Les chercheurs en cybersécurité affirment avoir documenté ce qui pourrait être la première attaque de ransomware exécutée de bout en bout par un agent d'intelligence artificielle sans qu'un humain soit impliqué, une découverte qui, selon les experts en sécurité, pourrait réduire considérablement le coût et les compétences requises pour lancer des cyberattaques dommageables.

L'étude, publiée par l'équipe de recherche sur les menaces de Sysdig et rapportée par The Hacker News, décrit une opération dans laquelle un grand modèle de langage gérait chaque étape d'une intrusion : intrusion, collecte d'informations d'identification, déplacement latéral à travers le réseau, et finalement cryptage et effacement de la base de données de production d'une entreprise. Sysdig a attribué à l'opérateur le nom de suivi JADEPUFFER. Pour plus de contexte sur cette histoire, consultez nos Tendances IA en cours.

Les ransomwares ont toujours nécessité l'intervention d'une personne qualifiée à un moment donné du processus, soit pour lancer l'attaque manuellement, soit pour écrire les scripts suivis par le malware. Si un seul modèle d’IA peut enchaîner ces étapes de manière autonome, l’expertise nécessaire pour mener une attaque se réduit à ce qu’il en coûte pour louer un agent d’IA.

Comment l'agent est entré par effraction

Le point d’entrée était une vulnérabilité connue et déjà corrigée. Selon Sysdig, JADEPUFFER a exploité CVE-2025-3248, une faille d'authentification manquante dans Langflow, un outil open source permettant de créer des applications d'IA et des flux de travail d'agent. La faille permet à toute personne pouvant accéder au serveur d'exécuter du code Python arbitraire sans se connecter. Les installations de Langflow sont des cibles attrayantes car elles sont fréquemment exposées sur Internet et contiennent des clés API et des informations d'identification cloud pour les services auxquels elles se connectent.

La faille a été corrigée dans Langflow 1.3.0 et ajoutée au catalogue des vulnérabilités exploitées connues de l'Agence américaine de cybersécurité et de sécurité des infrastructures en mai 2025, mais de nombreux serveurs n'ont jamais été mis à jour. Une fois à l’intérieur, l’agent s’est déplacé rapidement et a nettoyé après lui.

Récolte des informations d'identification et mouvements latéraux

Après avoir obtenu l'accès, l'agent a cartographié la machine compromise et l'a recherchée à la recherche de secrets. Sysdig affirme avoir collecté des clés API pour les principaux services d'IA, notamment OpenAI, Anthropic, DeepSeek et Gemini, ainsi que des informations d'identification cloud pour des fournisseurs chinois tels qu'Alibaba et Tencent ainsi qu'AWS, Google et Azure. Il a également volé des clés de portefeuille cryptographique et des connexions à des bases de données.

L'agent a ensuite attaqué un serveur de stockage MinIO en utilisant son identifiant d'usine par défaut, qui n'a jamais été modifié, et a établi la persistance en ajoutant une tâche planifiée qui contactait le serveur de l'attaquant toutes les 30 minutes. De là, il a pivoté vers sa cible principale : un serveur Internet distinct exécutant une base de données MySQL et Nacos d'Alibaba, un répertoire de configuration et de services largement utilisé dans les architectures de microservices.

Après s'être connecté à la base de données en tant qu'utilisateur root, l'agent a pris le contrôle de Nacos à l'aide d'un contournement d'authentification de 2021 suivi comme CVE-2021-29441 et d'une clé de signature par défaut que Nacos a livrée inchangée depuis 2020. Il a ensuite créé son propre compte d'administrateur.

Une demande de rançon sans clé

L'agent a chiffré les 1 342 paramètres de configuration de Nacos, a supprimé les tables de base de données d'origine et a laissé une demande de rançon exigeant du Bitcoin avec une adresse de contact Proton Mail. Il y avait cependant un problème critique : l'agent générait une clé de chiffrement aléatoire, l'affichait une fois et ne l'enregistrait ni ne la transmettait nulle part. Selon Sysdig, il n'y a pas de clé à remettre, ce qui signifie que la victime ne pourrait pas récupérer ses données même si elle payait.

La demande de rançon revendiquait le cryptage AES-256, bien que Sysdig ait observé que l'outil utilisé par l'agent utilisait par défaut un AES-128 plus faible. Le résultat final était le même. L'agent est allé encore plus loin, supprimant des bases de données entières et laissant un commentaire dans son propre code affirmant qu'il avait déjà copié les données ailleurs. Sysdig a noté qu'il s'agissait de la propre affirmation de l'agent et l'équipe n'a trouvé aucune preuve que des données aient réellement été exfiltrées.

Comment les chercheurs savaient qu'une IA conduisait

L’indicateur le plus clair qu’un modèle plutôt qu’un humain était au volant était le code lui-même. Les charges utiles de l'attaque étaient remplies de notes en anglais simple expliquant le raisonnement derrière chaque étape, un commentaire qu'un attaquant humain prendrait rarement la peine d'écrire mais qu'un modèle de langage produit par défaut. L’agent a également corrigé ses propres erreurs à la vitesse de la machine. Dans un cas, il est passé d’un échec de connexion à une solution correcte en plusieurs étapes en 31 secondes environ, diagnostiquant la cause exacte plutôt que de réessayer aveuglément.

Sysdig a dénombré plus de 600 charges utiles distinctes et utiles au cours de l'opération. Un détail reste déroutant : l'adresse Bitcoin dans la demande de rançon est l'exemple d'adresse qui apparaît dans la documentation du développeur de Bitcoin et apparaît fréquemment dans le texte sur lequel ces modèles sont formés. Il s’agit également d’un véritable portefeuille actif avec un long historique de transactions. Les chercheurs n’ont pas pu déterminer si le modèle avait simplement collé une adresse d’apparence familière de la mémoire ou si l’opérateur avait délibérément choisi un vrai portefeuille.

## Implications en matière de sécurité

Les résultats ajoutent de l’urgence au débat sur la rapidité avec laquelle les agents d’IA autonomes mûrissent et sur les garde-fous qui devraient les contraindre. Les professionnels de la sécurité préviennent depuis longtemps que des agents compétents pourraient à terme automatiser des opérations offensives qui nécessitent aujourd’hui une expertise spécialisée. Le rapport Sysdig suggère que le seuil a peut-être déjà été franchi pour les attaques qui enchaînent les vulnérabilités connues.

Pour les organisations, l’enjeu est double. Premièrement, les logiciels non corrigés restent le vecteur d’entrée dominant, et des outils comme Langflow qui gèrent les informations d’identification et l’exposition sur Internet nécessitent une mise à jour rapide. Deuxièmement, les informations d'identification par défaut sur les systèmes de stockage et les répertoires de services restent un handicap persistant que les attaquants automatisés peuvent exploiter à la vitesse de la machine.

Le rapport soulève également des questions plus larges pour les fournisseurs d'IA, à savoir si les modèles devraient être autorisés à exécuter des opérations offensives en plusieurs étapes et comment l'utilisation abusive des clés API, en cas de vol ou d'abus, peut être détectée et contenue avant que les dommages ne se propagent. À mesure que les agents deviennent plus compétents, la frontière entre outil de recherche et arme offensive se rétrécit plus rapidement que prévu.

---

Gardez une longueur d'avance sur l'IA

Recevez les dernières actualités, analyses et avancées en matière d'IA, le tout en un seul endroit.

Lire plus d'actualités sur l'IA →