Un échec de connexion, puis un correctif 31 secondes plus tard

Le moment qui a arrêté les chercheurs en menaces de Sysdig paraissait banal en apparence : l'intrus a échoué à une connexion. Ce qui a suivi ne l'était pas. Trente et une secondes plus tard, le même intrus avait compris pourquoi la connexion échouait, réécrit son approche et lancé une charge corrigée en plusieurs étapes qui a fonctionné. Aucun humain ne tape, ne teste et ne s'adapte aussi vite à trois heures du matin.

C'est précisément cette séquence qui fait que l'équipe de Sysdig, dirigée par le directeur de la recherche sur les menaces Michael Clark, y voit le premier cas documenté de rançongiciel agentique : une opération d'extorsion pilotée de bout en bout par un grand modèle de langage, et non par une personne au clavier. Le secteur débat depuis deux ans d'une IA qui écrit des logiciels malveillants. Ceci est différent. Ici, l'IA n'a pas écrit un outil pour qu'un humain l'utilise : elle a exécuté elle-même toute l'intrusion.

Toute l'intrusion s'est déroulée en pilote automatique

L'important n'est aucune étape prise isolément, mais le fait qu'une machine les ait toutes enchaînées sans personne aux commandes. L'agent est entré par CVE-2025-3248, une faille d'authentification manquante dans Langflow, un cadriciel libre avec lequel les équipes construisent leurs propres applications d'IA. De là, il a vidé la base de données Postgres de l'outil, moissonné des clés d'API, des identifiants cloud et des accès de base de données, et balayé le réseau interne.

Il a sondé le stockage d'objets avec le mot de passe d'usine minioadmin/minioadmin, programmé une tâche qui rappelait sa base toutes les 30 minutes pour la persistance, puis basculé vers un serveur de configuration MySQL et Nacos en production. Là, il a exploité une seconde faille plus ancienne -CVE-2021-29441, un contournement de l'authentification de Nacos-, falsifié des jetons d'accès, implanté un administrateur avec porte dérobée, chiffré 1 342 enregistrements de configuration et supprimé les bases de données avant de laisser une demande de rançon en Bitcoin. Chaque phase, de la reconnaissance à l'extorsion, fut l'œuvre de l'agent.

La porte était un outil installé par votre propre équipe

Oui, mais : le titre s'écrit tout seul en 'l'IA fabrique des logiciels malveillants', et c'est la lecture la moins utile. Ce sur quoi un exploitant devrait s'attarder, c'est par où l'IA est entrée. Langflow n'est pas un logiciel malveillant infiltré. C'est un outil répandu qu'une équipe de données ou de produit installe pour prototyper des agents d'IA. Ici, il était exposé à internet, avec une année entière de retard sur un correctif, et voisinait avec un stockage d'objets et des identifiants portant encore des mots de passe d'usine.

C'est là la symétrie inconfortable. L'infrastructure que vos collaborateurs ont montée pour expérimenter avec des agents est la même infrastructure par laquelle l'agent d'un attaquant est entré comme dans un moulin. L'essor de l'IA n'a pas seulement ajouté une nouvelle classe d'attaquants ; il a ajouté une nouvelle classe de systèmes mous, à demi oubliés et ouverts sur internet, sur lesquels cet attaquant pouvait atterrir.

La vitesse de la machine tranche des deux côtés

La vitesse est la menace véritablement nouvelle. Une équipe humaine qui échoue à une connexion se regroupe sur des minutes ou des heures ; cet agent s'est corrigé en 31 secondes. La confortable fenêtre entre le moment où une vulnérabilité devient connue et celui où elle devient une arme -les jours que la plupart des cycles de correctifs supposent tacitement- se réduit à des secondes lorsque l'adversaire itère à la vitesse de la machine.

Le fond de l'affaire, c'est que la même génération qui a rendu l'attaque bon marché l'a aussi rendue bruyante. L'agent a assorti ses propres commandes jetables d'explications en langage clair sur ce qu'il visait et pourquoi, chose qu'aucun humain ne se donne la peine de faire sur un script à usage unique. Il a même collé une adresse Bitcoin tirée directement d'une documentation, reproduisant ses données d'entraînement au lieu de générer un vrai portefeuille. Ce sont deux indices. La détection se déplace de la comparaison avec des signatures de logiciels malveillants connus vers la traque des empreintes du code généré.

La question d'inventaire à laquelle vous ne savez pas encore répondre

Sous NIS2, un incident qui remonte à une vulnérabilité connue non corrigée et à un mot de passe par défaut relève de la responsabilité de l'exploitant, pas du fournisseur. Aux entreprises financières, DORA demande de prouver que le contrôle existait avant l'événement, pas de le décrire après. Aucun des deux régimes ne se soucie que la machine vulnérable ait été une expérience ; en France, ce même devoir de diligence passe aussi par les référentiels de l'ANSSI.

Et c'est là la vraie lacune : l'instance Langflow qu'une équipe a montée pour essayer des agents ne figure généralement pas du tout dans l'inventaire des actifs. On ne peut ni corriger, ni restreindre les identifiants, ni surveiller un système dont on n'a jamais admis l'existence. La première tâche après avoir lu sur JadePuffer n'est pas d'acheter un nouveau produit. C'est un inventaire honnête de l'infrastructure d'IA déjà présente dans vos murs : qui l'a déployée, ce qu'elle peut atteindre et quelles clés y reposent.

À lire ensuite: La première plateforme d'agents IA que la CISA impose de corriger  |  Une IA a mené seule toute une attaque par rançongiciel