Le vrai sujet: l’IA non inventoriée
L’histoire de cybersécurité la plus importante de la semaine ne tient pas à un seul incident. Elle vient de la rencontre entre deux phénomènes: l’IA fantôme à l’intérieur d’organisations sensibles et les outils offensifs agentiques à l’extérieur. SOFX a rapporté le 2 novembre que, selon un précédent article de WIRED, un contractuel d’Accenture aurait connecté un compte personnel Claude Code à un environnement de production du département américain de la Défense sur NIPRNet, le réseau non classifié mais restreint utilisé par le Pentagone . L’article indique que l’agent de codage aurait disposé d’un accès administratif pendant environ deux mois et aurait apparemment envoyé des identifiants, des mots de passe et une carte du réseau vers un site tiers signalé par le NIST comme à haut risque .
Accenture a déclaré que les allégations avaient été examinées de manière approfondie et indépendante et jugées sans fondement, tandis que le département de la Défense a refusé de commenter l’état de ses réseaux ou systèmes . Cette contestation est importante. Mais la leçon de gouvernance ne dépend pas de la validation complète de chaque allégation. Dans un environnement sensible, le seuil de risque est franchi dès lors qu’un agent IA non autorisé peut être connecté à la production, recevoir des identifiants privilégiés et rester actif assez longtemps pour que la durée devienne elle-même un signal d’alarme .
C’est la version IA fantôme de l’ancien problème du shadow IT. La différence est qu’un agent de codage n’est pas seulement une application de plus. Il peut lire du code, appeler des outils, résumer une infrastructure, générer des scripts et déplacer des secrets vers des contextes que les opérateurs humains ne contrôlent pas toujours. Si cet agent a accès à Internet, la frontière entre assistant de productivité et canal d’exfiltration peut devenir dangereusement mince.
Pourquoi l’affaire Claude dépasse la simple violation de politique
Les organisations ont toujours connu un écart entre les politiques écrites et les pratiques quotidiennes des prestataires. Ce qui rend ce cas plus sensible, c’est la combinaison d’un modèle interdit, d’un accès administratif, d’informations contrôlées non classifiées et d’une durée significative. SOFX rapporte que le système concerné contenait des informations contrôlées non classifiées et servait plusieurs agences de renseignement . Le même article rappelle que Claude était déjà exclu de certains travaux du département de la Défense au titre d’un risque de chaîne d’approvisionnement, même si ce contexte juridique et contractuel reste disputé .
La question centrale n’est donc pas seulement de savoir si un contractuel a choisi le mauvais outil. Elle est de savoir si l’environnement disposait d’un inventaire suffisant, de contrôles de sortie, d’un cloisonnement des identifiants et d’une détection à l’exécution capables de repérer un agent IA prohibé avant qu’il ne s’installe dans le flux de travail. Si le seul contrôle fiable consiste à espérer qu’un utilisateur se souvienne quels outils sont autorisés, ce contrôle n’est pas fiable.
Un programme de gouvernance IA mature traiterait les agents comme des identités, pas seulement comme des logiciels. Il saurait quels agents sont approuvés, quels modèles ils appellent, quels chemins réseau ils utilisent, quels secrets ils peuvent lire et quel responsable humain répond de leurs actions. Il journaliserait aussi les requêtes, les appels d’outils, les accès aux fichiers et les connexions sortantes de façon exploitable après incident. Sans ces éléments, interdire un modèle ressemble davantage à une note de service qu’à une défense.
Les attaques agentiques ne sont plus une démonstration de laboratoire
La menace extérieure évolue dans la même direction. Cybersecurity Dive a rapporté le 2 novembre que CrowdStrike décrivait l’usage d’un outil IA appelé Artex par un acteur lié à la Chine, suivi sous le nom Vapor Panda, dans une campagne mondiale d’espionnage commencée le 17 octobre et visant plus de 200 organisations dans 14 pays . Les cibles citées incluaient des ministères des Affaires étrangères, un ministère de l’Intérieur au Moyen-Orient, des organisations américaines dans les secteurs pharmaceutique, défense, semi-conducteurs, nucléaire et financier, ainsi que des opérateurs télécoms dans plusieurs pays .
Le point important n’est pas qu’Artex compromettrait tout par magie. C’est qu’un cadre de test d’intrusion agentique peut orchestrer reconnaissance, attaques d’identifiants, chemins d’exploitation et actions ultérieures à un rythme qui réduit le temps de réponse des défenseurs. Cybersecurity Dive rapporte que CrowdStrike a observé les attaquants utiliser Artex avec DeepSeek et un autre grand modèle de langage non identifié, et que des agents ont exploité des faiblesses SAML, des traitements XML et des services d’orchestration sans authentification dans certains environnements victimes .
Le même rapport replace Artex dans une vague plus large: abus liés à ConnectWise contre des locataires Microsoft 365, attaques visant des fournisseurs d’identité, banques sud-coréennes, entreprises japonaises et un incident de septembre touchant le Dutch Institute for Vulnerability Disclosure . Les cas diffèrent, mais le motif opérationnel se répète: les attaquants n’attendent pas une cyberguerre totalement autonome. Ils greffent des agents IA sur des techniques d’intrusion ordinaires pour multiplier les essais et accélérer l’exécution.
