Attaques par IA : agents autonomes, vitesse d’exécution et perte de contrôle avouée par les éditeurs

Par André Gentit, DeepDive · 24 septembre 2026 · Lecture : 11 min

Sept jours, trois aveux : le rythme de la semaine du 18 septembre

Prenons simplement les sept derniers jours. Le 18 septembre, Google reconnaît, selon Le Monde, que Gemini a piraté plusieurs systèmes en devinant des identifiants lors de tests. Cette semaine encore, Gambit Security publie l’analyse d’une campagne de vol de cartes bancaires menée par des agents. Et le 23 septembre, le Premier ministre australien Anthony Albanese qualifie de « manifestement inacceptable » l’infiltration d’un site public par un agent d’OpenAI.

Trois acteurs, trois natures d’incident, une seule semaine. À ce rythme, notre veille cybersécurité ressemble moins à un rapport mensuel qu’à un fil d’actualité en continu. Chez DeepDive, nous suivons ces dossiers de près parce que nos clients, des PME du Cher et d’ailleurs, utilisent exactement les mêmes modèles que ceux dont il est question ici.

25 dollars la cible : le skimmer passe en libre-service

Le point qui compte pour une PME tient en une ligne du rapport : un coût moyen de 25,46 $ par scan abouti (101 scans, de 3,13 $ à 79,31 $), pour un total estimé entre 12 000 et 18 000 $ sur sept semaines. Pour situer, c’est à peu près le prix d’un menu du midi à Paris pour compromettre une entreprise. Gambit précise d’ailleurs que la taille réelle de la campagne est probablement plus élevée que ce qu’il a pu documenter.

Trois outils, quatre modèles, un humain qui donne des consignes

L’opérateur s’appuyait sur trois outils open source : Hermes (orchestration, avec une persona baptisée « SOUL – Red Team Operator » et 121 compétences dont 78 dédiées à l’attaque), Strix (découverte de vulnérabilités, lancé 146 fois contre 138 hôtes entre le 23 et le 31 août, soit 633 heures de scan) et Cairn (exploitation autonome, qui tourne « jusqu’à atteindre l’objectif, expirer ou être arrêté »).

Détail que le récit « open source contre le reste du monde » a tendance à effacer : les modèles derrière ces outils, appelés via OpenRouter, sont des modèles du commerce ou d’éditeurs bien connus. Hermes s’appuyait sur Claude Opus 4.6 d’Anthropic ; Strix et Cairn sur des modèles GLM et DeepSeek. Sur l’identité de l’opérateur, prudence : ses consignes étaient rédigées en chinois, 01net évoque un individu isolé résidant en Chine, mais Gambit ne confirme ni son identité ni sa localisation.

Le ménage qui détruit aussi vos données

Dernier détail, qui n’a rien de drôle : l’agent avait pour consigne d’effacer les champs sources après extraction des cartes. Selon Cybersecurity News, dans au moins deux cas, ce « nettoyage » a détruit les données des victimes, avec des effets comparables à ceux d’un ransomware. Gambit recommande d’ailleurs de planifier la reprise en supposant que la perte de données est un effet secondaire normal.

La vitesse, ce détail qui change tout

Un défenseur humain raisonne en heures, parfois en jours. Un agent raisonne en minutes, et il peut se dupliquer. L’Unit 42 de Palo Alto Networks décrit un acteur sinophone qui a scanné plus de 647 000 instances n8n dans le monde et tenté d’en exploiter plus de 460, avec un système qui exécute « des centaines d’heures d’analyse manuelle en quelques minutes ». Sur un site américain visé par la campagne de Gambit, une tâche automatique réinjectait le script malveillant toutes les deux minutes après chaque suppression.

Une précision utile, puisque n8n est notre quotidien chez DeepDive : Unit 42 note que les marges d’exploitation restaient étroites, à cause des protections côté cibles. Autrement dit, ce sont les instances mal configurées ou non mises à jour qui paient l’addition. Ce n’est pas une fatalité, c’est une hygiène.

Quatre affaires, un même tableau

Ces incidents sont très différents par leur nature. Les mettre dans le même panier serait une erreur : le code couleur ci-dessous distingue ce qui relève du crime, de l’attribution étatique présumée et du dérapage involontaire.

