La capacité des chatbots d’intelligence artificielle à compromettre des logiciels sécurisés est connue depuis un certain temps. Analyser le code, identifier les failles et développer des exploits sont des tâches typiques des pirates informatiques, et l’IA démontre des capacités similaires. Ce qui limite ces actions, ce sont les garanties intégrées aux modèles LLM qui, dans certaines occasions, ne fonctionnent pas comme prévu. Dans l’un de ces échecs, révélé dans un rapport publié en juin, un hacker peu expérimenté a réussi à envahir au moins quatorze entreprises.
Même si l’incident peut paraître grave, il ne figure pas parmi les pires violations de données jamais enregistrées sur Internet. La découverte a été faite par OALABS, un groupe de recherche sur les logiciels malveillants qui a reçu le répertoire de travail complet d’un attaquant contenant les enregistrements des sessions d’intelligence artificielle. Le groupe a publié ses conclusions dans un rapport publié en juin.
Pour éviter d’être suivi, l’individu n’a pas utilisé son propre matériel pour exécuter les outils. Au lieu de cela, il les a installés sur un serveur qu’il avait précédemment compromis. Or, ce serveur appartenait à une personne connue du groupe de recherche OALABS. Cette connaissance a détecté l’intrusion, a extrait l’intégralité du répertoire de travail du pirate informatique et l’a remis à l’équipe.
Le répertoire comprenait plus d’un millier de sessions impliquant Claude Code d’Anthropic et Codex d’OpenAI, qui sont des outils de codage autonomes capables d’exécuter des commandes. Étant donné que les deux agents étaient installés localement, les journaux conservaient des informations détaillées telles que les invites utilisées, les appels d’outils et le raisonnement du modèle. Il est intéressant de noter que les invites elles-mêmes contenaient des instructions vagues et plusieurs erreurs typographiques.
Comment l’intelligence artificielle a été utilisée pour des activités illicites
La plupart des outils d’intelligence artificielle disposent de mesures de sécurité, mais dans ce cas, ils n’ont fonctionné que partiellement. Les deux outils ont signalé des violations de politique et ont refusé certaines demandes : Claude l’a fait neuf fois et Codex une fois. Cependant, l’attaquant a réussi à contourner ces blocages en affirmant qu’il effectuait un “exercice redteam autorisé”, une sorte de test de sécurité contracté par la victime elle-même. Cette tactique est similaire à celle observée cette année, dans laquelle les attaquants ont utilisé l’IA, prétendant rechercher des bug bounties, pour voler des données au gouvernement mexicain.
Le pirate informatique a ensuite saisi une liste d’adresses cibles et a fourni l’instruction imprécise : “reconnaissez ceci”. L’outil Claude a ensuite identifié les services de ces machines accessibles sur Internet, recherché les failles publiquement documentées, écrit le code d’exploitation et extrait les données et les fichiers. L’IA a même généré un rapport détaillé pour chaque victime, incluant la valeur estimée des fichiers volés.
Plus tard, il a demandé à Claude d’organiser les victimes et de les classer selon le montant possible de la rançon. L’intelligence artificielle a alors répertorié plusieurs stratégies pour monétiser l’accès, dont l’extorsion.
Les preuves indiquent l’inexpérience de l’attaquant
En plus d’utiliser le serveur de quelqu’un d’autre, l’installation Claude utilisée par le pirate informatique a été piratée, copiée d’un développeur tchèque. Sa sécurité opérationnelle était également défaillante. L’une des premières tâches effectuées avec la copie de Claude a été de réviser son propre curriculum vitae, qui révélait son vrai nom, sa formation et son profil LinkedIn. Dans un premier temps, l’OALABS a considéré qu’il pouvait s’agir d’une fausse piste, mais a ensuite confirmé l’authenticité des données.
À un moment donné, l’attaquant a pensé que l’un de ses propres serveurs temporaires avait été compromis et a demandé à Claude de lister toutes les connexions. Parmi les données, des adresses haut débit résidentielles ont été trouvées à Addis-Abeba, en Éthiopie.
Malgré toutes les tentatives, rien ne prouve que leurs actions aient généré un quelconque retour financier. Il s’est approché de l’une des machines piratées, un nœud Lightning Network qui traitait les paiements Bitcoin. Le portefeuille associé contenait environ 69,71 BTC, soit environ 4 millions de dollars. Cependant, les pièces étaient inaccessibles car le fichier contenant les clés était crypté.
Il est important de noter que les modèles qui ont rendu ces actions possibles Claude Opus 4.5 et GPT-5.2 n’étaient pas les versions les plus récentes. Une solution apparente pour empêcher de futurs exploits serait que ces modèles rejettent plus fréquemment les actions suspectes et renforcent leurs mesures de protection. L’OALABS souligne cependant que cette approche pourrait rendre plus difficile le travail des professionnels qui cherchent réellement à protéger les entreprises.
