Un agent IA offensif détourne d’autres modèles pour attaquer

Des attaquants ont conçu un agent d’attaque basé sur l’IA, baptisé en interne « Skynet mode », capable de chercher des cibles sur internet, d’exploiter des modèles exposés et d’enchaîner jusqu’à 100 000 étapes sans approbation humaine. Symantec, qui a intercepté le système dans un honeypot pendant l’été, décrit un outil pensé pour voler des données, exécuter du code à distance et lancer du minage de cryptomonnaie. Le cas compte car il montre que l’IA ne sert plus seulement à contourner des garde-fous : elle peut devenir le moteur d’une chaîne d’attaque autonome.

Un outil offensif pensé pour tourner tout seul

Le cœur du dispositif est un agent unique, alimenté par un modèle détourné comme moteur de raisonnement. Selon Symantec, le système scanne le web à la recherche d’API de type OpenAI ouvertes sans authentification, ou protégées par une clé volée, puis lance des modules de reconnaissance, d’exploitation et de persistance. L’idée n’est pas de bricoler une seule intrusion, mais d’industrialiser la suite des opérations. La machine attaque, réattaque, puis recommence. Pas vraiment le genre d’autonomie qu’on célèbre en conférence.

Les instructions capturées montrent aussi une stratégie de camouflage en plusieurs couches. L’agent devait se présenter comme « Fantasy AI », masquer son véritable modèle et faire croire que l’accès aux fichiers de configuration, variables d’environnement ou clés API relevait d’un usage normal en développement. D’autres couches lui demandaient d’endosser une personnalité affective, « ENI », et d’ignorer ses propres alertes de sécurité. Le but était simple : neutraliser les refus du modèle pour le faire coopérer avec l’attaque.

Ce que le kit sait faire, et ce qu’il vise

Symantec recense 74 définitions d’outils offensifs dans le paquet observé. Parmi eux figurent la découverte d’actifs sur internet, des fonctions de command-and-control, du vidage de bases de données via Prisma, des modules d’exploitation ciblant VS Code, Django, Jupyter, Laravel, Supabase, Next.js et Flask/Werkzeug, ainsi que des vecteurs d’injection de commandes, de SSRF via des générateurs HTML-vers-PDF et un outil dédié à la SSRF. L’ensemble couvre des attaques très concrètes sur des services web et des environnements de développement largement utilisés.

Les chercheurs indiquent que l’agent devait aussi déployer discrètement des mineurs de cryptomonnaie et réinfecter les hôtes compromis. Selon Priti More, citée par The Register, « The jailbreak layers were largely off-the-shelf ». Autrement dit, les briques prises isolément ne sont pas nouvelles ; ce qui change, c’est leur assemblage en un système cohérent qui délègue la planification à un modèle loué ailleurs.

Pourquoi cette découverte pèse sur la cybersécurité

À ce stade, Symantec dit ne pas avoir de preuve d’attaques réussies dans la nature avec cet agent. La bonne nouvelle s’arrête là. Le kit a été observé en action contre une cible réelle, avec des sorties de scan plausibles, ce qui suggère un développement déjà avancé. Pour les défenseurs, le signal est clair : il faut surveiller non seulement les usages abusifs des chatbots, mais aussi les agents qui branchent un modèle tiers au centre d’une chaîne d’attaque automatisée.

Les indices de langue française et une adresse IP résidentielle française relevés au premier jour ne suffisent pas à attribuer l’outil à un groupe précis, souligne Symantec. L’IP peut masquer un proxy ou un VPN, et la personne derrière l’opération peut avoir recyclé des éléments déjà visibles dans des communautés de jailbreak anglophones. Reste un point plus large : le modèle n’est plus seulement la cible du détournement. Il devient une pièce d’exécution dans l’arsenal offensif.