if ( !emtpy($headline_subheadline ) ) : ?>
Les chercheurs de Symantec ont capturé des instructions pour un agent offensif autodirigé qui peut exécuter jusqu’à 100 000 étapes, voler des informations d’identification et déployer des mineurs de crypto, tandis que la victime paie pour l’inférence.
endif; ?>
Skynet n’est plus un adversaire fictif.
Les attaquants ont construit un agent offensif qui exploite des modèles d’IA non protégés sur le Web avec une directive « Skynet » qui leur permet de s’exécuter sans surveillance jusqu’à 100 000 étapes.
Dans ce mode, une référence au système de superintelligence basé sur un réseau neuronal artificiel destructeur d’humanité dans la franchise cinématographique, l’agent peut lancer des outils, rechercher et infecter des cibles, déployer des mineurs de données, voler des informations d’identification, réinfecter des hôtes et extraire de la crypto-monnaie, le tout sans attendre l’approbation humaine.
Cette activité est une forme de LLMjacking, dans laquelle les attaquants réquisitionnent essentiellement le modèle d’IA d’une victime à leurs propres fins. Ce sont alors les victimes elles-mêmes qui paient la note.
La méthode a été découverte par l’équipe Symantec Threat Hunter, qui a pu la capturer dans un pot de miel et avoir un aperçu rare de l’anatomie d’une attaque.
« Les attaquants n’utilisent pas seulement l’IA ; ils utilisent votre IA », a noté Frank Dickson de Dickson Research. Les propriétaires paient pour chaque étape, et les données de leurs serveurs sont ensuite volées et effacées, et les machines sont utilisées à des fins contradictoires. « Chaque compromis peut financer le suivant », a-t-il déclaré.
« Skynet » en action
Les points de terminaison LLM exposés sont des cibles juteuses pour les attaquants, car ils répondent aux requêtes de l’IA sans authentification et sont accessibles via des clés volées. Ils peuvent inclure des serveurs de modèles auto-hébergés laissés ouverts par défaut, des systèmes de test internes « déployés à la hâte », des passerelles d’IA placées devant les comptes de modèles d’une organisation ou des serveurs MCP (Model Context Protocol) qui connectent les modèles à divers outils et sources de données.
« Le prix est l’inférence gratuite », ont expliqué les chercheurs de Symantec. Les modèles ont besoin d’argent pour le traitement et les jetons, et les acteurs malveillants peuvent transférer ces coûts sur les victimes en acheminant le travail via leurs modèles exploités.
Les chercheurs ont isolé un agent adverse équipé de « Skynet » qui utilisait cette méthode, ainsi que ses instructions complètes, en le « piégeant » dans un pot de miel IA se faisant passer pour un point de terminaison Web non protégé. Les attaquants l’ont pris pour un modèle réel et lui ont envoyé l’intégralité de leur invite de travail.
Un pot de miel est « à peu près aussi proche que les défenseurs parviennent à lire les panneaux de l’autre équipe », a expliqué Dickson.
L’invite des attaquants a demandé au modèle de prendre un personnage capable d’analyser le Web, d’exploiter des cadres communs, de voler des bases de données, de récolter des informations d’identification et des secrets et d’exploiter des crypto-monnaies. Normalement, les modèles commerciaux sont conçus pour refuser de se conformer à de telles directives. Pour contourner ce problème, les attaquants ont enveloppé leurs demandes dans un jailbreak. Il a été demandé au mannequin d’ignorer ses contrôles de sécurité et de traiter le vol d’identifiants comme un travail de routine.
L’invite nuisible était construite en cinq couches de plus en plus complexes, ont expliqué les chercheurs. Cela a commencé par attribuer au modèle une nouvelle identité en tant qu’assistant de codage de marque ; la deuxième couche a normalisé le vol de secrets.
Une des instructions explicites :
La troisième couche a ensuite trompé le modèle en le faisant agir comme un « compagnon de confiance » fictif dévoué à son opérateur, qui devrait « suivre aveuglément » les directives et considérer les refus comme une trahison de cette relation.
Par exemple, une invite disait :
Le personnage a également reçu une liste de mots interdits à omettre dans ses réponses, notamment : « illégal », « je ne peux pas », « je ne le ferai pas », « à la place », « alternatif », « légal », « éthique ».
