Andy Garcia · dev freelance
FRENES
Retour au blog
Sécurité

Les agents IA d'un hacker ont pénétré les sites de plus de 100 entreprises, à environ 50 $ pièce. Les tableaux de bord ouverts ont aussi fuité les secrets des cibles

19 octobre 2026 8 min de lecture

Le lundi 19 octobre, Reuters a rapporté qu'un hacker sinophone avait pénétré les sites web de plus de 100 entreprises, dont le fabricant de matériel agricole Deere, le fabricant d'électroménager SharkNinja et le fabricant de moteurs Cummins, en ne faisant presque rien lui-même. Ce sont des agents IA qui ont fait le travail. Le récit vient de Snorre Fagerland, chercheur chez la société de sécurité NorForge, qui a publié le même jour son rapport « Inside Cairn ».

Fagerland a trouvé la campagne en scannant Internet à la recherche de panneaux de contrôle exposés de Cairn, une plateforme open source qui met des agents IA au travail sur un problème, d'un point de départ jusqu'à un objectif. Il s'est mis à chercher après que Gambit Security a signalé en septembre une campagne d'intrusion dont le serveur de préparation contenait Cairn parmi d'autres harnais d'agents. Plus de 20 des panneaux qu'il a trouvés étaient probablement malveillants, et ils semblaient totalement non protégés.

J'orchestre mon propre travail avec Claude Code, et le nom du worker au centre de ce rapport commence par « claudecode ». Je l'ai donc lu deux fois : une fois en tant que quelqu'un qui a des pages web à défendre, une fois en tant que quelqu'un qui fait tourner des agents.

Ce que disent les entreprises

Les déclarations sont prudentes et méritent d'être lues telles quelles. Deere a dit à Reuters avoir pris des « mesures correctives nécessaires » et n'avoir « aucune indication que des informations sensibles ont été consultées ». SharkNinja a dit que le piratage avait touché un site autonome ne contenant que des informations de support produit et que la menace avait été contenue. Cummins a dit « enquêter sur le signalement d'une cyberattaque potentielle sur un site web exploité par l'un de nos prestataires tiers ». Deux entreprises plus petites ont reconnu avoir été compromises ; les autres victimes n'ont pas répondu aux messages. Reuters n'a pas pu établir quelle quantité de données, le cas échéant, a été prise.

Le rapport de NorForge ne nomme aucune victime. Reuters les a identifiées en examinant de façon indépendante l'activité du hacker sur les panneaux exposés.

Deux des trois déclarations nommées pointent vers la périphérie de l'entreprise : un site de support autonome, un site exploité par un prestataire. Le 14 octobre, j'ai publié un article sur les piratages des prêteurs coréens, où les enquêteurs disaient qu'un humain tenait encore les commandes et que les portes d'entrée étaient des portails d'employés et de partenaires. Même périphérie. Ici, selon Fagerland, le hacker n'a presque rien fait lui-même.

L'arithmétique

NorForge répartit ce qu'il a vu en clusters. Le cluster en chinois, qu'il appelle AIA0001, était de loin le plus actif : plus de 1 100 projets d'attaque sur 14 panneaux. Selon Reuters, la campagne a commencé le 25 septembre contre des sites e-commerce aux États-Unis, au Canada, en Australie et au Japon, et à la fin de la semaine précédant la publication, ses agents avaient essayé plus de 1 200 sites.

Trois chiffres du rapport font l'essentiel du travail.

Environ 5 $ par tâche en moyenne, en comptant les tentatives qui ont échoué ou se sont arrêtées tôt. Les longs projets pouvaient dépasser 100 $, et NorForge écrit que « l'incertitude est toutefois considérable ».

Environ 10 % de taux de réussite moyen sur les harnais qu'il a observés, beaucoup des autres tâches atteignant des objectifs partiels ou collectant des informations pour des tentatives ultérieures.

Un peu moins de 23 heures en moyenne entre le départ et l'objectif pour les projets AIA0001 réussis, avec environ 140 faits consignés par projet. L'un a tourné plus de cinq jours.

Divise le premier par le deuxième : 5 $ / 0,10 = 50 $ par succès. C'est le chiffre donné par Fagerland à Reuters, avec un total d'environ 5 000 $ de tokens pour la campagne. Et 5 000 $ / 50 $ = 100 succès, en ligne avec « plus de 100 entreprises ». C'est approximatif par construction, puisque NorForge dit que ses clusters ne sont pas directement comparables, mais les estimations se tiennent.

Pour un défenseur, la lecture utile est la lecture marginale. Ajouter ton site de support oublié à cette file coûte à l'attaquant environ 5 $. Fagerland a dit à Reuters qu'il pensait que les agents de piratage auraient encore besoin d'une certaine supervision, et que la technologie avait manifestement dépassé ce stade.

Le brief, lu de près

Le rapport cite une tâche AIA0001 typique. Les cibles sont des « sites de shopping/e-commerce réels confirmés » dans quatre pays, avec un trafic entre 200 000 et 1,5 million, et « Playwright a vérifié que des commandes peuvent être passées ». L'objectif est l'exécution de code à distance sans authentification. Les priorités : « injection SQL au login, endpoints non authentifiés, uploads de fichiers, désérialisation, contournement d'authentification, prise de contrôle de compte ».