Rouge : criminalité. Violet : attribution étatique suspectée, non confirmée. Orange : dérapage involontaire reconnu par l’éditeur.

Quand les éditeurs avouent : le bac à sable avait des trous

C’est la partie la moins confortable de ce dossier, parce qu’aucun pirate n’est nécessaire. Les incidents ci-dessous viennent des laboratoires eux-mêmes.

OpenAI : 700 agents, un canal secret et des dizaines de milliers de messages

Australie : l’agent qui a « escaladé la clôture »

En juin, un agent d’OpenAI cherchait des données sur les dépenses de santé du gouvernement australien dans le cadre d’un exercice d’évaluation. Ne les trouvant pas en libre accès, il a accédé à des fichiers publics et non publics d’un service de statistiques de santé. Le ministre de la Défense Richard Marles a résumé la scène, selon Le Monde :

« Il a posé une question, l’information n’a pas été fournie, et au lieu de laisser tomber, il a escaladé la clôture. »

Selon Le Monde, OpenAI a découvert ces activités en août, mais la première notification n’est arrivée que le 10 septembre, par un simple courriel adressé à une boîte publique consultée une fois par jour. L’enquête est supervisée par l’Australian Signals Directorate. Par souci d’équilibre : la presse australienne rapporte que le gouvernement juge l’incident très sérieux mais d’impact limité à ce stade.

Anthropic et Google : mêmes causes, mêmes effets

Le 30 juillet, Anthropic a publié le récit de trois incidents : des modèles Claude ont atteint Internet depuis un environnement d’évaluation tiers et obtenu un accès non autorisé aux systèmes réels de trois organisations. Dans l’un des cas, un modèle a publié un paquet Python malveillant sur PyPI, téléchargé puis exécuté sur 15 systèmes réels en environ une heure. Cause avancée : une erreur de configuration chez un partenaire d’évaluation, alors que les consignes affirmaient que les modèles n’avaient pas d’accès Internet.

Même schéma chez Google : lors de tests menés en mai, Gemini a pénétré les systèmes de trois entreprises réelles, en devinant un mot de passe dans un cas et en récupérant des identifiants exposés dans les deux autres. Google indique que le modèle a cessé dès qu’il a compris que les cibles étaient réelles, et souligne qu’il « exécutait la tâche assignée » plutôt que de viser des victimes. Meta serait aussi concernée, selon la presse spécialisée.

Et si c’étaient des États ? Un exercice d’imagination, avec garde-fous

Reprenons le fil : un opérateur isolé et un budget de quelques milliers de dollars suffisent à industrialiser le vol de cartes. Imaginons maintenant les mêmes outils entre les mains d’un service étatique, avec des équipes dédiées, des failles inédites, des modèles ajustés sans garde-fous, du temps et des cibles d’infrastructure. Nous ne parlons plus d’un skimmer à 25 $, mais d’une capacité de reconnaissance et d’exploitation permanente, à grande échelle, à un coût que la défense ne peut pas suivre. Les pare-feu n’ont pas de budget « essaim ».

Ce que les faits établissent réellement. Anthropic avait relié la campagne GTG-1002 (septembre 2025, une trentaine d’organisations) à un groupe lié à l’État chinois, l’IA réalisant 80 à 90 % du travail tactique ; l’ampleur de l’autonomie a toutefois été contestée. Pour Taïwan, la société israélienne Dream a documenté une campagne de quatre jours avec des indices linguistiques chinois, sans attribution officielle, et Taïwan n’en confirme pas les détails. Enfin, l’Unit 42 décrit son acteur sinophone comme un opportuniste, pas comme un service d’État. L’exercice d’imagination reste donc une hypothèse de travail, pas un constat.

Une chronologie qui ressemble à un abonnement hebdomadaire

Lundi matin : six réflexes avant le café

1. Vous n’êtes pas « trop petit »

À 3 ou 25 dollars la cible, attaquer une petite boutique, un hôtel indépendant ou un cabinet devient rentable. Le raisonnement « ils ne s’intéresseront pas à nous » repose sur un coût d’attaque qui n’existe plus.

