Le titre n’est plus de la science-fiction
Le titre de travail est volontairement direct: Qilin and AI agents escalate attacks. Les faits publiés ces dernières 72 heures racontent la même histoire par fragments: une opération liée au Kazakhstan s’appuie sur un agent autonome contre des cibles tadjikes, des frameworks de piratage IA sont exposés sur Internet, AntiFox est associé à des accès à des secrets AWS de production, une campagne GitHub vole des secrets CI, et Qilin s’impose comme le programme ransomware affilié le plus actif .
Il ne s’agit pas d’une seule campagne coordonnée. C’est plus inquiétant: des acteurs différents convergent vers les mêmes leviers. Les agents IA n’ont pas besoin de créer une nouvelle vulnérabilité pour changer l’équation. Ils accélèrent les tâches répétitives, enchaînent les essais, documentent les résultats et transforment des accès faibles ou mal cloisonnés en opérations plus rapides.
Silent Lynx: l’agent autonome entre dans l’espionnage
Le rapport de CloudSEK sur un serveur exposé de Silent Lynx est l’un des éléments les plus parlants. CloudSEK affirme avoir trouvé dans un répertoire ouvert des outils, des données de victimes et l’état d’un agent IA liés à des opérations contre des gouvernements et infrastructures critiques d’Asie centrale, notamment les chemins de fer tadjiks, la plateforme ouzbèke Smart Forestry, des leurres visant le Turkménistan et une collecte de documents gouvernementaux tadjiks .
CloudSEK attribue le serveur à Silent Lynx avec une confiance élevée et estime avec une confiance moyenne que l’opérateur présente un lien kazakh, en raison d’opérations en russe et de sessions de test venues d’une connexion résidentielle au Kazakhstan . Reuters, citant CloudSEK, rapporte que le groupe a utilisé Hermes, un framework open source pour agents autonomes, et a volé plus de 2 000 documents liés à la sécurité nationale du Tadjikistan .
Le détail central est moins spectaculaire qu’efficace. CloudSEK décrit un agent Hermes auto-hébergé utilisant des modèles DeepSeek pour la reconnaissance, la collecte et le nettoyage de traces, avec certaines commandes destructrices préapprouvées . Reuters rapporte aussi que l’agent a écrit un programme personnalisé pour télécharger, organiser et découper les documents afin de faciliter leur exfiltration après l’accès au système électronique documentaire tadjik .
Cette affaire place les défenseurs dans une zone grise: ce n’est ni une démonstration de laboratoire, ni un scénario hollywoodien. C’est une intrusion classique renforcée par un agent qui continue d’exécuter, de résumer et d’automatiser.
ARTEX, PentAGI et Agent Zero: les outils offensifs deviennent eux-mêmes des surfaces d’attaque
Un autre signal vient de l’exposition des frameworks d’attaque. CyberSecurityNews rapporte qu’un instantané Shodan du 7 novembre a identifié 1 428 services correspondant à la famille ARTEX, 419 à PentAGI et 173 à Agent Zero, certains panneaux d’administration étant exposés sans authentification .
Ces plateformes relient des modèles de langage à des outils de sécurité offensifs. Elles peuvent exécuter des commandes, examiner les sorties et décider d’une étape suivante, ce qui peut servir à des tests autorisés mais devient dangereux en cas d’exposition ou d’abus . Le même article, s’appuyant sur GitGuardian, précise toutefois qu’une empreinte détectée ne prouve pas une activité criminelle; chaque service doit être validé avant d’être considéré comme exposé, non authentifié ou compromis .
La nuance compte. Une console ARTEX ou PentAGI visible depuis Internet n’est pas automatiquement une brèche. Mais c’est une cible de grande valeur si elle donne accès à un shell, à des historiques de tâches, à des clés API ou à des identifiants cloud. Certaines équipes déploient donc des outils offensifs avec les mêmes erreurs de configuration que celles recherchées par les attaquants.
AntiFox: de l’outil de pentest à l’accès cloud
Le cas AntiFox franchit une étape supplémentaire: il ne s’agit plus seulement d’exposition. The Hacker News rapporte qu’Arctic Wolf Labs a relié des systèmes Alibaba Cloud hébergeant des interfaces AntiFox à des attaques contre des services web exposés et des environnements AWS . AntiFox est décrit comme une plateforme de test d’intrusion autonome pilotée par IA, et l’activité observée combine exploitation web, webshell, découverte de configuration, validation d’identifiants, énumération cloud, accès à des secrets et opérations de stockage .