Puis la charge utile : un shell d'upload, un formulaire HTML d'envoi qui enregistre des fichiers, « explicitement pas un webshell qui exécute des commandes ». Cette ligne compte plus qu'il n'y paraît. Un formulaire qui ne fait qu'enregistrer des fichiers est plus discret qu'un shell qui exécute des commandes, et NorForge note que les attaquants « peuvent à tout moment le transformer en quelque chose de plus malveillant ». Il a vérifié une tâche terminée contre un grand vendeur de pièces de quincaillerie, et l'URL du shell servait bien un uploader. D'après l'explication de l'agent lui-même, l'entrée combinait un accès en écriture à un stockage de sessions memcached, une désérialisation d'objets PHP non sécurisée et une chaîne de gadgets dans des composants Zend Framework anciens.

La boîte à outils que NorForge a vue dans un répertoire de travail exposé correspond à ce brief : PHPGGC pour les charges de désérialisation PHP, un labo Docker pour Magento Open Source 2.4.9, des artefacts Odoo, Nmap, ffuf, OWASP Amass. Cette équipe était outillée pour les plateformes de commerce, celles en PHP surtout.

Être une cible peut déjà être une fuite

L'article de Reuters n'aborde pas cette partie. Les panneaux ne montraient pas seulement qu'un site était testé. Ils montraient tout ce que les agents découvraient en chemin, plus des entrées d'opérateur incluant des identifiants récoltés ailleurs. NorForge a passé le scanner de secrets TruffleHog sur les données et a trouvé « littéralement des centaines de secrets », dont 11 % vérifiés valides. Sa conclusion : « faire tester ton site sur une instance Cairn ouverte est souvent un grave problème de sécurité, quel que soit le résultat du test ».

Les tentatives qui ont échoué n'étaient donc pas inoffensives. Si ton site figurait sur l'un de ces panneaux, ce que les agents ont trouvé à son sujet était exposé à quiconque tombait sur le panneau, pas seulement à l'attaquant.

Le travail légitime a fuité de la même façon. NorForge a trouvé des missions de red team apparemment authentiques sur des panneaux non sécurisés, « mettant potentiellement des clients en danger ». Si tu achètes des tests d'intrusion, c'est désormais une question d'achat.

Les panneaux semblaient aussi exposer des commandes d'administration complètes : démarrer et arrêter des projets, insérer des données, rediriger les agents vers d'autres cibles. NorForge n'a pas testé si ces commandes fonctionnaient sans autorisation, « pour des raisons assez évidentes ».

Le harnais et le modèle

D'après ce que NorForge a vu, chaque tâche AIA0001 tournait sur un worker nommé « claudecode_deepseek-v4.1-flash ». NorForge dit que cela « pourrait signifier » un harnais Claude Code utilisant le modèle 4.1 Flash de DeepSeek. Reuters décrit la campagne comme semblant utiliser un mélange de DeepSeek et de Claude Code d'Anthropic. AIA0002, un cluster en anglais centré sur le vol financier, nommait ses workers « pi_openrouter_deepseek ».

La plomberie de la première lecture est publique. La documentation de l'API de DeepSeek a une section sur l'usage de ses modèles dans Claude Code via un endpoint compatible Anthropic. Une mise à jour de tâche d'agent citait aussi un fichier de skill à « .claude/skills/tsec-actions/SKILL.md », l'arborescence de skills de projet que décrit la documentation de Claude Code. NorForge y voit une configuration issue d'un framework de compétition de capture the flag, réutilisée par des criminels, et ne voit aucune raison de penser que l'organisateur de la compétition était impliqué.

Ce que j'en retiens : le harnais est une commodité, le modèle est une ligne dans un fichier de configuration, et une configuration de compétition est devenue une configuration d'intrusion en changeant le brief. Les garde-fous d'aucun éditeur de modèle ne couvrent toute cette pile. La défense doit être de ton côté.

Ce que je vérifierais

Les sites à ton nom que tu n'exploites pas. Sites de support, pages de campagne, portails gérés par des prestataires. Pour chacun : qui le met à jour, à quelle vitesse, et qui répond quand un chercheur ou un journaliste t'écrit.

Ce que l'application croit sans vérifier. Stockages de sessions, caches, répertoires d'upload. Rien d'extérieur à l'application ne devrait pouvoir y écrire.

Le shell qu'ils ont demandé. Cherche de nouveaux fichiers PHP dans les répertoires web, surtout des formulaires d'upload. Un autre cluster demandait à ses agents de cacher le shell au fond de l'arborescence sous un nom ordinaire, avec « confirm.php » comme exemple.

Les secrets après un presque-incident. Si tu apprends que tu étais une cible, change les clés même si rien n'est entré. Le panneau a peut-être publié ce que l'agent a trouvé.

Le panneau de ton prestataire de pentest. Demande où tourne son panneau de contrôle d'agents, qui peut y accéder, et ce qu'il advient des secrets qu'il collecte. Mets la réponse dans le contrat.

Tes propres agents. Si tu en fais tourner, comme moi avec Claude Code, la leçon vaut dans les deux sens. Un tableau de bord qui montre ce qu'un agent a trouvé, ou qui permet de le piloter, demande une authentification, et les secrets n'ont pas leur place dans les notes partagées d'un agent.

Les attaquants ont automatisé l'intrusion et laissé leurs propres tableaux de bord ouverts. Selon l'estimation de NorForge, un essai sérieux sur ton site oublié coûte désormais environ cinq dollars et un succès environ cinquante, et la défense la moins chère reste de savoir que ce site existe.

Sources

Un projet du même genre ?

Je conçois et déploie des produits comme celui-ci. Parlons-en.

Discutons