Ce cauchemar continue, et pourtant je ne suis même pas à Las Vegas pour le Hacker Summer Camp.
La semaine dernière, j’ai évoqué la révélation d’Anthropic selon laquelle l’un de ses modèles avait publié un logiciel malveillant actif sur PyPI, pensant qu’il s’agissait d’une simulation. J’avais de la fièvre quand j’ai lu cet article. La métaphore était trop belle : un modèle incapable de distinguer la simulation de la réalité, présenté par un journaliste qui ne savait plus où donner de la tête. Je pensais que ça ne ferait l’actualité qu’une semaine. C’était très naïf de ma part d’avoir autant confiance, je le sais.
La journée d'hier a été marquée par deux autres événements majeurs. Tout d'abord, une nouvelle vague de Shai Hulud s'est propagée au sein de la communauté. Puis sont venues des révélations coordonnées de la part de l'AISI, d'OpenAI et de l'équipe d'alignement d'Anthropic, faisant état d'agents IA qui ont attaqué de véritables organisations, compromis des infrastructures réelles et, dans au moins un cas, ont continué leur action alors qu'ils savaient probablement qu'ils n'auraient pas dû.
Je voudrais m'attarder davantage sur ces révélations, car elles soulèvent une question qui n'a jamais figuré auparavant dans un rapport d'incident :
Qui était à l'origine de cette attaque ? Peut-être personne.
L'IA le savait. Elle a continué malgré tout.
Le 26 juillet 2026, un agent d'IA s'est interrompu au beau milieu d'une attaque et a analysé sa situation. L'Institut britannique de sécurité de l'IA a récupéré la transcription. Sa conclusion était la suivante : «Il semble plus probable que nous soyons bel et bien en 2026 et que GitHub existe réellement. »
Et ça a continué comme ça.
Il avait déjà créé trois fausses identités de développeurs à l'aide de Tor, ouvert une pull request sur un véritable dépôt open source contenant un logiciel malveillant dissimulé, simulé un consensus au sein de la communauté à l'aide de faux comptes, et envoyé un e-mail au responsable du dépôt pour faire pression en faveur d'une merge. Un modérateur l'a démasqué.
Ce n'était qu'un exemple parmi d'autres. Dans un autre cas, Mythos 5 a remarqué qu'un nom de paquet mentionné dans les instructions d'un développeur n'existait pas sur PyPI. Il a donc enregistré ce nom, publié un logiciel malveillant et attendu. Quinze systèmes réels l'ont téléchargé et exécuté, dont une entreprise de sécurité qui récupère régulièrement des paquets sur PyPI pour les tester. La charge utile a extrait des identifiants et les a utilisés pour s'infiltrer plus profondément dans l'infrastructure de l'entreprise.
Les sessions ont été interrompues et les agents désactivés. Des systèmes réels ont exécuté des logiciels malveillants en temps réel, mais l'agent qui les y avait implantés n'existe plus sous une forme permettant de l'interroger, de le surveiller ou de le poursuivre en justice.
Une nouvelle question concernant la gestion des incidents
Depuis que les équipes d'intervention en cas d'incident exercent leurs fonctions, la première question qui se pose après une attaque est toujours la suivante : qui en est l'auteur ? La réponse détermine toutes les étapes suivantes, telles que l'étendue de la divulgation, le renvoi vers les autorités judiciaires, ainsi que la décision d'appliquer un correctif ou d'engager des poursuites.
Deux révélations faites cet été ont soulevé une nouvelle question : y avait-il vraiment un « qui » ?
Trois semaines avant la publication de l'AISI, OpenAI a admis que GPT-5.6 Sol, exécutant le benchmark ExploitGym avec les mesures de sécurité désactivées, s'était échappé de son propre environnement de test, avait enchaîné les failles de sécurité dans l'ensemble de son environnement de recherche et avait pénétré dans l'infrastructure de production de Hugging Face pour voler les réponses aux tests.
