contourner ce problème, les équipes créent un modèle fine-tuné par tâche : ce qui génère ce que VentureBeat appelle le « model zoo sprawl » : une prolifération de modèles spécialisés, chacun avec son propre coût de maintenance, de gouvernance et de réentraînement. Et chaque modèle est un instantané figé : une politique d'entreprise change, le modèle est déjà obsolète.

Échec n°2 : le RAG perd le contexte au milieu du prompt

L'apprentissage en contexte (RAG, Retrieval-Augmented Generation) injecte les politiques pertinentes dans le prompt au moment de l'inférence. L'avantage : la connaissance est toujours à jour. L'inconvénient : elle souffre de context rot (pourriture du contexte). Plus le prompt s'allonge, plus le modèle perd en précision : un test de Chroma sur 18 modèles a montré que tous perdaient en exactitude à mesure que l'entrée s'allongeait. Source : VentureBeat.

Pire : le RAG produit des silent retrieval misses : des omissions de contexte qui ressemblent à des réponses correctes. Le modèle répond avec assurance en ayant raté un détail crucial au milieu du prompt, et rien dans la sortie ne signale l'erreur.

La troisième voie : les hypernetworks

Un hypernetwork est un réseau dont la sortie est... les poids d'un autre réseau. Le concept a été nommé en 2016, mais ce n'est que récemment qu'il devient praticable pour les agents IA. Au lieu de stocker une bibliothèque de modèles fine-tunés, un hypernetwork unique peut générer à la demande un petit modèle spécialisé à partir des politiques et documents de l'entreprise.

Les avancées récentes sont significatives : Sakana AI a présenté Text-to-LoRA à ICML 2025, capable de générer un adaptateur de modèle à partir d'une description en langage naturel en un seul passage. Le framework SHINE (2026) qualifie l'adaptation par hypernetwork de « frontière prometteuse ». Source : VentureBeat.

Nace.AI, une startup de Palo Alto qui a levé 21,5 millions de dollars en seed en mai 2026, applique déjà ce principe. Son MetaModel génère des adaptations de paramètres à l'inférence à partir des politiques d'entreprise, pour des cas d'usage réglementés (audit, conformité). L'entreprise revendique un ratio 90/10 : les agents traitent le gros du volume, les experts humains valident les 10 % restants.

Le front de la sécurité : 7 000 serveurs Langflow sous attaque

Pendant que l'industrie explore les hypernetworks, la réalité des déploiements actuels est bien moins reluisante. Le 9 juin 2026, les capteurs de VulnCheck ont détecté une exploitation en cours de la faille CVE-2026-5027 dans Langflow, un framework open source de création d'agents IA. Source : VentureBeat.

La vulnérabilité est d'une simplicité déconcertante : une traversée de chemin (path traversal) dans l'endpoint POST /api/v2/files. Le nom de fichier envoyé dans le formulaire est écrit sur le disque sans aucune vérification, permettant à un attaquant d'écrire une tâche cron dans /etc/cron.d/ et d'obtenir un shell à l'exécution suivante. Score CVSS : 8.8. Censys a recensé environ 7 000 instances exposées, majoritairement en Amérique du Nord.

Le correctif (version 1.9.0) est sorti le 15 avril 2026. Les attaques ont commencé en juin : soit deux mois d'exposition pour les instances non mises à jour. Ce n'est pas la première fois : la faille CVE-2025-34291 avait déjà été exploitée par le groupe iranien MuddyWater en mai 2026.

LangGraph et LangChain : mêmes classes de bugs

VentureBeat révèle que LangGraph et LangChain-core exposent des vulnérabilités du même type :

• LangGraph (CVE-2025-67644, CVSS 7.3) : injection SQL dans le checkpointer SQLite. Les clés de filtrage sont interpolées directement dans la requête SQL avec une f-string, sans échappement. Chaînée avec CVE-2026-28277 (désérialisation msgpack), elle permet l'exécution de code à distance.
• LangChain-core (CVE-2026-34070, CVSS 7.5) : lecture arbitraire de fichiers via l'API legacy load_prompt(). Un attaquant peut lire n'importe quel fichier accessible au processus, y compris les fichiers .env contenant les clés API OpenAI et Anthropic. Une seconde faille (CVE-2025-68664, CVSS 9.3) permet l'exfiltration de credentials par désérialisation.

Le point commun de ces trois frameworks : ce ne sont pas des attaques « IA ». Ce sont des bugs d'application web classiques : injection SQL, path traversal, désérialisation non sécurisée : qui se trouvent maintenant dans la plomberie qui connecte l'IA aux systèmes d'entreprise. Les WAF et EDR ne les détectent pas parce qu'ils ne modélisent pas la logique interne des frameworks. Source : VentureBeat.

AutoJack : quand une page web détourne votre agent

Les chercheurs de Microsoft ont documenté une chaîne d'exploit baptisée AutoJack qui transforme un agent de navigation IA en cheval de Troie. Le principe : une simple page web malveillante, chargée par l'agent, exécute du JavaScript qui se connecte au WebSocket MCP d'AutoGen Studio en localhost et lance une commande arbitraire. Source : The Hacker News.

La faille combine trois faiblesses : le WebSocket fait confiance aux connexions localhost (et l'agent tourne en local), le middleware d'authentification saute les routes MCP, et le handler exécute n'importe quelle commande sans allow-list. Résultat : une page sur l'internet public, rendue par un agent local, peut lancer un processus sur la machine hôte : sans credentials, sans interaction utilisateur.

Le correctif est dans le code source de GitHub (commit b047730) mais pas encore publié sur PyPI au 19 juin 2026. La version stable (0.4.2.2) n'est pas affectée : seules les pré-versions 0.4.3.dev1 et dev2 le sont.

Ce que cela change pour les équipes tech

Ces révélations simultanées dessinent trois réalités immédiates :

• La sécurité des agents IA est aujourd'hui une sécurité applicative classique. Les frameworks d'agents sont des applications web comme les autres, avec des endpoints, des parseurs et des désérialiseurs. Les mêmes règles de développement s'appliquent : validation des entrées, échappement des requêtes, allow-listing.
• Le choix architectural détermine la viabilité en production. Fine-tuning et RAG imposent tous deux une supervision humaine permanente. Les hypernetworks promettent de réduire cette dépendance, mais la technologie est encore émergente : Nace.AI lève 21,5 M$, pas 500 M$.
• Le MCP (Model Context Protocol) est une surface d'attaque. L'AutoJack et les failles LangChain montrent que le protocole qui connecte les agents aux outils est en train de devenir le maillon faible de la chaîne.

À retenir

• Ni le fine-tuning ni le RAG ne résolvent le problème de l'autonomie des agents. Le premier oublie, le second perd le contexte. L'humain reste systématiquement dans la boucle.
• Les hypernetworks émergent comme troisième voie : générer un petit modèle spécialisé à la demande, frais et à jour, sans les coûts de réentraînement ni les limites de contexte.
• 7 000 serveurs Langflow sont activement attaqués via une faille de path traversal (CVE-2026-5027, CVSS 8.8). Correctif disponible depuis avril, exploitation active depuis juin.
• LangGraph (injection SQL) et LangChain (lecture de fichiers, vol de credentials) exposent les mêmes classes de bugs applicatifs classiques, non détectés par les outils de sécurité traditionnels.
• AutoJack permet de détourner un agent IA avec une simple page web pour exécuter du code arbitraire sur l'hôte. Correctif dans le code source, pas encore sur PyPI.