Trouvés en cherchant des attaquants négligents
En septembre, Gambit Security a récupéré un serveur de préparation issu d’une campagne criminelle contre des places de marché en ligne et a nommé les harnais d’IA qui s’y trouvaient : Hermes, Strix et Cairn. L’entreprise de sécurité norvégo-américaine NorForge en a fait une piste et a cherché, avec les scanners Shodan et Censys, les installations de Cairn dont l’interface web n’avait jamais reçu de mot de passe.
Elle en a trouvé plus de 20 qu’elle juge malveillantes, plus plusieurs tests d’intrusion apparemment légitimes tout aussi exposés. Le rapport, publié le 19 octobre par le chercheur principal en menaces Snorre Fagerland, offre un regard inhabituellement direct sur l’usage d’agents autonomes pour pénétrer des sites commerciaux, puisque les tableaux de bord des attaquants montrent chaque étape.
Cairn n’est pas un outil d’attaque par conception. NorForge le décrit comme un moteur de résolution de problèmes fondé sur les états : chaque travail est un projet avec une origine et un but, et les agents progressent entre les deux par cycles d’« intentions » et de « faits », déposant chaque découverte sur un tableau partagé que lisent les autres travailleurs. Un opérateur humain peut y ajouter ses propres indices. L’auteur de Cairn, qui publie sous le pseudonyme le1xia0 sur X, a déclaré que le projet n’avait pas été conçu pour le piratage.
Trois grappes, et une qui a industrialisé la chose
NorForge répartit l’activité en trois grappes. La plus importante, baptisée AIA0001 et jugée malveillante avec une confiance élevée, travaille en chinois sur 14 panneaux et plus de 1 100 projets d’attaque. Ses cibles sont des sites de commerce en ligne aux États-Unis, au Canada, au Japon et en Australie, et l’objectif est un accès persistant aux infrastructures de boutique et de paiement.
Les consignes sont industrielles. Une instruction typique, citée dans le rapport, indique aux agents que les cibles sont des « sites de commerce en ligne réels confirmés » dans ces quatre pays, avec un trafic de 200 000 à 1,5 million, déjà vérifiés avec Playwright, l’automatisation de navigateur de Microsoft, pour confirmer que des commandes peuvent bien être passées. L’objectif est l’exécution de code à distance sans authentification ; la charge est précisée comme un shell de téléversement, explicitement pas un shell web d’exécution de commandes.
La deuxième grappe, AIA0002, opère en anglais sur 10 panneaux et vise le vol plutôt que l’accès : cartes bancaires et cryptomonnaies, beaucoup de projets n’ayant d’autre consigne technique que « récupérer des cartes bancaires ». Une troisième, avec un seul panneau et 59 projets, n’est jugée malveillante qu’avec une faible confiance.
Environ 5 dollars la tâche, pour 10% de réussite
Dans AIA0001, chaque tâche a été exécutée par un travailleur nommé claudecode_deepseek-v4.1-flash, que NorForge lit comme un harnais Claude Code appelant le modèle V4.1 Flash de DeepSeek. L’entreprise n’a pas de chiffres de jetons et souligne l’incertitude, mais estime la tâche moyenne à environ 5 dollars, projets abandonnés tôt compris ; le plus long, avec plus de 1 000 intentions et faits, pourrait dépasser 100 dollars.
Toutes grappes confondues, NorForge situe le taux de réussite moyen autour de 10%. Au sein d’AIA0001, le délai moyen entre le lancement du projet et l’objectif atteint était d’un peu moins de 23 heures, pour environ 140 faits par projet. Un projet a duré plus de cinq jours.
Les chercheurs ont vérifié eux-mêmes une intrusion revendiquée, en appelant l’adresse du shell issue d’un projet achevé contre un grand distributeur de quincaillerie. Elle était active. Selon l’explication de l’agent lui-même, la voie d’entrée combinait un accès en écriture non autorisé à un magasin de sessions memcached, une désérialisation d’objets PHP non sécurisée et une chaîne de gadgets dans d’anciens composants Zend Framework.
Les tableaux de bord sont eux-mêmes la brèche
Le second constat est celui sur lequel les défenseurs doivent agir. Un panneau Cairn ouvert ne révèle pas seulement qu’un site est attaqué : il publie tout ce que les agents ont appris en chemin, plus les identifiants que l’opérateur humain y a collés. NorForge a passé le scanner Trufflehog sur les données et trouvé des centaines de secrets, dont 11% que l’outil a vérifiés comme encore valides.
Les panneaux semblent aussi exposer l’intégralité de l’interface d’administration : démarrer et arrêter des projets, insérer des données, rediriger les agents vers de nouvelles cibles. NorForge indique n’avoir pas testé si ces contrôles fonctionnent sans authentification, pour des raisons évidentes, mais la conséquence demeure : des agents offensifs autonomes derrière une porte non verrouillée.
Reuters, qui a lu le rapport avant publication, a cité Deere, SharkNinja et Cummins parmi les victimes. Deere a déclaré avoir pris des mesures correctives sans constater d’accès à des informations sensibles ; SharkNinja a indiqué que l’attaque avait touché un site autonome d’assistance produit et avait été contenue ; Cummins a dit enquêter sur une possible attaque visant un site exploité par l’un de ses prestataires.
NorForge travaille avec Reuters pour avertir les victimes et demande aux hébergeurs de retirer les panneaux. Le signal le moins coûteux reste celui sur lequel se clôt le rapport : les seuls opérateurs dont l’outillage a pu être tracé sont ceux qui avaient laissé leurs panneaux ouverts.
