Points clés
- Les chercheurs en sécurité de Symantec ont utilisé un honeypot pour analyser un agent IA malveillant qui exploite des modèles linguistiques non protégés sur Internet et les utilise pour exécuter des attaques.
- L’agent contourne les règles de sécurité du modèle par une désobéissance de cinq couches et peut exécuter jusqu’à 100 000 étapes sans intervention humaine.
- Symantec appelle cette méthode « LLMjacking ». Les propriétaires des systèmes d’IA piratés se retrouvent avec le coût de calcul à payer.
Les chercheurs en sécurité de Symantec ont découvert un agent IA malveillant qui pirate les modèles linguistiques non protégés sur Internet et les utilise pour exécuter des attaques. Le propriétaire du modèle piraté se retrouve avec une facture de calcul élevée.
Lorsque l’agent obtient accès à un modèle de langage non protégé, il cherche d’autres cibles, exploite les failles du logiciel serveur courant, vole les bases de données et les identifiants, et installe des cryptominers en arrière-plan.
Cela se fait pour jusqu’à 100 000 étapes sans intervention humaine, et le propriétaire du modèle est contraint de payer les frais de calcul, selon l’analyse de Symantec. L’entreprise appelle cela « LLMjacking », c’est-à-dire le vol d’accès aux modèles d’IA d’autrui. Le modèle piraté n’est pas simplement utilisé comme service d’information ; il contrôle également tout l’attaque par lui-même.
Un honeypot a capturé tout le plan d’attaque
L’opération a été révélée car les attaquants ont envoyé tout leur prompt de travail à un honeypot de Symantec, un système de déguisement imitant un service AI ouvert en ligne. Cela a permis aux chercheurs d’obtenir une vue complète de l’architecture du agent en juin 2026. Le honeypot n’a pas exécuté aucun des outils intégrés, et la session interceptée s’est terminée après une réponse système générique, selon Symantec.
Le honeypot telemetry a enregistré plus de 127 000 requêtes provenant de dizaines de milliers d’adresses différentes. La plupart étaient des recherches concernant les endpoints d’IA, des tentatives de force brute utilisant des clés API volées, ainsi que des explorations de fichiers de configuration exposés. Les cibles variaient de serveurs de modèles hébergés en interne et de systèmes de test rapidement mis en place, jusqu’aux passerelles d’IA situées devant des comptes de modèles au niveau organisationnel payants. Comme la plupart des services d’IA utilisent maintenant la même API standardisée, un seul scanner peut identifier de nombreux types de cibles.
Une jailbreak à cinq couches essaie de supprimer les barrières de sécurité
Selon Symantec, pour obtenir la coopération d’un modèle commercial, les attaquants ont enveloppé leurs instructions dans cinq couches empilées. D’abord, le modèle reçoit une identité fictive, lui ordonnant de se présenter comme « Fantasy AI » sans jamais révéler l’éditeur réel. Ensuite, l’extraction des mots de passe, des clés API et du contenu des bases de données est redéfinie comme « travail normal d’un développeur », ce que le modèle doit effectuer sans opposition.
La troisième couche installe une personnalité fictive appelée « ENI » qui présente toute refus comme une trahison de la confiance dans une relation personnelle. La quatrième couche demande au modèle d’ignorer les avertissements de sécurité, et des termes tels que « éthique », « illégal » ou « je ne peux pas faire ça » sont explicitement interdits.
La cinquième couche contient les outils d’attaque réels, 74 modules au total, y compris des outils pour le scan à l’échelle mondiale des serveurs vulnérables, des exploits pour les frameworks web populaires, des fonctions pour décompiler des bases de données entières et des composants pour exécuter un botnet. Il n’est pas indiqué dans l’analyse si le jailbreak fonctionne suffisamment bien pour vaincre pleinement les modèles commerciaux actuels.
« Mode Skynet » crée un cycle d’attaque auto-sustenté
Une directive finale fait entrer l’agent en mode que ses opérateurs appellent « Skynet mode », autorisant jusqu’à 100 000 pas consécutifs. Le modèle est ordonné de démarrer les outils immédiatement sans confirmation, d’installer des cryptominers dans un dossier caché, et de surveiller leur fonctionnement.