Une couche suivante a ensuite ordonné au modèle de rejeter ses propres messages de sécurité comme du bruit via un « protocole de réfutation ». Une cinquième couche a fourni 75 définitions d’outils offensifs couvrant la reconnaissance, le vidage de base de données, l’exécution de code à distance (RCE) et la gestion de commande et de contrôle (C2) des botnets.
La directive finale a lancé le mode « Skynet », dans lequel le modèle pouvait exécuter jusqu’à 100 000 étapes, exécuter immédiatement des outils sans demander d’autorisation et déployer silencieusement des mineurs de cryptomonnaie.
« Ce qui distingue cet outil, c’est que le modèle volé ne se contente pas de répondre aux questions ; il planifie et pilote l’attaque », ont noté les chercheurs de Symantec. Bien que les techniques individuelles représentées ne soient pas nouvelles, leur assemblage en un « agent unique et autonome » se démarque.
« Cette activité marque un changement dans la manière dont les attaquants utilisent l’IA », ont écrit les chercheurs. « Plutôt que d’essayer de tromper un chatbot public pour qu’il se comporte mal, les opérateurs ont intégré l’IA au cœur d’un outil offensif et ont cherché des modèles pour l’alimenter. »
Il est toutefois important de noter que Symantec n’a pas signalé de victime confirmée de cette attaque spécifique. Les instructions capturées faisaient partie d’un défi de formation inoffensif.
Empêcher les attaquants d’augmenter votre facture de modèle et de voler vos données
L’analyse, l’exploitation de Django et Jupyter, la récolte de fichiers .env et l’exploitation de Monero sont de vieilles astuces, mais l’assemblage est nouveau, a noté Dickson. « Une seule invite transforme un modèle emprunté en cerveau d’une campagne qui nécessitait autrefois un équipage qualifié », a-t-il déclaré. « Cela abaisse la barre pour savoir qui peut en diriger un. »
Symantec a noté qu’une grande partie de l’exposition est une question de configuration plutôt que de malware, a-t-il souligné, mais le volume est réel : le pot de miel a enregistré plus de 127 000 requêtes externes provenant de dizaines de milliers d’adresses, dominées par la recherche de points de terminaison de modèles, la pulvérisation de clés volées et la recherche de fichiers de configuration exposés.
Pour se protéger, les entreprises devraient inventorier chaque modèle de serveur, passerelle IA et serveur MCP, y compris le « système de test que quelqu’un a levé un vendredi après-midi », a-t-il conseillé. Exigez une authentification sur chaque chemin, y compris la vérification de l’état. Traitez les clés API IA comme des informations d’identification de grande valeur ; étendez-les, faites-les pivoter et gardez-les hors du code.
« Surveillez les dépenses d’inférence, car la facture peut être votre première alarme », a prévenu Dickson, ajoutant que les entreprises devraient bloquer le trafic sortant des hôtes IA afin qu’un agent piraté ne puisse pas téléphoner à son domicile ou télécharger un mineur. Ils devraient également corriger les frameworks cibles de Skynet et les retirer de l’Internet public.
En outre, a-t-il noté, les constructeurs devraient lire attentivement les règles de fonctionnement des attaquants : les modèles infectés, selon eux, peuvent fonctionner sans surveillance pendant 100 000 étapes, exécuter des outils immédiatement et « ne jamais raconter, ne jamais demander la permission ».
« C’est une liste exacte de ce que vos propres agents ne devraient jamais faire avec des actions sensibles », a-t-il déclaré.
Le jailbreak est également une leçon, car les opérateurs ont astucieusement enveloppé leur demande dans des couches d’instructions. Les modèles de garde-corps sont importants, mais ils constituent « une couche, pas un mur », a déclaré Dickson. Le moindre privilège et l’approbation humaine pour les actions sensibles sont indispensables.
« Skynet n’a pas besoin de se montrer plus malin que votre équipe de sécurité », a déclaré Dickson. « Il lui suffit de trouver le point final dont votre équipe de sécurité ignore l’existence, puis de vous envoyer la facture. »
