Faux dépôts REA et cheval de Troie : le risque supply chain d'un outil viral
Le 13 octobre 2026 à 00 h 42 (UTC), un utilisateur a ouvert l'issue n° 2424 sur le dépôt officiel de REA pour signaler un imposteur : le dépôt rea-tools/rea, dont le nom imite le site officiel rea.tools, distribuait un exécutable Windows que Microsoft Defender classe comme cheval de Troie1. L'archive avait été téléchargée 172 fois. Deux jours plus tôt, le vrai dépôt gagnait 25 793 étoiles en une journée2 : un outil qui devient viral attire les imitateurs dans la semaine.
L'incident, tel que documenté
Le faux dépôt copiait le README officiel et y ajoutait une section Windows Standalone .exe / GUI. Elle pointait vers une release intitulée rea-agents: v6.3.0, numéro emprunté à une vraie version du paquet npm publiée trois jours plus tôt3. La release servait une archive rea-x64.7z de 82,6 Mo, d'empreinte SHA-256 64116f55779f1a30250aa2497ada9199221d0f867f98575359a5c5cefa9b78a31.
Microsoft Defender signalait l'archive comme Trojan:Script/Wacatac.B!ml et l'exécutable extrait comme Trojan:Win32/Wacatac.B!ml. Sur VirusTotal, 8 moteurs sur 45 le marquaient, avec des libellés de type trojan ou dropper, et l'analyse en bac à sable relevait des comportements d'évitement : détection d'environnement de débogage, longues pauses, vérification d'une interaction utilisateur. L'organisation rea-tools avait été créée le 10 octobre et ne contenait que ce dépôt. L'auteur de l'issue l'a signalée à GitHub1.
La réponse du projet
Moins d'une demi-heure après le signalement, un contributeur a proposé la pull request n° 2429, fusionnée le 13 octobre à 19 h 23 (UTC)4. Elle ajoute, avant la première commande d'installation et dans les 19 éditions traduites du README, un encadré qui nomme les trois sources officielles et précise : « A similar repository name or copied README does not establish that a download is official »5. La PR évite à dessein de répéter l'URL de téléchargement malveillante ou d'affirmer un verdict sur le logiciel. Le correctif tient en quelques lignes de documentation, rédigées pour rester valables si les formats de distribution changent.
Trois sources officielles, et rien d'autre
REA se récupère sur github.com/morluto/rea, sur rea.tools ou par le paquet npm rea-agents. Le nom du paquet compte au caractère près : ni rea, ni rea-tools, ni rea-agent. Les métadonnées du paquet renvoient au dépôt morluto/rea, le seul mainteneur npm est morluto, et la version 6.5.0, publiée le 14 octobre, porte une attestation de provenance npm3. L'installation documentée passe par npx rea-agents setup, sans exécutable Windows autonome : toute page qui propose un .exe de REA mérite la plus grande méfiance.
Les imitateurs ne s'arrêtent pas à GitHub. Des sites aux noms proches, des miroirs et des guides non officiels circulent. Nous ne les citons pas ici pour ne pas leur donner de visibilité.
Les vérifications à faire avant d'installer un serveur MCP
L'incident vaut pour tout serveur MCP, pas seulement pour REA. Un serveur MCP s'exécute sur le poste du développeur, avec ses droits, et donne des outils à un agent : c'est une dépendance de premier rang. Avant de l'installer, vérifiez le propriétaire du dépôt et sa date de création, puisqu'une organisation créée trois jours avant la release était ici le premier signal. Comparez le champ repository du paquet npm avec le dépôt que vous consultez. Contrôlez la provenance et les signatures du paquet avec npm audit signatures. Épinglez une version exacte au lieu de @latest, ce que le setup de REA fait déjà dans les enregistrements MCP qu'il écrit6. Et refusez tout binaire que les sources officielles ne distribuent pas.