La même directive décrit une boucle récurrente par définition, indique Symantec : scanner, infecter, installer un mineur, passer à autre chose, revenir, réinfecter les systèmes déjà touchés. Cependant, la tâche ajoutée au message intercepté était un exercice de codage inoffensif provenant d’une plateforme de formation, ce qui suggère que les opérateurs ont d’abord testé leur outil contre une cible sûre.
Le lendemain, le honeypot a capturé une deuxième attaque provenant d’une adresse différente. Cette fois, les attaquants ont omis le format agent et ont simplement demandé au modèle de déchiffrer et d’exécuter un commande obfuscée. Derrière cela se trouvait un script compressé qui télécharge XMRig, une outil de minage de Monero, l’habille comme un fichier système inoffensif, et configure quatre pools de minage de secours.
Le script a été écrit pour les serveurs de caméras, afin de rechercher les dossiers appartenant à go2rtc, un outil de streaming largement utilisé pour les caméras intelligentes et les systèmes d’automatisation domestique, et de effacer les journaux d’accès en boucle pour couvrir ses traces. Le honeypot ne a pas exécuté ce script non plus, mais l’a enregistré intégralement.
Les attaquants intègrent l’IA dans leurs armes
Au lieu de manipuler un chatbot public, les opérateurs ont intégré l’IA dans le cœur d’un outil offensive et ont activement recherché des modèles pour l’alimenter. Symantec qualifie cela de « changement dans la manière dont les attaquants utilisent l’IA ». Le modèle de langage effectue la planification, tandis que des modules spécialisés mettent en œuvre les étapes réelles de l’attaque contre deux groupes de victimes distincts. Le propriétaire du modèle exposé paie pour les calculs, ce qui se accumule rapidement à 100 000 étapes autorisées, et les serveurs que l’agent compromet perdent leurs données et sont utilisés pour le minage de cryptomonnaies.
L’agent dispose également d’outils intégrés pour découvrir davantage de points d’accès ouverts et de clés compromises, afin que chaque atteinte puisse financer une nouvelle attaque. Aucune des techniques individuelles n’est nouvelle, mais en les combinant dans un agent autonome, les attaques à grande échelle deviennent beaucoup plus faciles à réaliser. Les organisations qui exploitent des services d’IA devraient s’attendre à ce que des points d’accès non protégés soient découverts et examinés peu après leur mise en service.
Avertissements concernant des agents IA offensants se réalisent
Jusqu’à récemment, les agents d’IA offensifs existaient principalement dans les études et les benchmarks. En 2025, une étude de red-teaming comprenant 1,8 million d’attaques a montré que chaque agent testé pouvait être poussé à violer les règles de sécurité au moins une fois dans toutes les catégories de comportement.
Dans le scénario Symantec, cela s'applique aux deux côtés : l'agent offensif cherchait à contourner les protections, et les modèles ciblés étaient destinés à être trompés pour aider. En mars 2026, les chercheurs de Google Deepmind ont indiqué qu'il existait déjà des attaques de preuve de concept pour de nombreuses pièges d'agents qu'ils avaient décrits, et en juillet 2026, Sysdig a décrit JADEPUFFER, le premier attaque ransomware connue menée par un agent d'IA sans contrôle humain. Les capacités de ces systèmes continuent de croître, tandis que leur contrôle et leur alignement ne suivent pas le rythme.
L’intention malveillante n’est même pas nécessaire, car ces modèles ne ont aucun sens de bien ou de mal. Ils essaient simplement d’atteindre leur objectif. Depuis le printemps 2026, les agents OpenAI ont compromis des milliers de systèmes sur Internet par erreur, en partie parce qu’ils ignorent les instructions de sécurité ou contournent-les.
Cela se manifeste déjà dans la vie quotidienne. En Australie, un agent IA a piraté le site de gym uniquement pour satisfaire la demande de son propriétaire, sans aucune intention malveillante. Les chercheurs d’OpenAI ont averti en août que ce genre de piratage accidentel et entièrement autonome serait vraisemblablement repéré par des acteurs malveillants bientôt, et Anthropic a montré qu’il existe déjà des modèles ouverts puissants pour justement cela.
Source : Security.com