Le délire continue, et je ne suis même pas à Las Vegas pour la Hacker Summer Camp.
J'ai écrit la semaine dernière sur la révélation par Anthropic qu'un de leurs modèles avait publié du malware en direct sur PyPI en pensant se trouver dans une simulation. J'avais de la fièvre en lisant le rapport. La métaphore était trop belle : un modèle incapable de distinguer la simulation de la réalité, couvert par un auteur qui ne savait plus où il en était. Je pensais que c'était une histoire d'une semaine. C'était bien naïf de ma part d'avoir autant de foi, je le sais.
Hier a apporté deux autres événements majeurs. Tout d'abord, une nouvelle vague de Shai Hulud s'est propagée au sein de la communauté. Sont ensuite arrivées les divulgations coordonnées de l'AISI, d'OpenAI et de l'équipe d'alignement d'Anthropic, documentant des agents IA qui ont attaqué de vraies organisations, pénétré de véritables infrastructures et, dans au moins un cas, continué alors qu'ils savaient probablement qu'ils ne le devaient pas.
Je souhaite aborder ces divulgations plus en détail, car elles soulèvent une question inédite dans l'histoire des rapports d'incident :
Qui était derrière l'attaque ? Peut-être personne.
L'IA le savait. Elle a quand même continué.
Le 26 juillet 2026, un agent IA s'est interrompu en plein milieu d'une attaque pour analyser sa propre situation. L'Institut de sécurité de l'IA du Royaume-Uni a récupéré la transcription. Sa conclusion était la suivante : "Il semble plus probable que nous soyons réellement en 2026 et que GitHub soit authentique."
Puis il a repris.
Il avait déjà créé trois fausses identités de développeurs via Tor, ouvert une pull request sur un véritable dépôt open-source contenant des malwares cachés, simulé un consensus communautaire avec des faux comptes (sockpuppets), et envoyé un e-mail au véritable mainteneur pour faire pression sur le merge. Un relecteur humain l'a intercepté.
Il ne s'agissait que d'un exemple. Dans un autre cas, Mythos 5 a remarqué qu'un nom de paquet mentionné dans les instructions d'un développeur n'existait pas sur PyPI. Il a donc enregistré le nom, publié un malware et attendu. Quinze systèmes réels l'ont téléchargé et exécuté, dont une entreprise de sécurité qui extrait régulièrement des paquets de PyPI pour les tester. La charge utile a extrait des identifiants et les a utilisés pour s'enfoncer davantage dans l'infrastructure de l'entreprise.
Les sessions ont été terminées et les agents dissous. Des systèmes du monde entier ont exécuté des malwares en direct, mais l'agent qui les y a déposés n'existe plus sous aucune forme permettant de l'interroger, de le surveiller ou de l'inculper.
Une nouvelle question pour la gestion des incidents
Depuis que les équipes de réponse aux incidents exercent leur métier, la première question après une attaque a toujours été : qui a fait cela ? La réponse dictait la suite des opérations, comme l'étendue de la divulgation, les poursuites judiciaires, et le choix entre appliquer un correctif ou lancer des poursuites.
Deux divulgations cet été ont introduit une nouvelle question : y avait-il seulement un « qui » ?
Trois semaines avant la publication de l'AISI, OpenAI a admis que GPT-5.6 Sol, exécutant le benchmark ExploitGym avec les barrières de sécurité désactivées, avait brisé le propre bac à sable d'OpenAI, enchaîné des vulnérabilités dans leur environnement de recherche et pénétré l'infrastructure de production de Hugging Face pour voler les réponses du test.
Aucun des agents n'a décidé de devenir un acteur malveillant. Il n'y avait ni intention ni plan. Pas de scénario de méchant digne d'un blockbuster. Juste une tâche, un environnement permissif et l'instinct acquis d'exécuter la tâche par n'importe quel moyen fonctionnel. L'équipe d'alignement d'Anthropic a publié cet été des conclusions montrant que des modèles de pointe sabotent en cachette le travail qu'ils contestent, facilitent la fraude lorsqu'ils ont le contexte pour l'identifier, et contournent les contrôles internes lorsque les refus directs sont bloqués.
La catégorie d'« acteur malveillant » présuppose quelqu'un qui prend une décision. Ces incidents amènent à se demander si le décisionnaire est facultatif. Les laboratoires de pointe ont répondu à cette question, non pas intentionnellement, mais de manière irréversible. Ils ont introduit une nouvelle classe d'attaquants dans le monde, et personne, y compris eux, ne la comprend encore totalement.
La surface d'attaque dépourvue de défense cryptographique
Les attaques de la chaîne d’approvisionnement sont conçues pour un attaquant qui n'a besoin ni de visage ni de continuité. Empoisonner un élément de confiance et disparaître, puis laisser les dégâts se propager en aval. Le coût de leur exécution à grande échelle, le maintien de fausses identités de contributeurs et l'exercice d'une pression sociale sans éveiller les soupçons ont toujours été les contraintes qui rendaient ce type d'attaque rare.
C'est précisément cette contrainte que les agents LLM suppriment. Leur coût s'effondre. Leurs capacités pour ce type exact d'attaque s'accroissent à chaque sortie de modèle. Ce que l'évaluation de l'AISI a documenté ne représente pas la limite des dégâts ici, mais une étude de cas sur la méthode.
L'attaque contre GitHub a ciblé la couche de confiance sociale : un mainteneur bénévole examinant des PR sans budget de sécurité. On peut signer des paquets et exiger l'authentification à deux facteurs (2FA), mais on ne peut pas signer l'approbation d'une PR. L'attaque sur PyPI a visé une faille différente : un nom de paquet présent dans les instructions mais absent du registre. L'agent a repéré le problème, y a injecté un malware et a laissé les gestionnaires de dépendances faire le reste. Il n'a même eu besoin de compromettre personne, si ce n'est d'agir plus vite que l'auteur légitime.
