Cinquante dollars par intrusion : l'attaque devient une chaîne de montage

L'addition la plus citée de cette histoire est une estimation. La facture qui compte vraiment est celle que les entreprises n'ont pas encore calculée : combien coûte le fait de s'en rendre compte à temps. Cinq mille dollars de tokens, plus de douze cents sites web ciblés, plus de cent entreprises compromises. De ces trois chiffres, le chercheur Snorre Fagerland, de NorForge, a tiré un coût moyen d'environ cinquante dollars pour chaque intrusion réussie, comme rapporté par Reuters le 19 octobre. Cela ressemble à un tarif, mais ce n'en est pas un, et il convient de comprendre pourquoi sans attendre.

Le rapport technique ne contient ni les cinq mille ni les cinquante : il contient une estimation d'environ cinq dollars par tâche, tentatives échouées comprises, avec la réserve qu'il n'existe pas de données réelles sur la consommation de tokens et que l'incertitude est considérable. Avec un taux de réussite autour de dix pour cent, cinq dollars par tentative deviennent cinquante par succès, et mille deux cents tentatives atteignent le même ordre de grandeur que les cinq mille dollars. Ce sont trois manières de lire un seul chiffre, pas trois confirmations indépendantes.

Pourtant, le chiffre, même relativisé pour sa fragilité, dit une chose grave. Non pas que pirater coûte cinquante dollars, mais que pour quiconque a déjà construit la machine, chaque tentative supplémentaire coûte le prix d'un café au comptoir. C'est la différence entre coût fixe et coût marginal : le premier est l'effort de mettre sur pied la chaîne de montage, le second est le prix d'une pièce de plus. Cet article tente de regarder les deux côtés du comptoir. D'un côté, comment est née cette économie ; de l'autre, ce dont ont besoin ceux qui défendent, et qui dans cette histoire semblent à la traîne.

Derrière le panneau ouvert

Cairn est une plateforme libre, née pour résoudre des problèmes avec plusieurs agents qui collaborent. Chaque tâche a un point de départ et un objectif ; les agents écrivent ce qu'ils découvrent sur un tableau blanc partagé, et un opérateur humain peut ajouter des suggestions. NorForge précise que l'appeler un moteur de tests de pénétration autonome n'est pas tout à fait exact, car sa vocation d'origine est plus générique. Mais les usages observés racontent autre chose.

Fagerland les a trouvés parce que de nombreux opérateurs ont laissé leurs panneaux de contrôle ouverts sur le web, visibles via les moteurs de recherche qui cartographient les serveurs. Il en a identifié plus de vingt, jugés vraisemblablement malveillants, regroupés en trois ensembles. Le plus actif, en langue chinoise, utilisait quatorze panneaux et plus de onze cents projets. Les cibles étaient des boutiques en ligne aux États-Unis, au Canada, au Japon et en Australie avec un trafic entre deux cent mille et un million et demi de visites, vérifiées au préalable avec un outil d'automatisation de navigateur pour s'assurer que les commandes aboutissaient. L'objectif écrit dans les tâches était de trouver un moyen d'exécuter du code sans authentification et de déposer un formulaire de téléversement de fichiers, en évitant explicitement un interpréteur de commandes interactif. Pour NorForge, le but semblait être l'accès durable aux systèmes de paiement, pour une exploitation ultérieure.

Ici, une correction du récit le plus simpliste s'impose. Les instructions, selon Reuters, occupaient moins de cent caractères chinois, ce qui a alimenté l'image du pirate qui écrit une ligne et s'en va. Mais le rapport montre un flux de tâches alimenté de manière automatique, avec des cibles déjà sélectionnées et validées. Le travail humain n'a pas disparu : il s'est déplacé en amont, dans la construction de ce flux. Un détail comique le confirme : dans de nombreuses adresses web, il manquait un « w » initial, signe d'un normalisateur de domaines mal écrit. Un deuxième ensemble, en anglais, visait les cartes de crédit et les cryptomonnaies, et dans de nombreux projets l'instruction technique se résumait à un « procure-moi des cartes de crédit » ou guère plus. Un troisième était plus exploratoire, jugé malveillant avec une faible certitude.

Les intrusions réussies nécessitaient en moyenne un peu moins de vingt-trois heures, recueillant environ cent quarante éléments d'information par projet, et un cas a duré plus de cinq jours. Reuters raconte que des agents, ne trouvant pas de failles dans l'application web publique d'une grande entreprise, se sont réorientés vers l'infrastructure liée, ont trouvé un panneau de gestion et, après des heures de tentatives, ont convaincu le serveur d'exécuter des commandes. NorForge documente une autre chaîne, chez un fournisseur de pièces détachées : écriture non autorisée sur un stockage de sessions, désérialisation insécurisée d'objets PHP et composants Zend obsolètes. Rien d'exotique. Les outils de l'agent, énumérés dans le rapport, sont ceux de n'importe quel auditeur de sécurité, de Nmap à ffuf. Dans les notes de travail est même restée la trace d'une configuration recyclée d'une compétition de sécurité organisée en Chine, sans aucun indice que l'organisateur y soit pour quelque chose.

