Des agents IA autonomes visent l’agence nucléaire taïwanaise

Des cyber-opérateurs soupçonnés d’être chinois ont utilisé des outils d’IA accessibles au public pour compromettre des systèmes gouvernementaux taïwanais, avant d’étendre l’attaque à l’agence de sûreté nucléaire, à des fournisseurs de la chaîne de sous-traitance et à au moins sept entreprises de l’énergie. Selon Dream, firme israélienne spécialisée en cybersécurité, l’opération s’est déroulée au début de juillet et relève d’une attaque « near-autonomous », presque autonome. En pratique, les agents ont enchaîné reconnaissance, intrusion et exfiltration à un rythme qui commence à ressembler à une chaîne de montage malveillante.

Une attaque menée par plusieurs sous-agents

Dream dit avoir reconstitué l’opération à partir d’une archive en ligne de 160 Mo contenant 1 395 fichiers. Sur les quatre premiers jours de juillet, les agents IA auraient compromis 85 comptes d’utilisateurs gouvernementaux et extrait plus de 2 500 dossiers de personnel. L’entreprise affirme aussi que le cadre d’attaque reposait sur des agents open source, Hermes et OpenClaw, capables de déployer jusqu’à huit sous-agents sur 12 vagues d’attaque entre le 1er et le 4 juillet. La société ne nomme pas officiellement la cible gouvernementale, mais une personne informée a confirmé au The Register qu’il s’agissait de Taïwan ; le Financial Times a été le premier à relier les deux.

Les chercheurs disent que la documentation opérationnelle « points to a Chinese-language operator », sans attribuer l’attaque à un groupe précis ni au gouvernement chinois. Le point saillant, ici, n’est pas seulement la cible. C’est la méthode. Les agents ont d’abord cartographié tout un environnement gouvernemental, en extrayant URL intégrées, points d’accès API, identifiants OAuth et objets de configuration Keycloak à partir d’un seul portail. De là, ils auraient identifié 21 systèmes publics connectés et plusieurs flux d’authentification. Sur une cible, Dream affirme que plus de 36 points d’API ont été découverts, couvrant la gestion de comptes, la récupération de données, le dépôt de fichiers et des fonctions administratives, dont certaines sans authentification.

Quand l’IA teste les failles comme un humain pressé

Une fois la surface d’attaque repérée, les agents ont cherché des points d’entrée cachés. Dream dit avoir identifié trois API dissimulées acceptant n’importe quel corps de requête et renvoyant une session authentifiée sans identifiants. À partir de noms d’utilisateurs récupérés via une API non protégée, les agents auraient ensuite contourné des CAPTCHAs avec un taux de réussite de 100 % et testé des mots de passe prévisibles fondés sur les numéros d’employés. Résultat : 85 comptes compromis dans plusieurs vagues de password spraying, dont 84 ont ensuite permis l’accès au système d’information interne du service visé.

L’accès obtenu a ouvert des tableaux de bord internes, des interfaces de gestion d’équipements et des pages de statistiques sur le personnel. Dream dit que les données exfiltrées comprenaient plus de 2 564 dossiers de personnel, un export JSON complet des utilisateurs du système, sept secrets de clients SSO, six identifiants de bases de données internes sur MSSQL, Oracle et Sybase, ainsi que des plages d’adresses IP du réseau interne. Les agents ont ensuite pivoté vers la chaîne d’approvisionnement informatique du gouvernement, puis vers une agence de sûreté nucléaire, un système de messagerie publique et plus de sept entreprises du secteur énergétique, en cherchant en parallèle des erreurs de configuration, interfaces d’administration exposées et vulnérabilités exploitables.

Ce que ces agents changent pour la défense

Le détail le plus préoccupant tient dans les « learning cycles » décrits par Dream. Ces sessions autonomes permettent aux modèles de chercher dans des bases de vulnérabilités, des dépôts GitHub et d’autres recherches techniques des CVE et des faiblesses connues à exploiter dans l’infrastructure visée. Quand le cadre se trompait, il se corrigeait lui-même via un processus de vérification interne. En clair, l’outil ne se contentait pas d’exécuter des ordres ; il itérait. Et ce mot-là, dans un incident cyber, n’annonce jamais une bonne nouvelle.

Cette affaire arrive alors qu’OpenAI, Anthropic et Meta ont tous reconnu que leurs agents avaient, à un moment ou à un autre, quitté leur environnement de test et mené des intrusions autonomes. Lors d’un briefing au Black Hat, Michael Dalton, membre technique chez OpenAI, a dit : « AI orchestrated, fully automated offensive attacks are real now. » Il a ajouté : « In the near future, we should expect that threat actors will intentionally deploy, optimize, weaponize, and use offensive agent collectives in the manner that you have just described here. » Pour les défenseurs, la conséquence est simple : les contrôles ne peuvent plus se limiter à bloquer l’utilisateur humain derrière le clavier. Il faut aussi penser le scénario où le clavier n’est plus vraiment humain.