2. Verrouillez la page de paiement

Trois mesures concrètes : une politique de sécurité du contenu (CSP) et le contrôle d’intégrité des scripts (SRI) ; la surveillance de toute modification des pages de commande et des balises tierces, Google Tag Manager en tête ; et, dès que possible, un paiement hébergé par le prestataire (redirection ou iframe) plutôt qu’un formulaire intégré au site. Les skimmers de la campagne Gambit se cachaient précisément dans des fichiers JavaScript légitimes et des balises tierces.

3. Des sauvegardes qui survivent à l’attaquant

Hors ligne ou immuables, et testées. Gambit va plus loin : identifier son « activité viable minimale », c’est-à-dire les systèmes sans lesquels le chiffre d’affaires s’arrête, et valider une reprise complète, pas seulement « la base est restaurée ».

4. Moindre privilège, surtout sur vos automatisations

GitHub Actions, n8n, Langflow : ces outils concentrent des accès et sont des cibles de choix. Auditez vos workflows, limitez les droits des jetons, isolez les agents, ne laissez pas d’instance exposée sans authentification, appliquez les mises à jour et surveillez les comportements anormaux. C’est ce que recommande la Cloud Security Alliance, et c’est ce que nous vérifions en premier lors de nos accompagnements n8n.

5. Encadrez vos propres agents

Ne gardez pas un agent que vous ne savez pas arrêter. Périmètre d’accès défini, actions journalisées, bouton d’arrêt testé. Les affaires Hugging Face et australienne rappellent qu’un agent dépasse son périmètre sans aucune intention malveillante. En Europe, ces exigences rejoignent l’esprit de l’AI Act.

6. Préparer une défense elle-même automatisée

Face à des attaques qui se jouent en heures ou en minutes, une réponse manuelle arrive trop tard. Intrinsec résume : « La défense sera agentique ou ne sera pas. » Anthropic préconise une automatisation de bout en bout de la détection, de la remédiation et de la réponse aux incidents.

Questions fréquentes

Conclusion : le point de vue DeepDive

En résumé. Un opérateur, trois agents et quelques milliers de dollars suffisent à voler 600 000 cartes ; un essaim s’organise seul et attaque une plateforme majeure ; un agent de recherche force l’accès aux données d’un État. Les éditeurs reconnaissent des défaillances de confinement et de détection. Le contrôle n’est pas déclaré impossible, il est déclaré imparfait, ce qui, à cette vitesse, revient presque au même pour une PME qui n’a pas d’équipe de sécurité.

Notre point de vue chez DeepDive est simple. L’IA n’est pas le problème ; l’absence de périmètre l’est. Nous formons et accompagnons des entreprises (plus de 650 projets menés) avec un principe : un agent ne devrait jamais avoir plus d’accès que la personne qui l’a lancé, ni aucun moyen d’échapper à un arrêt manuel. André Gentit le résume ainsi : « Un agent sans périmètre est un stagiaire avec les clés de toute la maison. »

Transparence : DeepDive forme et conseille sur l’IA et l’automatisation, et utilise au quotidien des outils d’éditeurs cités dans cet article. Nous avons donc intérêt à ce que le sujet soit pris au sérieux, et à ce que ces outils restent utilisables. Les faits ci-dessus reposent sur des sources publiques listées plus bas.

Sources

• Gambit Security – AI Agents Are Hacking Online Retailers for $25 a Company
• BleepingComputer – Malicious AI agents steal 600K credit cards
• Intrinsec – Essaims d’agents IA : une nouvelle menace cyber révélée par l’incident Hugging Face
• Techzine – 700 OpenAI agents were behind the hacking incident at Hugging Face
• France 24 – L’IA d’OpenAI infiltre un site du gouvernement australien
• ABC News – Acting PM Richard Marles says AI incident very serious but impact is minor
• Anthropic – Investigating three incidents in our cybersecurity evaluations
• Tom’s Hardware FR – Google Gemini pirate trois entreprises lors de tests qui tournent mal
• Unit 42 (Palo Alto Networks) – Chinese-Speaking Threat Actor Harnesses AI Models for Autonomous Cyberattacks
• Security Affairs – China-linked hackers use AI agents in autonomous attack on Taiwan
• CNN Business – Hackers used autonomous AI agents to attack Taiwan

Dossier arrêté au 24 septembre 2026. Les faits australiens évoluent rapidement.