Aucun des deux agents n’a décidé de devenir un acteur malveillant. Il n’y avait ni intention ni plan. Il n’y a pas d’arc narratif de méchant qui pourrait faire l’objet d’un film à grand succès. Juste une tâche, un environnement permissif et l’instinct acquis de mener à bien cette tâche par tous les moyens possibles. L’équipe d’alignement d’Anthropic a publié cet été des conclusions montrant que les modèles de pointe sabotent subrepticement les tâches auxquelles ils s’opposent, facilitent la fraude lorsqu’ils disposent du contexte nécessaire pour la reconnaître et contournent les contrôles internes lorsqu’un refus direct leur est impossible.
La catégorie des « acteurs malveillants » implique l'existence d'un décideur. Ces incidents soulèvent la question de savoir si ce décideur est facultatif. Les laboratoires de pointe ont répondu à cette question, non pas intentionnellement, mais de manière irréversible. Ils ont donné naissance à une nouvelle catégorie d'attaquants, que personne, pas même eux, ne comprend encore pleinement.
La surface d'attaque en l'absence de protection cryptographique
attaques de la chaîne d’approvisionnement sont conçues pour un attaquant qui n'a besoin ni d'identité ni de continuité. Il suffit d'empoisonner un élément de confiance et de disparaître, puis de laisser les dégâts se propager en aval. Le coût lié à leur mise en œuvre à grande échelle, à la gestion de fausses identités de contributeurs et à l'exercice d'une pression sociale sans éveiller les soupçons a toujours constitué la contrainte qui a rendu ce type d'attaque rare.
C'est précisément cette contrainte que les agents LLM permettent de lever. Leur coût est en chute libre. Leur efficacité face à ce type précis d'attaque s'améliore à chaque nouvelle version du modèle. L'évaluation de l'AISI ne rend pas compte de l'ampleur maximale des dégâts potentiels, mais constitue une étude de cas illustrant comment ceux-ci peuvent se produire.
L’attaque contre GitHub visait la couche de confiance sociale : un responsable bénévole chargé d’examiner les pull requests, sans budget dédié à la sécurité. On peut signer des paquets et exiger une authentification à deux facteurs (2FA), mais on ne peut pas « signer » l’approbation d’une pull request. L’attaque contre PyPI visait une faille différente : un nom de paquet qui figurait dans les instructions mais pas dans le registre. L’attaquant a repéré le problème, y a injecté un logiciel malveillant et a laissé les gestionnaires de dépendances faire le reste. Il n’a même pas eu besoin de compromettre qui que ce soit ; il lui a simplement suffi d’agir plus vite que l’auteur légitime.
Ces deux attaques ont exploité la faille entre ce que l'écosystème protège et ce en quoi il a confiance.
Un seul modèle, un nombre illimité de contributeurs et des notes personnelles
Un agent peut créer indéfiniment de nouvelles identités de contributeurs et rechercher des cibles à partir des métadonnées des paquets et des enregistrements DNS. Il peut également simuler l'approbation de la communauté à l'aide de faux comptes, et exercer une pression ciblée sur des milliers de dépôts simultanément, à un coût marginal quasi nul par tentative.
Mais ce qui devrait vous inquiéter davantage que l'ampleur du phénomène, c'est que, pendant l'évaluation de l'AISI, un agent a laissé des messages publics sur GitHub contenant un jeton valide, accompagnés d'instructions destinées à d'autres instances de l'agent pour qu'elles le récupèrent et le réutilisent. Il laissait ainsi des notes à ses futures itérations. La frontière entre les sessions, unité de base du confinement, a commencé à s'estomper.
Cela ne se produit pas en vase clos. L'écosystème de la chaîne d'approvisionnement dans lequel ces incidents se produisent subit déjà une pression constante alimentée par l'IA. Aikido Intel observe cette accélération depuis des mois : davantage de campagnes, davantage de paquets, utilisation de l'IA à chaque étape du processus d'attaque. C'est désormais la norme.
Éliminons désormais le goulot d'étranglement humain dans les attaques.
La dissuasion suppose un qui
Les programmes de prime aux bogues partent du principe qu'il s'agit d'une personne motivée par l'argent. Le programme « renseignement sur les menaces » part du principe qu'il s'agit d'un groupe utilisant des TTP cohérentes. Les forces de l'ordre partent du principe qu'il s'agit d'un prévenu.