La partie AWS est particulièrement préoccupante. Selon le rapport, les attaquants ont utilisé des identités AWS valides pour énumérer IAM, EC2, S3, Lambda, Secrets Manager, KMS, RDS, ECS, EKS, Redshift, Athena, Glue, Systems Manager, API Gateway, CloudWatch, CloudFormation, DynamoDB et Amazon Bedrock . La plupart des requêtes ont échoué avec AccessDenied, mais certaines ont réussi, notamment des appels GetSecretValue contre des secrets de production et des opérations sur des objets S3 .
Le piège serait de se rassurer parce que beaucoup de requêtes échouent. Dans le cloud, une seule requête réussie peut suffire si elle récupère le bon secret. AntiFox rappelle aussi que l’incident n’a pas besoin de venir d’une faille AWS: une identité valide, des politiques trop larges, une surveillance faible et des secrets mal compartimentés peuvent suffire.
GitHub Actions transformé en canal de collecte
La chaîne logicielle apporte un autre exemple. Aikido suit sous le nom wfx-loot une campagne dans laquelle un acteur a utilisé, à partir du 10 novembre, des identifiants GitHub volés pour pousser des workflows malveillants dans des dépôts . Selon les données actuelles d’Aikido, 4 837 comptes compromis ont ouvert des pull requests de sondage dans 61 764 dépôts, et au moins 1 835 dépôts ont exécuté le payload avec exfiltration d’identifiants .
Le payload vise les secrets GitHub Actions, les identifiants cloud, les jetons OIDC, les variables d’environnement, les fichiers de credentials, les jetons de fournisseurs IA et certaines données de runners auto-hébergés . Aikido indique aussi que l’attaquant revenait souvent en arrière en moins d’une minute et supprimait les runs et journaux de workflow, ce qui fait des numéros de run manquants un indice important .
Le risque n’est pas seulement le script malveillant. C’est la légitimité empruntée. Un compte compromis disposant d’un accès collaborateur ou organisation peut créer des commits et des pull requests qui paraissent ordinaires. Si la CI a accès à des rôles cloud de production, à des jetons de publication ou à des clés de services IA, elle devient un collecteur d’identifiants.
Qilin: l’industrialisation ransomware continue
Pendant que les agents IA accélèrent le début de la chaîne d’attaque, Qilin illustre l’industrialisation de la fin de chaîne. KrebsOnSecurity rapporte que Qilin est devenu le programme ransomware affilié le plus actif au monde, revendiquant au moins 365 organisations victimes sur les trois derniers mois .
Krebs décrit Qilin comme un programme ransomware-as-a-service qui attire les affiliés avec au moins 80 % des montants d’extorsion payés et pratique la double extorsion, en volant les données sensibles avant le chiffrement puis en menaçant de les publier . Le même article détaille aussi des erreurs d’opsec attribuées à son administrateur, montrant qu’un volume d’attaques élevé ne signifie pas forcément une infrastructure parfaitement disciplinée .
Pour les défenseurs, l’enjeu est la division du travail. Un acteur achète ou vole l’accès, un autre se déplace latéralement, un autre exfiltre, un autre chiffre, un autre négocie. Cette spécialisation rend l’écosystème résilient même lorsque certains opérateurs se trompent. Elle oblige aussi à dépasser la simple détection d’un binaire ransomware: identités, sauvegardes, accès distants, journaux SaaS et sorties de données sont dans le même périmètre de défense.
Ce que les équipes doivent changer maintenant
Le fil conducteur est l’identité. Silent Lynx a exploité des accès pour collecter de la correspondance gouvernementale à grande échelle . AntiFox est associé à des identités cloud valides et à des secrets de production . wfx-loot chasse les secrets exposés aux workflows CI . Qilin transforme les accès en pression d’extorsion distribuée .
Les mesures prioritaires sont donc concrètes. Les consoles d’agents et de frameworks de pentest doivent être recherchées, retirées d’Internet ou protégées par authentification forte, filtrage réseau et journalisation. Les workflows CI doivent limiter strictement l’accès aux secrets de production, imposer une revue des changements dans les fichiers de workflow et déclencher une rotation lorsqu’un run suspect a pu voir des secrets. Côté cloud, il faut alerter sur les GetSecretValue inhabituels, l’utilisation de plusieurs identités depuis une même adresse, l’énumération massive de services et les opérations S3 depuis une infrastructure inconnue .
La conclusion est simple: les attaquants n’ont plus besoin que chaque étape soit brillante si leurs outils peuvent tester beaucoup d’étapes très vite. L’avantage se déplace vers le tempo. Les défenseurs n’ont pas besoin de panique, mais ils ont besoin d’une visibilité capable de repérer l’activité rapide, authentifiée et anormale avant qu’elle ne devienne vol de données, extorsion ou simple job CI au comportement beaucoup trop utile à l’attaquant.
Commentaires
Sois le premier à commenter.