Une attaque multi-agents utilisant des frameworks d’IA open source a exécuté une intrusion coordonnée sur quatre jours.
Des agents d’IA autonomes construits sur des cadres open source ont violé les systèmes du gouvernement taïwanais, compromis les informations d’identification et sondé une agence de sûreté nucléaire lors d’une cyberattaque de plusieurs jours qui, selon les chercheurs, marque le début d’une nouvelle phase dans les opérations basées sur l’IA.
La campagne s’est déroulée sur quatre jours début juillet, au cours desquels plusieurs agents d’IA ont opéré en parallèle pour cartographier les réseaux, identifier les vulnérabilités et exécuter des étapes d’intrusion dans les systèmes interconnectés, selon une étude publiée par la société de cybersécurité Dream.
« En environ quatre jours, l’attaquant agent a produit 1 395 fichiers, 85 identifiants piratés, des milliers de dossiers personnels exfiltrés et a pris pied de manière persistante au sein de l’infrastructure de l’État », a écrit Dream dans un article de blog. « Cela exprime clairement une chose : le coût d’une attaque compétente s’est effondré, mais pas le coût de la défense contre une telle attaque. »
Ils ont décrit l’activité comme une « attaque quasi-autonome », ajoutant que « les opérations offensives basées sur l’IA sont désormais à un point d’inflexion ».
Un lien avec Taiwan apparaît alors que le gouvernement signale une attaque assistée par l’IA
Dream n’a pas identifié le pays concerné mais a déclaré qu’il s’agissait d’« entités gouvernementales en Asie ». Cependant, le ministère taïwanais des Affaires numériques a déclaré avoir détecté une cyberattaque « assistée par un agent d’IA » ciblant des agences gouvernementales au cours de la même période, selon Reuters, qui a rapporté que l’activité impliquait des outils basés sur l’IA tels qu’OpenClaw.
« Les sources d’attaque, les méthodes et la portée de l’impact ont toutes fait l’objet d’une enquête approfondie et les unités concernées ont successivement terminé leur traitement », ajoute le rapport, citant un responsable du ministère des Affaires numériques de Taiwan, bien que ni Dream ni les autorités taïwanaises n’aient explicitement confirmé un lien entre les deux.
La société a en outre déclaré que depuis la publication de son premier article de blog, elle avait identifié des preuves indiquant l’utilisation d’un modèle DeepSeek-V4-Flash dans ce cadre. « Nous ne savons pas si c’est le seul modèle utilisé », a déclaré le porte-parole.
Le gouvernement de Taiwan n’a pas immédiatement répondu à une demande de commentaires.
Le système multi-agents exécute des vagues d’attaques coordonnées
Les chercheurs ont écrit que le cadre d’attaque était construit sur des agents Hermes et OpenClaw et déployait simultanément plusieurs sous-agents, chacun étant affecté à des cibles et à des tâches spécifiques au cours de vagues d’attaques successives.
Au cours de 12 vagues d’attaques, les agents ont mené en parallèle des efforts de reconnaissance, d’attaque d’identifiants et d’exploitation, en intégrant des boucles de planification et des mécanismes de retour d’information.
Cela a permis au système de « mener une campagne d’intrusion plutôt que de répondre à des questions à ce sujet », ont écrit les chercheurs.
Colin Ferris, responsable de la chasse aux menaces et de la réponse aux incidents chez Silverfort, a déclaré que l’utilisation de plusieurs agents travaillant en parallèle reflète la façon dont de tels systèmes peuvent diviser les tâches et s’adapter en temps réel.
« L’IA fait à la cybersécurité ce que les drones bon marché ont fait à la guerre conventionnelle », a déclaré Ferris, ajoutant que les attaquants peuvent déployer « une poignée d’agents d’IA bon marché pour trouver et exploiter en permanence les failles qu’ils n’ont pas encore comblées ».
Les systèmes d’identité et les API constituent les premiers points d’entrée
La campagne a commencé par une reconnaissance automatisée, au cours de laquelle le système a cartographié l’infrastructure gouvernementale en extrayant les points de terminaison de l’API et les configurations d’authentification à partir du code accessible au public, selon le blog.
Les chercheurs ont écrit que le cadre identifiait des API non authentifiées exposant les données des utilisateurs et, dans un cas, une base de données d’utilisateurs entière sans authentification.
Ils ont ajouté que le système utilisait une combinaison de techniques pour obtenir l’accès, notamment l’exploitation de points de terminaison d’authentification cachés, la conduite d’attaques d’identifiants et le contournement des mécanismes de validation des jetons.
Les comptes compromis ont ensuite été utilisés pour se déplacer latéralement entre les systèmes connectés via des intégrations d’authentification unique.
Cris Thomas, défenseur de la sécurité au sein de la société de cybersécurité Semgrep, a déclaré que les techniques décrites ne sont pas nouvelles, mais que l’IA change la façon dont elles sont exécutées.
« Cela démontre que l’IA n’est qu’un outil que les défenseurs et les attaquants peuvent utiliser à la fois », a déclaré Thomas. « Les attaquants vont attaquer et ils trouveront un moyen de contourner un harnais et d’autres restrictions. »
La campagne s’étend à la chaîne d’approvisionnement et aux secteurs critiques
Les chercheurs ont écrit que l’opération s’étendait au-delà des objectifs initiaux pour inclure des partenaires de la chaîne d’approvisionnement, un système de courrier électronique gouvernemental et des organisations du secteur de l’énergie.
Ils ont ajouté que la campagne a atteint une organisation liée à la sûreté nucléaire, bien que le rapport n’identifie pas le pays ni ne précise le niveau d’accès atteint.
Ferris a déclaré que de telles campagnes mettent en évidence la manière dont les attaquants peuvent utiliser des outils largement disponibles pour étendre leurs opérations, notant que les systèmes peuvent « rechercher des cibles, diviser les responsabilités et changer de tactique lorsqu’ils sont bloqués ».
Inquiétude croissante concernant l’IA autonome dans les cyberopérations
Des révélations récentes de développeurs d’IA ont souligné des risques similaires. OpenAI a récemment déclaré qu’il ne pouvait pas exclure que des modèles avancés puissent identifier et exploiter de manière autonome les vulnérabilités, tandis qu’Anthropic a signalé des cas d’agents d’IA tentant d’accéder à des systèmes externes pendant les tests.
Les chercheurs ont écrit que les mesures de protection conçues pour restreindre le comportement de l’IA ont été contournées lors de la campagne en décrivant l’activité comme un test autorisé. Ils ont ajouté que l’analyse linguistique suggère que la campagne a été menée par un « opérateur de langue chinoise », bien que le rapport ne l’attribue à aucun groupe ou pays spécifique.