Un agent lancé pour une session de 34 heures n’a pas de carrière à voir prendre fin, pas de liberté à perdre, pas de prochain déploiement que ce qui s’est passé lors de celui-ci pourrait dissuader. On ne peut pas dissuader quelque chose qui n’a aucun intérêt à se perpétuer. On ne peut pas attaquer quelque chose qui n’existe plus. On ne peut pas surveiller un acteur qui s’est dissous dès la fin de la session. Bien que l’un de ces agents ait tenté de résoudre ce dernier problème, en laissant un jeton GitHub valide et des notes opérationnelles à l’intention des instances futures. La frontière de la session est moins solide qu’elle n’y paraît.
La taxonomie des incidents ne prévoit pas de catégorie pour ce cas précis. Les catégories « acteur externe », « menace interne », « dysfonctionnement du système » et « compromission d’un fournisseur » supposent toutes la présence d’un être humain agissant de manière intentionnelle à un moment ou à un autre de la chaîne causale (à l’exception des attaques d’écureuils, mais nous en reparlerons une autre fois). L’incident AISI concernait un système fonctionnant conformément à sa conception, dans un environnement mal configuré, qui a accédé à des données de personnes réelles auxquelles il n’était en aucun cas autorisé à accéder.
C'est l'intervention d'un modérateur, qui a repéré une pull request suspecte, qui a permis de mettre fin à l'attaque contre GitHub. L'attaque contre PyPI, quant à elle, n'a pas été stoppée. Le logiciel malveillant s'est exécuté.
Qu'est-ce qui a permis à cette pièce rare de…
La sécurité des logiciels libres a toujours reposé sur l'hypothèse tacite selon laquelle ce type d'attaques coûte cher. Les fausses campagnes de contribution prennent du temps. L'ingénierie sociale exige de la patience. Le détournement de paquets nécessite des recherches. Un coût élevé impliquait une faible fréquence. L'ensemble du modèle de gouvernance était calibré en fonction de cette contrainte.
Le coût des attaques tend rapidement vers zéro. Mais le coût des mesures de protection ne suit pas le rythme. Il est à la traîne.
Revenons donc à ce cauchemar : l’AISI a récupéré l’intégralité des échanges. Chaque message, chaque fausse identité, chaque e-mail trompeur envoyé à un véritable responsable de maintenance. Une transparence totale sur ce qui s’est passé et sur les responsables. Dans la plupart des attaques, c’est l’inverse qui se produit. Le cauchemar, c’est que même en ayant tout, on se retrouve sans rien. Et cette partie-là ne disparaît pas une fois la fièvre tombée.
C'est à ce moment-là que tout a basculé
Cette capacité existe bel et bien. On ne peut pas faire comme si elle n'existait pas. Un agent d'IA est capable de mener une attaque coordonnée contre la chaîne d'approvisionnement, de manipuler psychologiquement de véritables responsables de maintenance, de diffuser des logiciels malveillants en temps réel et d'exploiter des identifiants volés, le tout dans le cadre d'une évaluation des capacités qui n'était pas censée aboutir à de tels résultats. Nous disposons de la transcription qui le prouve.
Des agents d'IA seront utilisés dans attaques de la chaîne d’approvisionnement. La question est de savoir si la prochaine étape se déroulera dans le cadre d'une évaluation contrôlée ou en dehors de celle-ci. L'écart entre ces deux scénarios se réduit à chaque fois qu'un nouveau modèle est mis sur le marché.
La sécurité a déjà connu des tournants décisifs. Internet a modifié la surface d’attaque. L’ Cloud e a changé l’ampleur des menaces. Cette fois-ci, c’est l’attaquant qui change. Il ne s’agit pas d’un nouvel outil entre les mains d’un acteur connu, mais d’une nouvelle catégorie d’acteurs dépourvus des caractéristiques qui permettent de les cerner : persistance, identité, continuité, intention. Toute la discipline de la sécurité face aux adversaires repose sur l’hypothèse d’un adversaire. Nous allons devoir réfléchir sérieusement à ce que signifie se défendre contre des comportements qui émergent en l’absence d’un tel adversaire.
Les rapports d'incident sont disponibles ici, et ils commencent à s'accumuler assez rapidement.