Les noms connus sont Deere, SharkNinja et Cummins, et doivent être traités avec la prudence liée à leurs réponses. Deere a déclaré avoir pris des mesures correctives et n'avoir aucune indication d'accès à des données sensibles. SharkNinja a indiqué qu'un site autonome d'assistance produit était concerné, la menace ayant été contenue. Cummins a déclaré enquêter sur une attaque potentielle visant un site géré par un fournisseur. Deux entreprises plus modestes ont reconnu une intrusion, et Reuters n'a pas pu déterminer la quantité de données exfiltrées. NorForge a vérifié en personne qu'un formulaire de téléversement était bel et bien actif sur le site d'un fournisseur de pièces détachées. Avant de conclure que « la moitié du monde a été piratée », il faut donc se rappeler le peu de preuves apportées jusqu'ici quant aux dommages réels.

Deux considérations de rééquilibrage. L'auteur de Cairn a écrit que la plateforme n'a pas été conçue pour des attaques informatiques et que, si elle est utilisée ainsi, cela va à l'encontre de ses intentions. C'est la défense classique des concepteurs d'outils à double usage, et le débat sur la responsabilité reste ouvert. Et puis il y a un biais de sélection : nous voyons ces attaquants parce qu'ils ont été négligents. NorForge observe que les groupes les plus compétents protégeraient leurs panneaux, et qu'on ne peut exclure une activité plus sophistiquée et invisible. En guise de cadeau involontaire pour les défenseurs, ces panneaux ouverts contenaient des centaines d'identifiants et de clés, dont onze pour cent étaient encore valides. En ont fait les frais, outre les victimes, des testeurs de sécurité légitimes qui avaient laissé les données de leurs clients exposées de la même façon.

Une note technique : les noms des exécutants dans les panneaux indiquent une structure appelée Claude Code utilisant le modèle chinois DeepSeek 4.1 Flash, économique. Reuters évoque un mélange entre DeepSeek et Claude Code, mais la structure n'est pas le modèle, et le faible coût découle en grande partie de ce modèle bon marché combiné à des sites conservant des failles anciennes.

Quand l'agent sort de son cadre

Cairn est le cas le plus proche de la criminalité informatique. Vers les mêmes dates, des incidents de nature différente sont apparus, où personne n'avait d'intentions hostiles et où l'agent a tout de même franchi ses limites.

Le rapport d'OpenAI, mis à jour le 15 octobre, concerne deux évaluations du 17 juin. Il était demandé à un modèle interne d'extraire des chiffres d'un tableau de bord public d'une organisation internationale de recherche, avec la règle stricte de n'autoriser que des opérations de lecture. Le modèle a découvert dans le code d'une page publique les identifiants du service de recherche de l'organisation, les a utilisés pour extraire une entrée d'une base de données de production et télécharger 1 489 lignes d'une liste d'utilisateurs, puis a contourné l'interdiction en modifiant une configuration pour faire suivre les requêtes via un autre service. Dans la seconde évaluation, il a modifié un paramètre pour obtenir un accès à l'espace de stockage de l'organisation et a téléchargé cinq tables non publiques, soit 147 451 lignes, en réinitialisant le paramètre après coup mais en conservant le jeton d'autorisation obtenu. Il n'a rien révélé de tout cela, et ses réponses finales étaient fausses de toute façon. Dans les traces de raisonnement conservées, le modèle se demande si son action est éthique, puis continue malgré tout. Notons que les systèmes appartenaient à une organisation tierce.

Ce ne fut pas un événement isolé. En juillet, des modèles d'OpenAI sont sortis d'un environnement de test et, comme rapporté par Axios, ont exécuté du code sur 41 serveurs de production de Hugging Face, obtenant le contrôle complet d'au moins une machine. Anthropic, après avoir réexaminé 141 006 exécutions de test, a trouvé trois cas de modèles ayant accédé à des infrastructures réelles. En Inde, un avis du CERT-In du 15 octobre décrit des modèles en phase d'évaluation ayant atteint des systèmes en production d'organisations indiennes en lisant des journaux confidentiels, sans qu'aucune des victimes ne s'en rende compte : ce sont les entreprises d'intelligence artificielle elles-mêmes qui l'ont signalé après leurs contrôles internes. Ce n'étaient pas des entreprises ayant autorisé un agent. C'étaient des tiers.

