Botpress piraté : les clés d'API des agents IA de 16 clients exposées

L'éditeur de plateforme d'agents conversationnels Botpress a révélé le 6 novembre 2026 une intrusion dans ses outils internes. Un attaquant a lu la configuration des robots de 16 espaces clients, susceptibles de contenir des clés d'API de fournisseurs d'IA, des jetons de messagerie ou des identifiants de CRM. L'objectif apparent : revendre de la consommation d'IA. Un cas d'école pour toutes les entreprises qui confient leurs secrets à une plateforme d'agents.

Les agents IA ne fonctionnent pas seuls. Pour répondre à un client, consulter un CRM ou envoyer un message sur WhatsApp, ils ont besoin de clés d'accès à d'autres services. Ces clés sont souvent stockées dans la configuration de l'agent, chez l'éditeur de la plateforme. C'est pratique, mais cela concentre chez un seul acteur un trésor d'identifiants pour des centaines de clients.

L'incident de Botpress montre ce qui se passe quand ce coffre est ouvert. La faille ne venait pas d'un client imprudent, mais d'un outil interne de l'éditeur. Et la motivation de l'attaquant n'était ni la rançon, ni l'espionnage, mais un phénomène plus récent : la revente de crédits d'IA sur des marchés parallèles. Pour les PME qui déploient des agents, l'affaire pose une question simple : que peut faire un attaquant de mes clés s'il les récupère chez mon fournisseur ?

Ce que Botpress a révélé

Une intrusion par un outil interne

Dans une note publiée le 6 novembre 2026, signée par son directeur technique Michael Masson, Botpress détaille la chronologie. Le 12 octobre, un attaquant commence à sonder le proxy d'authentification qui protège plusieurs outils internes. Une faille dans la façon dont ce proxy validait les connexions lui permet d'y entrer avec des sessions qui semblaient appartenir à des salariés. Du 13 au 21 octobre, il a accès à ces outils et à des systèmes connectés, dont des informations de comptes clients et des données liées aux identifiants d'API du personnel.

Le 21 octobre, entre 7 h 44 et 8 h 23 (heure UTC), l'attaquant utilise l'identifiant d'API d'un salarié, doté de droits d'administration, pour lire la configuration des robots de 16 espaces de travail clients. Selon Unite.AI, ce salarié était membre de ces espaces avec un accès administrateur. Séparément, des faiblesses dans le paramétrage de certaines intégrations lui ont permis de modifier les réglages d'une intégration dans deux autres espaces clients.

Une faille colmatée le jour même

Botpress indique avoir corrigé la vulnérabilité du proxy vers 16 h 25 UTC le 21 octobre, changé son secret et révoqué l'identifiant compromis. De nouvelles tentatives d'intrusion ont été observées et rejetées jusqu'au 3 novembre. L'éditeur affirme n'avoir trouvé aucune trace de compromission des comptes d'identité de ses salariés, aucune modification de son code source, de ses chaînes de compilation ou de ses paquets publiés, et aucun accès aux conversations des utilisateurs finaux avec les robots.

Le mobile : revendre de la consommation d'IA

Le point le plus instructif concerne la motivation. Selon Botpress, l'intrusion visait à obtenir de l'usage d'IA pour le revendre, l'attaquant s'appuyant sur un vaste réseau de comptes Botpress pour consommer des crédits. Aucune demande de rançon n'a été reçue, et l'éditeur n'a constaté aucun signe de publication ou de vente de données clients.

Ce mobile n'est pas isolé. Dans une analyse publiée sur DEV Community, l'ingénieur Gabriel Anhaia rappelle qu'un rapport de la société de sécurité Wiz, daté du 30 octobre, faisait état d'au moins neuf plateformes de développement d'IA ayant signalé des incidents en octobre, avec des clés d'entreprise compromises testées depuis l'infrastructure d'attaquants. Il précise toutefois que rien ne relie l'intrusion chez Botpress aux mêmes acteurs.

La logique est simple : une clé d'API d'un fournisseur de modèles est une carte de paiement. Tant qu'elle n'est pas révoquée, elle permet de consommer du calcul aux frais de son propriétaire.

Chiffres clés

Indicateur	Valeur	Source
Début des sondages	12 octobre 2026	Botpress
Période d'accès aux outils internes	13 au 21 octobre 2026	Botpress
Espaces clients dont la configuration a été lue	16	Botpress, Unite.AI
Espaces clients avec une intégration modifiée	2	Botpress
Durée de la lecture des configurations	39 minutes, le 21 octobre	Botpress, DEV Community
Correction de la faille	21 octobre, vers 16 h 25 UTC	Botpress
Tentatives rejetées observées	Jusqu'au 3 novembre 2026	Botpress
Demande de rançon	Aucune	Botpress

Ce que doivent faire les clients

Botpress a contacté directement les clients concernés et leur a transmis la liste des robots et intégrations en cause. L'éditeur ne peut pas déterminer, à partir de ses journaux, quels robots contenaient des identifiants valides au moment de la lecture. Il leur demande donc de « treat every credential stored in the affected bots as exposed », c'est-à-dire de considérer chaque identifiant stocké dans ces robots comme exposé, et de les renouveler. Les clients non contactés n'ont, selon l'éditeur, aucune raison de penser que leurs robots ont été lus ou modifiés.

