NVIDIA enquête sur une faille de sécurité survenue sur Brev, sa plateforme cloud dédiée aux développeurs. Une activité non autorisée pourrait avoir exposé des clés SSH utilisées pour accéder aux machines virtuelles de ses clients. Toute personne exploitant des charges de travail sur les outils cloud de NVIDIA est invitée à vérifier si ses identifiants d'accès ont été concernés.
Ce qui s'est réellement passé
Selon Tom's Hardware, NVIDIA a détecté une activité non autorisée sur sa plateforme Brev entre le 4 et le 20 octobre 2025, soit une fenêtre de 16 jours. Brev est le service cloud de NVIDIA qui permet de provisionner et de gérer des machines virtuelles pour les développeurs. L'enquête a révélé que des clés SSH, utilisées pour accéder aux machines virtuelles des clients, ont pu être exposées durant cette période. NVIDIA a fait tourner les clés concernées et mis à jour les instances clients par précaution, rapporte le média. L'entreprise affirme n'avoir trouvé aucune preuve d'une utilisation malveillante des clés exposées. Le rapport ne mentionne ni noms de clients, ni montants financiers, ni nombre précis de machines virtuelles touchées.
Comment on en est arrivé là
NVIDIA développe depuis plusieurs mois son offre cloud, portée par la demande croissante en puissance de calcul pour l'IA, en associant son matériel GPU à des plateformes comme Brev. Celle-ci permet aux développeurs de provisionner et gérer des machines virtuelles pour leurs charges de travail GPU. Les clés SSH restent une méthode standard pour l'accès distant sécurisé aux serveurs cloud. Or, une clé SSH compromise peut permettre une entrée directe dans un système, sans authentification supplémentaire, ce qui explique pourquoi les fournisseurs prennent ce type d'exposition très au sérieux. Les incidents liés aux identifiants cloud se multiplient à mesure que les fournisseurs d'infrastructure IA montent en puissance, parfois plus vite que leurs cycles de revue de sécurité ne mûrissent.
Pourquoi cela vous concerne
Pour les clients de Brev, la priorité est de vérifier que les clés renouvelées ont bien été appliquées à leurs instances. Il convient aussi d'examiner les journaux d'accès aux machines virtuelles à la recherche d'anomalies sur la période des 16 jours concernés. Les développeurs exécutant des tâches IA sur l'infrastructure cloud de NVIDIA devraient privilégier des identifiants à durée de vie courte plutôt que des clés SSH statiques, dans la mesure du possible. Cet incident rappelle qu'un système d'identifiants partagé peut impacter de nombreuses charges de travail indépendantes les unes des autres. Pour les projets crypto et Web3 qui louent de la puissance de calcul GPU centralisée, l'épisode met en lumière un risque de concentration plus large. Les équipes développant des logiciels pour la réalité augmentée et les lunettes connectées, qui s'appuient sur le rendu GPU en cloud, devraient évaluer la posture de sécurité de leurs fournisseurs avant tout déploiement.
La question de fond
Alors que l'infrastructure IA se développe plus vite que les cycles de revue de sécurité, quelle part du risque lié aux identifiants revient aux fournisseurs cloud, et quelle part aux clients ? L'incident de Brev n'a révélé aucune utilisation malveillante confirmée, mais la fenêtre d'exposition a duré 16 jours avant d'être détectée. Cet écart soulève une interrogation plus large : à quelle vitesse un accès non autorisé peut-il être repéré dans des systèmes cloud aussi vastes ? Ces infrastructures soutiennent désormais l'IA, la crypto et des technologies émergentes comme les lunettes connectées.
À surveiller
NVIDIA n'a communiqué aucun calendrier public pour un rapport final sur l'incident. Les clients de Brev devraient surveiller les communications officielles de NVIDIA confirmant le renouvellement complet des clés sur l'ensemble des instances concernées. Toute personne exploitant des charges de travail GPU liées à la réalité augmentée, aux lunettes connectées ou aux infrastructures crypto devrait suivre les mises à jour directement auprès de NVIDIA. Aucune nouvelle date de divulgation n'a été annoncée pour l'instant. Bonuz continuera de suivre les déclarations officielles à mesure que l'examen de sécurité du cloud de NVIDIA se poursuit.