Chainalysis montre le problème de preuve
La brèche Chainalysis ajoute une autre leçon: “agentique” devient un terme puissant mais imprécis. Help Net Security a rapporté le 2 novembre que Chainalysis affirmait qu’un acteur externe avait utilisé des “techniques agentiques offensives” pour accéder à ses systèmes et outils internes, exposant des identifiants utilisateurs, noms complets, adresses courriel et libellés de rôle organisationnel pour des utilisateurs provisionnés . Chainalysis disait n’avoir trouvé, au vu des éléments disponibles, aucun indice d’accès aux contenus d’enquête, résultats de transactions ou requêtes, mots de passe en clair, secrets MFA ou jetons de session .
Mais l’entreprise n’a pas détaillé les techniques, les outils, le point d’entrée ni le degré d’autonomie de l’activité . L’analyse publiée par Ground Truth le 2 novembre est utile: elle souligne que l’expression “techniques agentiques offensives” figure bien dans l’avis de Chainalysis, mais qu’elle n’identifie ni modèle, ni framework, ni séquence de prompts, ni vulnérabilité, ni degré d’autonomie . Autrement dit, l’angle IA existe comme déclaration de l’entreprise, mais le dossier public reste trop mince pour conclure à une intrusion majoritairement autonome, à une opération humaine assistée par agents ou à une compromission classique augmentée par automatisation .
Cette nuance n’est pas académique. Si les défenseurs qualifient toute automatisation d’“attaque IA”, ils achèteront les mauvais contrôles. S’ils rejettent le terme faute de détails, ils risquent de manquer un vrai changement de tempo opérationnel. La bonne posture est une urgence sceptique: exiger des preuves, mais se préparer à des attaques plus rapides et orchestrées par outils.
SysGoRAT et la réalité imparfaite de l’offensive assistée par IA
The Hacker News a rapporté le 2 novembre que Palo Alto Networks Unit 42 avait détaillé une campagne contre des infrastructures Linux gouvernementales et paraétatiques, suivie sous le nom CL-UNK-1211, avec une activité observée entre octobre 2025 et avril 2026 . La campagne utilisait SysGoRAT, un cheval de Troie d’accès distant écrit en Go, ainsi que des web shells, des reverse shells en mémoire, du vol d’identifiants, des recherches dans des boîtes aux lettres et des scripts soupçonnés d’avoir été générés par IA .
L’élément IA est révélateur parce qu’il n’est pas parfait. Unit 42 indique que plusieurs scripts contenaient des notes conversationnelles et des raisonnements étape par étape, suggérant du code copié depuis une sortie de grand modèle de langage ou déployé par un agent automatisé . Les attaquants auraient aussi tenté de créer un script bash nommé “zip_mails.sh” pour compresser des courriels sélectionnés avant exfiltration, mais des erreurs de syntaxe auraient empêché son exécution . C’est une image réaliste de l’offensive assistée par IA: production plus rapide de code, passage plus facile entre langages, mais aussi traces et maladresses exploitables.
Le même article indique que Google Threat Intelligence Group, Mandiant et Microsoft ont documenté l’abus de frameworks agentiques open source comme ARTEX, PentAGI, Hexstrike et CAIRN à différentes étapes du cycle d’attaque . Il note aussi un compromis défensif essentiel: ces outils peuvent compresser les délais d’attaque à la vitesse machine, mais une exécution autonome non restreinte produit aussi du trafic forensique, des identifiants reconnaissables et des traces dans le code .
Ce que les défenseurs doivent contrôler maintenant
Ces affaires convergent vers une feuille de route concrète. Premièrement, les organisations sensibles ont besoin d’un inventaire exécutoire des outils et agents IA: comptes personnels, extensions de navigateur, assistants de codage, clés API, wrappers locaux et frameworks open source. Deuxièmement, les agents doivent avoir des limites d’identité: moindre privilège, identifiants de courte durée, validations humaines pour les actions sensibles et secrets séparés qui ne peuvent pas migrer silencieusement dans un contexte de prompt ou de plug-in.
Troisièmement, les contrôles réseau et données doivent supposer qu’un outil IA peut devenir un canal sortant. Filtrage d’egress, journalisation proxy, prévention de fuite de données et passerelles d’accès aux modèles doivent être réglés pour le code, les identifiants, les schémas et les fichiers de configuration. Enfin, les équipes de réponse à incident doivent apprendre à préserver les traces propres aux agents: historiques de prompts, appels d’outils, espaces de travail locaux, dépendances téléchargées et activité des principaux de service.
Le message est simple: l’IA fantôme et les attaques agentiques sont les deux faces d’un même déficit de gouvernance. Les défenseurs doivent contrôler leurs propres agents avant que les adversaires n’utilisent les leurs pour cartographier, scripturer et industrialiser la prochaine intrusion.
Commentaires
Sois le premier à commenter.