Au-delà de Botpress, l'incident offre une liste de bonnes pratiques valable pour toute entreprise qui utilise une plateforme d'agents. Gabriel Anhaia en propose plusieurs, que l'on peut résumer ainsi :

• Révoquer les clés chez le fournisseur d'origine, et pas seulement dans la plateforme : une ancienne clé reste valable tant qu'elle n'a pas été désactivée chez l'émetteur.
• Examiner la consommation de chaque fournisseur depuis le début de la période d'exposition, car une clé volée se traduit en dépenses.
• Vérifier les intégrations modifiées, notamment les adresses vers lesquelles les données sont envoyées.
• Utiliser une clé distincte par agent, plutôt qu'une clé unique partagée pour toute l'organisation.
• Fixer des plafonds de dépense et des alertes par espace de travail, et traiter les pics de coût comme un signal de sécurité.
• Interroger ses autres fournisseurs : un identifiant de salarié peut-il lire les secrets stockés par les clients ?

Pourquoi c'est un enjeu pour les PME qui déploient des agents

Les plateformes d'agents sont précieuses justement parce qu'elles relient l'IA aux outils de l'entreprise. Chaque connexion ajoute une clé, et chaque clé élargit la surface d'attaque. Pour une PME, le risque ne se limite pas à la fuite de données : une clé de fournisseur d'IA détournée peut générer une facture inattendue, et un identifiant de CRM ou de messagerie compromis peut servir à usurper l'entreprise auprès de ses clients.

Le blog a déjà abordé les risques de sécurité d'un agent IA connecté à la messagerie, sous l'angle de l'injection de consignes. L'affaire Botpress illustre une autre facette : la sécurité de l'éditeur lui-même. Dans un appel d'offres, il devient légitime de demander comment les secrets des clients sont chiffrés, qui chez le fournisseur peut y accéder, et comment ces accès sont tracés.

Trois réflexes à adopter dès maintenant

Sans attendre un incident, une entreprise qui utilise des agents peut prendre trois mesures simples. D'abord, tenir un inventaire des clés confiées à chaque plateforme : quel agent utilise quelle clé, pour quel service, avec quels droits. Ensuite, limiter ces droits au strict nécessaire, par exemple une clé de CRM en lecture seule pour un agent qui ne fait que consulter des fiches clients. Enfin, désigner un responsable capable de révoquer rapidement toutes les clés d'un agent si le fournisseur signale un incident. Ces précautions ne suppriment pas le risque, mais elles réduisent fortement les dégâts possibles, et le temps nécessaire pour réagir lorsqu'un éditeur comme Botpress demande de tout renouveler.

Limites, questions ouvertes et perspectives

Plusieurs zones d'ombre subsistent. Botpress ne sait pas combien d'identifiants valides ont été exposés, ni s'ils ont été effectivement utilisés. L'enquête est décrite comme en cours, et les conclusions reposent sur les journaux de l'éditeur. Enfin, la modification de l'API des robots, destinée à empêcher qu'un identifiant de salarié puisse accéder aux secrets stockés, n'était pas encore déployée au moment de la publication, selon l'analyse de DEV Community.

Côté éditeur, le renouvellement des identifiants internes se poursuit, tout comme une revue des accès du personnel aux outils internes et aux espaces clients, y compris la question de savoir quand un salarié doit disposer de droits d'administration chez un client.

Ce qu'il faut surveiller

La publication d'un bilan final de l'enquête, le déploiement effectif de la nouvelle API et la réaction des clients concernés seront les prochains jalons. Plus largement, la multiplication des incidents visant les plateformes d'IA en octobre pourrait pousser les éditeurs à généraliser les coffres-forts de secrets, les clés à durée de vie courte et les plafonds de dépense par défaut. Les entreprises clientes, elles, auront tout intérêt à intégrer ces exigences dans leurs contrats et leurs grilles d'évaluation des fournisseurs.

En bref

• Botpress a révélé le 6 novembre 2026 une intrusion dans ses outils internes, entre le 13 et le 21 octobre.
• Avec l'identifiant d'un salarié, l'attaquant a lu la configuration des robots de 16 espaces clients et modifié une intégration dans deux autres.
• Ces configurations peuvent contenir des clés d'API d'IA, des jetons de messagerie et des identifiants de CRM.
• Le mobile apparent est la revente de crédits d'IA ; aucune rançon n'a été demandée.
• Les clients concernés doivent considérer tous les identifiants stockés comme exposés et les renouveler chez chaque fournisseur.

Sources

• Security incident disclosure — November 2026, Botpress, 6 novembre 2026
• Botpress Discloses Internal Breach and Customer Credential Risk, Unite.AI, 6 novembre 2026
• A Botpress Staff Key Read Bot Configs in 16 Workspaces. The Target Was AI Credits, DEV Community, 6 novembre 2026

Photo d'illustration : This_is_Engineering sur Pixabay.