Pour une équipe, ces contrôles se traduisent par une liste blanche de serveurs MCP autorisés, avec la version et la source de chacun, tenue par la sécurité et revue à chaque mise à jour. Le contexte de l'agent est une autre surface d'attaque, détaillée dans le contexte de vos agents IA est une surface d'attaque, et la question de la responsabilité dans qui répond du code qu'un agent pousse en production.
Si vous avez téléchargé une copie suspecte
Ne lancez pas l'exécutable. Si c'est déjà fait, isolez le poste du réseau et traitez l'événement comme un incident de sécurité : comparez l'empreinte SHA-256 avec celle de l'issue, conservez l'archive pour l'analyse, changez les secrets accessibles depuis le poste. Analysez le fichier en environnement confiné, jamais sur la machine principale (voir REA n'est pas un sandbox), et signalez le dépôt à GitHub.
Questions fréquentes
Comment reconnaître le vrai REA ?
Par sa source : le dépôt morluto/rea, le site rea.tools ou le paquet npm rea-agents publié par morluto. Un nom proche ou un README identique ne prouvent rien.
REA propose-t-il un exécutable Windows officiel ?
Au 14 octobre 2026, la distribution officielle passe par npm (npx rea-agents setup). La section Windows Standalone .exe était la marque du faux dépôt.
Combien de personnes ont été touchées ?
L'issue fait état de 172 téléchargements de l'archive au moment du signalement. Le nombre d'exécutions réelles n'est pas connu.
Cet incident est-il propre à REA ?
Le même schéma (nom proche, README copié, binaire ajouté) peut viser n'importe quel projet populaire. La popularité soudaine d'un outil devrait déclencher une vigilance accrue sur ses copies.
L'offre AI Cyber de SFEIR aide les équipes à encadrer les outils agentiques qu'elles installent : inventaire des serveurs MCP, provenance, épinglage des versions et confinement.
Sources
- morluto/rea, issue n° 2424, Warning: fake repo rea-tools/rea distributes a trojan "Windows exe". Please add a README note — github.com, 13 octobre 2026.
- Ishank Choudhary, I Pointed REA at a 100 MB Electron App. Here's What It Found and the Two Preload Files It Missed., publié sur Medium puis sur DEV — dev.to, 12 octobre 2026.
- npm, paquet rea-agents (historique des versions, métadonnées de la 6.5.0) — npmjs.com, consulté le 14 octobre 2026.
- morluto/rea, pull request n° 2429, docs: identify official REA installation sources — github.com, fusionnée le 13 octobre 2026.
- morluto/rea, README, encadré sur les sources officielles — github.com, consulté le 14 octobre 2026.
- morluto/rea, docs/installation.md — github.com, consulté le 14 octobre 2026.
Mettre vos outils agentiques sous contrôle de la chaîne d'approvisionnement
Découvrir l'offre AI CyberArticles similaires
REA n'est pas un sandbox : confiner l'analyse d'un binaire inconnu
La politique de sécurité de REA le dit en toutes lettres : l'outil n'est pas un bac à sable. Ouvrir un binaire inconnu le fait analyser par Ghidra ou Hopper avec vos droits. Ce que protège le pont authentifié, ce qu'il ne protège pas, et comment confiner l'analyse.
Clean-room ou reverse engineering : méthode et risque juridique à l'ère des agents
Rétro-ingénierie et clean-room ne se confondent pas en droit. Ce que la directive 2009/24/CE, le Code de la propriété intellectuelle et la CJUE autorisent, et pourquoi un agent qui lit le décompilé puis réécrit fragilise la défense.
Quand l'agent pousse du code en production à 3h du matin, qui est responsable ?
La sécurité de l'agentic coding se joue dans la revue : signaux d'alarme, vérifiabilité, harnais et identité des agents.
Le contexte de vos agents IA est une surface d'attaque
Le contexte des agents IA est à la fois leur carburant opérationnel et leur principale surface d'attaque. Injection de contexte, exfiltration via la Knowledge Base, empoisonnement de la Hot Memory : trois vecteurs distincts, cinq leviers de gouvernance concrets.