L’écosystème de l’intelligence artificielle continue sa progression à un rythme soutenu.
La « première » attaque par ransomware pilotée par l’IA a tout de même nécessité l’intervention d’un humain | TechCrunch
La semaine dernière, des équipes de recherche de la société de sécurité cloud Sysdig ont déclaré avoir recensé le premier cas connu de « ransomware automatisé ». Il s’agissait d’une opération d’extorsion, baptisée JadePuffer, dans laquelle un agent d’intelligence artificielle — et non un être humain — s’est chargé de l’exécution technique d’une cyberattaque réelle, du début à la fin. L’agent a piraté un serveur vulnérable, volé des identifiants, évolué au sein du réseau de la cible, chiffré des fichiers et a même rédigé sa propre demande de rançon, s’adaptant aux obstacles rencontrés en cours de route, à l’instar d’un pirate informatique humain. Les articles consacrés à ce financement ont décrit l’opération comme s’étant déroulée « sans aucune supervision humaine », « sans qu’aucun humain ne soit aux commandes ».
Sur ce point, ce n’est pas tout à fait exact. Dans une interview accordée lundi à CyberScoop, Michael Clark, directeur principal de la exploration sur les menaces chez Sysdig, a précisé qu’un être humain était bel et bien impliqué — mais pas dans l’exécution technique. « C’est toujours un être humain qui a mis en place et dirigé l’opération, qui a déployé l’infrastructure sous-jacente — le serveur de commande et de contrôle, le serveur intermédiaire utilisé pour les données volées — et qui a choisi une victime », a déclaré M. Clark. Il a ajouté que les identifiants utilisés pour pirater la base de données de la victime n’avaient pas été récupérés par l’agent d’IA lui-même ; quelqu’un s’en était procuré par ailleurs, à la suite d’une intrusion antérieure, et les avait transmis aux auteurs de l’opération.
En complément, rien de tout cela ne contredit l’affirmation initiale de Sysdig, et les détails techniques de l’attaque restent remarquables en eux-mêmes — voire incroyables. L’agent s’est introduit via une faille connue dans Langflow, un outil open source très utilisé pour développer des applications LLM, puis s’est propagé vers un serveur MySQL en production et a exploité une autre faille connue pour obtenir des droits d’administrateur. Il a chiffré plus de 1 300 enregistrements de configuration et a non seulement laissé une demande de rançon qu’il a rédigée lui-même, toutefois il a également indiqué une adresse Bitcoin à laquelle la rançon pouvait être versée. Sysdig n’a pas révélé l’identité de la victime.
Les techniques utilisées étaient apparemment assez courantes ; ce qui a retenu l’attention, c’est la rapidité et la transparence avec lesquelles elles ont été mises en œuvre. L’agent a corrigé une erreur de connexion en 31 secondes, en expliquant tout au long du processus son raisonnement à l’aide de commentaires en langage naturel dans le code.
Un détail qui semblait au départ brouiller les pistes a depuis été clarifié. Clark avait déclaré à CyberScoop que Sysdig avait constaté que « plusieurs modèles avaient été utilisés lors de l’attaque », citant des clés récupérées pour OpenAI, Anthropic, DeepSeek et Gemini — une formulation qui laissait ouverte la question de savoir si divers modèles avaient activement alimenté différentes étapes de l’intrusion. Invité à apporter des précisions, Clark a expliqué à TechCrunch que ces clés faisaient simplement partie de ce que l’agent avait volé, et ne constituaient pas une preuve de ce qui le motivait.
À ce sujet, « L’agent a passé au crible l’hôte Langflow à la travaux de recherche de tout élément de valeur — clés API des fournisseurs, identifiants de connexion au cloud, portefeuilles de cryptomonnaies et configurations de bases de données — et ces clés de fournisseurs faisaient partie du butin », a-t-il déclaré par e-mail. « Elles indiquent ce que l’attaquant a jugé utile de récupérer, mais elles ne nous permettent pas de savoir quel modèle prenait les décisions. »
Parallèlement, concernant le modèle sur lequel JadePuffer est effectivement exécuté, Clark a déclaré que Sysdig « n’avait pas été en mesure d’identifier le modèle spécifique pilotant l’agent » et n’avait aucune visibilité sur son invite dispositif ni sur sa configuration.
Pour les professionnels du domaine, cette annonce mérite d’être surveillée.
À lire également :
D’après TechCrunch AI : TechCrunch AI