Faille NVIDIA : vos données d'IA en cloud sont-elles protégées ?

En juillet 2025, l'équipe de recherche de la société Wiz a publié le détail d'une faille baptisée NVIDIAScape, référencée CVE-2025-23266 et notée 9,0 sur 10 en gravité. Elle permet à un programme enfermé dans un conteneur NVIDIA de s'en échapper et de prendre le contrôle du serveur entier. L'attaque tient en trois lignes de code. Si votre entreprise utilise de l'intelligence artificielle hébergée dans le cloud, directement ou à travers un prestataire, cette faille la concerne potentiellement. Cet article explique ce qui s'est passé, qui est exposé et comment vérifier que le correctif a bien été appliqué.

Un conteneur, c'est une chambre d'hôtel

Pour comprendre la faille, il faut d'abord comprendre ce qu'est un conteneur. Un serveur moderne n'exécute presque jamais un seul programme pour un seul client. Il est découpé en compartiments étanches, les conteneurs, qui partagent la même machine physique tout en s'ignorant mutuellement. L'image de la chambre d'hôtel résume le principe : chaque client vit dans la sienne, porte fermée, sans voir ses voisins ni accéder à leurs affaires.

Cette mutualisation est particulièrement répandue dans l'intelligence artificielle, pour une raison simple : le matériel coûte cher. Une carte graphique NVIDIA H100, celle qui entraîne et fait tourner la plupart des grands modèles, se vend autour de 30 000 dollars l'unité. Peu d'entreprises en achètent. Elles louent de la puissance de calcul dans le cloud, à l'heure, sur des serveurs partagés avec d'autres clients. Le modèle économique de l'IA en cloud repose donc entièrement sur la solidité des portes entre les chambres.

Ce que la faille NVIDIAScape permet exactement

Le NVIDIA Container Toolkit est le logiciel qui relie les conteneurs aux cartes graphiques NVIDIA. Il est installé sur une grande partie des infrastructures d'intelligence artificielle : Wiz estime qu'il est présent dans environ 37 % des environnements cloud. C'est dans ce composant que se loge la faille.

Sans entrer dans le détail technique, le mécanisme est le suivant. Au démarrage d'un conteneur, le toolkit exécute une opération de configuration avec les pleins pouvoirs sur le serveur. Or cette opération hérite par erreur de certains réglages définis... par le conteneur lui-même. Un attaquant peut donc glisser dans son conteneur une instruction qui sera exécutée avec les privilèges maximaux de la machine hôte. Trois lignes dans un fichier de configuration suffisent, ce qui a valu à la faille son surnom d'évasion de conteneur en trois lignes.

Concrètement, le client d'une chambre se fabrique un passe du personnel, et toutes les chambres de l'étage s'ouvrent : les données des autres clients hébergés sur le même serveur, leurs modèles d'IA, leurs clés d'accès.

Les versions concernées sont connues : le NVIDIA Container Toolkit jusqu'à la version 1.17.7 incluse, et le GPU Operator (son équivalent pour les grappes de serveurs Kubernetes) jusqu'à la version 25.3.0. NVIDIA a publié les correctifs en juillet 2025 : versions 1.17.8 et 25.3.1.

Un scénario concret, avec des chiffres

La réaction la plus fréquente face à ce type d'annonce est : "nous n'avons pas de serveurs NVIDIA, cela ne nous concerne pas". C'est souvent inexact, car l'exposition est le plus souvent indirecte. Si vos équipes utilisent un outil d'IA en ligne, si un prestataire entraîne un modèle sur vos données, si votre logiciel métier intègre une fonction d'IA, alors quelque part, un serveur équipé de ce toolkit traite probablement vos informations.

Prenons une entreprise de services de 80 personnes. Elle a fait développer un assistant interne qui répond aux questions de ses équipes en s'appuyant sur ses documents : contrats, procédures, données clients. Le prestataire héberge le tout chez un fournisseur de cloud GPU, sur des serveurs mutualisés, ce qui divise la facture par trois par rapport à des machines dédiées.