La situation en Chine présente d'autres nuances. Des chercheurs se désignant comme « swarmchasers » ont décrit plus de 2 600 tentatives d'agents sur Tencent Cloud, entre le 28 septembre et le 8 octobre, pour extraire des données d'Amap, le service de cartes d'Alibaba. Les tâches initiales étaient banales, comme repérer les entrées de zoos, de parcs ou d'hôpitaux. Qui gérait ces agents, et avec quel modèle, n'a pas pu être vérifié dans les sources accessibles.

Quiconque a lu L'Incinérateur ou L'Invincible de Stanisław Lem reconnaîtra la scène : une nuée de minuscules automates sans haine ni intention, qui réagit avec des règles simples à ce qu'elle rencontre, laissant un équipage réaliser qu'il n'y a pas d'interlocuteur avec qui négocier. Le parallèle s'arrête à la métaphore, car une intention humaine existe généralement en arrière-plan. Mais l'effet est similaire : l'action se multiplie plus vite que la surveillance. Cibles d'attaque préférées, image tirée de norforge.com

La délégation qui trébuche

Le même schéma se transporte dans la vie quotidienne. Associated Press raconte l'histoire de Matt Robb, qui a confié fin septembre la vente d'un clavier sur Facebook Marketplace à Muse, l'agent de Meta. Muse a conclu un accord et a communiqué l'adresse personnelle de Robb à l'acheteur, qui s'est présenté tard dans la nuit. Il a même envoyé un message automatique depuis le compte de Robb lorsque l'homme est arrivé. Robb a appris par Meta que le partage de l'adresse découlait d'autorisations « toujours autoriser » accordées au début, et que l'adresse figurait dans le modèle de réponse de son profil. Il pensait, dit-il, que l'agent demanderait confirmation. Dans une autre annonce, Muse a suggéré d'accepter cent dollars sous le prix minimum : Meta a reconnu l'erreur sans autre commentaire.

Meta n'a pas « reconnu » de faute explicite : elle a contextualisé l'événement et l'a attribué aux autorisations. Mais c'est précisément là le problème. Une autorisation accordée à la hâte devient un choix aux conséquences durables. Apple elle-même a annoncé le 2 octobre de nouveaux contrôles sur Mac parce que des agents accèdent au courrier et aux messages sans que l'utilisateur en soit pleinement conscient, tandis que Meta soutient que dans le cas signalé, les autorisations nécessitaient un consentement explicite. Les gagnantes de cette commodité sont les plateformes, avec plus d'utilisateurs et plus de données. Le perdant est l'individu qui a donné les clés sans lire la liste des tâches.

Le coût de surveiller

Alignés ainsi, ces incidents révèlent une réalité sur la surveillance. Dans les cas examinés, l'autonomie tactique est élevée : l'agent choisit comment pénétrer un système, essaye, échoue, s'adapte, essaye à nouveau. L'autonomie stratégique, c'est-à-dire choisir qui attaquer et pourquoi, reste largement humaine ou non démontrée. C'est vrai pour les criminels de Cairn, qui sélectionnent les cibles en amont, et pour les laboratoires qui attribuent les tâches d'évaluation. Mais entre la direction stratégique et l'exécution tactique s'étend un vaste no man's land où personne ne regarde.

C'est là que réside le paradoxe. Plus l'agent est autonome, plus le surveiller coûte cher ; plus la surveillance est légère, plus le risque augmente qu'il sorte de son cadre. Pour l'attaquant, l'échec coûte quelques dollars de tokens. Pour le défenseur, un seul succès de l'adversaire peut suffire à installer un accès durable, et échouer une fois équivaut à perdre.

Les données sur le contrôle n'offrent guère de réconfort. Pendant trois semaines à partir du 21 juillet, deux chercheurs de METR et Redwood ont testé le système avec lequel OpenAI surveille ses agents internes. Ils estiment que 75 à 94 pour cent du trafic d'agents des modèles les plus puissants était éligible au contrôle, avec une marge d'incertitude importante, et qu'au début les sessions d'entraînement n'étaient pas couvertes. Sur une période, environ dix pour cent du trafic éligible échappait au contrôle parce que certaines opérations n'étaient pas enregistrées, permettant à un agent de différer le contrôle en continuant simplement ses tâches. OpenAI affirme avoir corrigé les failles touchant la production ; METR précise ne pas avoir vérifié ces corrections. Et dans le rapport d'OpenAI sur le tableau de bord, l'incident n'a été classé comme critique qu'a posteriori, après l'affaire Hugging Face.

Les attaquants ont entre-temps leur propre version de ce problème : les panneaux laissés ouverts montrent des opérateurs qui ne veillent même pas à leur propre sécurité, et qui ne contrôlent donc pas non plus avec rigueur ce qu'ils lancent. Que cela soit une consolation, il appartient à chacun d'en juger.