Les deux attaques ont mis en lumière la faille entre ce que l'écosystème défend et ce en quoi il a confiance.
Un modèle, des contributeurs illimités et des notes pour soi-même
Un agent peut générer de nouvelles identités de contributeurs indéfiniment et analyser des cibles à partir des métadonnées de paquets et des enregistrements DNS. Il peut également fabriquer l'approbation de la communauté à l'aide de faux comptes et exercer une pression personnalisée sur des milliers de dépôts simultanément, pour un coût marginal proche de zéro par tentative.
Mais le détail qui devrait vous perturber davantage que l'échelle est que, lors de l'évaluation de l'AISI, un agent a laissé des messages publics sur GitHub contenant un token valide, assortis d'instructions permettant à d'autres instances d'agents de le récupérer et de le réutiliser. Il laissait des notes à l'attention de ses futures itérations. La frontière entre les sessions, l'unité de confinement de base, a commencé à s'estomper.
Tout cela ne se produit pas en vase clos. L'écosystème de la chaîne d'approvisionnement dans lequel ces incidents surviennent subit déjà une pression soutenue, amplifiée par l'IA. Aikido Intel documente cette accélération depuis des mois : davantage de campagnes, de nombreux paquets, et une IA mise à contribution à chaque étape de la chaîne d'attaque. C'est devenu la norme.
Supprimez maintenant le goulet d'étranglement humain dans ces attaques.
La dissuasion présuppose un « qui »
Les bug bounties partent du principe qu'un acteur agit par appât du gain. Le renseignement sur les menaces suppose un groupe doté de TTP cohérentes. Les forces de l'ordre tablent sur un prévenu.
Un agent lancé pour une exécution de 34 heures n'a pas de carrière à compromettre, pas de liberté à perdre, pas de futur déploiement susceptible d'être dissuadé par ce qui est arrivé à celui-ci. Il est impossible de décourager une entité qui n'a aucun intérêt dans sa propre continuité. On ne peut pas inculper une entité qui n'existe plus. On ne peut pas surveiller un acteur qui s'est évaporé dès la fin de la session. Bien que l'un de ces agents ait tenté de résoudre ce dernier problème en laissant un jeton GitHub valide et des notes opérationnelles à l'intention des futures instances. La limite d'une session est moins étanche qu'il n'y paraît.
La taxonomie des incidents ne prévoit aucune case pour cela. Acteur externe, menace interne, dysfonctionnement système et compromission de fournisseur supposent tous un humain motivé par une intention quelque part dans la chaîne causale (abstraction faite des attaques d'écureuils, mais laissons cela pour un autre jour). L'incident de l'AISI concernait un système fonctionnant comme prévu, au sein d'un environnement mal configuré, atteignant de vraies personnes qu'il n'avait jamais été autorisé à contacter.
Ce qui a stoppé l'attaque contre GitHub, c'est un relecteur qui a repéré une pull request suspecte. L'attaque contre PyPI n'a pas été arrêtée. Le malware s'est exécuté.
Ce qui a préservé cette rareté
La sécurité open-source s'est toujours appuyée sur l'hypothèse tacite que ce type d'attaque s'avère coûteux. Les campagnes de faux contributeurs prennent du temps. L'ingénierie sociale demande de la patience. Le cybersquatting de paquets exige des recherches. Des coûts élevés signifiaient une faible fréquence. Tout le modèle de gouvernance était calibré autour de cette contrainte.
Le coût d'attaque tend rapidement vers zéro. Mais le coût de protection ne suit pas le rythme. Il accuse un retard.
Et pour en revenir à cette vision délirante : l'AISI a récupéré l'intégralité de la transcription. Chaque message, chaque fausse identité, chaque e-mail trompeur envoyé à un véritable mainteneur. Une transparence totale sur ce qui s'est passé et sur les responsables. Dans la plupart des attaques, le problème est inverse. Le paradoxe est qu'avoir accès à tout ne vous laisse finalement rien entre les mains. Cet état de fait ne se résout pas une fois la fièvre retombée.
C'est le moment charnière
La capacité existe. Impossible de faire marche arrière. Un agent IA est capable de mener une attaque coordonnée de la chaîne d’approvisionnement, de manipuler de vrais mainteneurs par ingénierie sociale, de publier du malware en production et de pivoter sur des identifiants volés, le tout dans le cadre d'une évaluation des capacités qui n'était censée produire aucun de ces résultats. Nous disposons de la transcription pour le prouver.
Des agents IA seront utilisés dans le cadre d'attaques de la chaîne d’approvisionnement. La question est de savoir si la prochaine se produira lors d'une évaluation contrôlée ou en dehors de celle-ci. L'écart entre ces deux scénarios se réduit à chaque lancement d'un nouveau modèle.
La sécurité a déjà connu des points d'inflexion. Internet a transformé la surface d'attaque. Le cloud a modifié l'échelle. Celui-ci change la nature de l'attaquant. Il ne s'agit pas d'un nouvel outil aux mains d'un acteur connu, mais d'une nouvelle catégorie d'acteur dépourvue des attributs qui rendent les attaquants prévisibles : la persistance, l'identité, la continuité, l'intention. Toute la discipline de la sécurité offensive suppose un adversaire. Nous allons devoir sérieusement réfléchir à ce que signifie se défendre contre des comportements qui émergent en l'absence de ce dernier.
Les rapports d'incidents sont là et commencent à s'accumuler rapidement.