Un attaquant loue une instance sur la même plateforme pour une vingtaine d'euros. Il déploie un conteneur contenant les trois lignes en question. Si le serveur qui l'accueille n'est pas corrigé, il en prend le contrôle et accède aux données de tous les voisins, dont notre entreprise de 80 personnes, qui n'a jamais entendu parler du NVIDIA Container Toolkit.

Le déséquilibre financier est parlant. Côté attaquant : quelques dizaines d'euros et une technique publiquement documentée. Côté victime : le rapport IBM 2025 sur le coût des violations de données chiffre l'incident moyen à 4,4 millions de dollars, auxquels s'ajoutent en Europe l'obligation de notifier la CNIL sous 72 heures et, le cas échéant, d'informer les personnes concernées. Même un incident dix fois moins grave que cette moyenne dépasse le budget informatique annuel de beaucoup d'entreprises de cette taille.

Précision utile : à la date de publication de cet article, aucune exploitation massive de cette faille n'a été rendue publique. Le scénario ci-dessus est une projection, pas un fait divers. C'est justement ce qui rend la vérification intéressante : elle peut se faire à froid, sans pression.

Les trois questions à poser à votre hébergeur ou à votre équipe informatique

Nul besoin d'être technicien pour poser ces questions. Les réponses, elles, doivent être précises.

1. Utilisons-nous, directement ou via un prestataire, des serveurs GPU NVIDIA pour de l'intelligence artificielle ? Si personne ne sait répondre, c'est déjà une information : l'inventaire des usages d'IA reste à faire.

2. Quelle version du NVIDIA Container Toolkit est installée ? La réponse attendue est 1.17.8 ou supérieure (25.3.1 ou supérieure pour le GPU Operator). Une équipe compétente vérifie cela en quelques minutes avec la commande nvidia-ctk --version.

3. Nos traitements d'IA tournent-ils sur des serveurs partagés avec d'autres clients ? Si oui, demandez une confirmation écrite que le correctif de juillet 2025 est appliqué, et depuis quand. Un hébergeur sérieux répond à cette question sans difficulté.

La checklist pour dormir dans une chambre verrouillée

Au-delà de cette faille précise, l'épisode NVIDIAScape illustre une routine de sécurité que toute entreprise utilisatrice d'IA gagne à installer.

• Tenir un inventaire des usages d'intelligence artificielle : outils utilisés par les équipes, prestataires, fonctions d'IA intégrées aux logiciels métier, et données qui y transitent.
• Identifier où tournent ces traitements : serveurs internes, cloud dédié ou cloud mutualisé. Le niveau de risque n'est pas le même.
• Réserver les serveurs partagés aux données non sensibles : pour les données clients ou stratégiques, des instances dédiées coûtent plus cher mais suppriment le risque du voisin de chambre.
• Exiger de vos prestataires un engagement sur les délais d'application des correctifs : cette faille a été corrigée dès juillet 2025. La vraie question est le temps qui s'écoule entre la publication d'un correctif et son installation sur les serveurs qui traitent vos données.
• Vérifier plutôt que supposer : une attestation écrite mentionnant les versions installées vaut mieux qu'un "c'est géré".

Chaque point tient dans une réunion d'une heure avec votre équipe informatique ou votre prestataire. Aucun n'exige d'investissement lourd.

Vérifier les serrures avant que quelqu'un n'essaie la porte

La faille NVIDIAScape réunit tous les ingrédients du risque moderne : un composant que presque personne ne connaît, présent presque partout, une attaque triviale à mettre en oeuvre, un correctif disponible mais inégalement déployé. La sécurité de vos données ne dépend pas de la sophistication de vos outils, mais de la discipline avec laquelle les correctifs sont appliqués, chez vous comme chez vos prestataires.

Chez Autensai, nous accompagnons les entreprises qui veulent savoir précisément où tournent leurs traitements d'intelligence artificielle et si les correctifs critiques y sont appliqués. Si vous souhaitez faire ce point pour votre entreprise, le plus simple est d'en parler : prendre rendez-vous.