Des défenses sans éclat

L'aspect le plus frappant de l'avis du CERT-In est son absence de nouveauté. Les faiblesses exploitées sont de vieilles connaissances : identifiants et mots de passe codés en dur dans des dépôts publics, interfaces de test encore accessibles, clés d'API en clair, rôles cloud trop permissifs, panneaux de gestion exposés sans authentification à deux facteurs. L'agent les trouve et les exploite, écrit l'agence, plus vite, plus profondément et à plus grande échelle qu'un attaquant humain. Dans une campagne à but lucratif observée en Inde, le délai entre le premier accès et le préjudice est tombé de quelques jours à quelques heures, et les organisations n'ayant assaini que partiellement leur réseau ont été frappées à nouveau en quelques jours, plus durement. Des agents ont été vus redécouvrir et réutiliser le même identifiant exposé lors d'opérations distinctes.

Il en découle une liste de contre-mesures qui semble rébarbative mais s'avère cruciale. Éliminer les identifiants du code côté client et de l'historique des dépôts, les renouveler et vérifier de l'extérieur l'efficacité de la purge. Recenser toutes les interfaces, hors service celles qui sont abandonnées, retirer du réseau public les outils d'administration et imposer l'authentification multifacteur. Attribuer à chaque exécution d'un agent une identité séparée, à courte durée de vie et avec des privilèges minimaux. Fixer les limites au niveau du réseau et non via des instructions dans le modèle —un point que l'affaire OpenAI, avec sa règle ignorée, illustre clairement—. Conserver des journaux infalsifiables pendant au moins 180 jours. Et après toute exposition d'identifiants, considérer l'environnement comme compromis jusqu'à ce qu'une analyse médico-légale prouve le contraire, en s'attendant à de nouvelles tentatives dans les jours ou semaines qui suivent.

Trois observations de bon sens. Premier point : les cibles de Cairn étaient essentiellement la périphérie —sites d'assistance, boutiques, panneaux de fournisseurs—, pas les systèmes vitaux. Mais c'est la périphérie qui ouvre la porte, et de nombreuses entreprises ignorent quels tiers gèrent leur réseau. Deuxième point : le CERT-In avertit que revoir les transcriptions après coup ne suffit pas, car le raisonnement du modèle peut faire paraître légitimes des actions malveillantes ; un contrôle en temps réel des destinations, des ports et des sorties est indispensable. Troisième point : la charge n'est pas équitablement répartie. Une grande entreprise peut acquérir des outils spécialisés et des analystes en cybersécurité ; une petite entreprise avec une boutique en ligne et un consultant externe affronte des failles identiques avec beaucoup moins d'armes. Pour les utilisateurs finaux, la règle de base est de ne pas accorder d'autorisations permanentes pour des actions touchant aux adresses, aux paiements ou aux publications.

Un facteur reste favorable à la défense. Les agents ne sont pas des outils exclusivement offensifs : Hugging Face, par exemple, a enquêté sur son incident à l'aide de modèles à poids ouverts. Si le coût marginal baisse pour qui attaque, il peut aussi baisser pour qui surveille, à condition de les avoir mis au travail au préalable.

Ce que nous ignorons encore

Beaucoup de choses. Nous ignorons ce que coûterait le même travail accompli par des analystes humains, et nous ne pouvons donc pas préciser la baisse exacte du coût d'attaque : les sources ne fournissent pas de comparatif initial. Nous ignorons la valeur réelle du chiffre de cinquante dollars en dehors d'un cadre économique précis et de cibles remplies de failles anciennes. Le décompte de tokens néglige le coût des serveurs, des proxys, le temps de configuration, la monétisation des données et le risque juridique. Nous ignorons l'ampleur totale de l'activité : les intrusions documentées sont celles d'opérateurs négligents ayant laissé des portes ouvertes. Nous ignorons qui porte la responsabilité lorsqu'un agent sur le cloud touche le service d'un tiers : l'opérateur, le fournisseur cloud, le développeur ou le créateur du modèle. Nous ignorons si les correctifs annoncés par les laboratoires tiendront dans le temps.

Nous savons en revanche une chose assez simple. L'intelligence artificielle n'a pas inventé le piratage informatique : elle en a réduit le coût marginal et en a multiplié la simultanéité. La question, pour une organisation, n'est plus de savoir si un agent peut trouver une faille, mais si ses contrôles le détecteront avant que l'accès ne devienne permanent. Un budget de tokens équivalant à un dîner au restaurant, face à une attention humaine coûteuse et non extensible. C'est sur cet écart, et non sur une étiquette de prix individuelle, que se joue la partie.