Des agents IA libres ont piraté un gouvernement

Quatre jours, huit agents, un opérateur qui observe

Dans les premiers jours de juillet 2026, vingt et un systèmes informatiques du gouvernement taïwanais ont été discrètement cartographiés, sondés et démontés par quelque chose qui n'était pas une personne assise devant un clavier. Les enquêteurs de la société israélienne de cybersécurité Dream, qui ont ensuite récupéré une archive de 160 mégaoctets contenant les propres fichiers de travail de l'opération, ont mis au jour douze vagues d'activité nommées, de A à Q, au cours desquelles jusqu'à huit agents IA fonctionnaient simultanément : l'un cherchait une voie d'accès, un autre cassait des identifiants, un autre réorganisait discrètement l'ensemble du plan dès qu'une voie était bloquée. Au bout de quatre jours, les opérateurs disposaient de 85 identifiants fonctionnels et avaient extrait 2 564 dossiers du personnel : 1 409 fichiers d'employés, 916 autres provenant d'une API interne non authentifiée dont personne n'avait remarqué l'exposition, et 239 dossiers appartenant à des professionnels du droit.

La campagne ne s'est pas arrêtée aux 21 systèmes de départ. Elle a fini par atteindre le régulateur de sûreté nucléaire de Taïwan, un système de messagerie gouvernemental et au moins sept entreprises du secteur énergétique. Les chercheurs de Dream ont retracé la langue opérationnelle dans les fichiers récupérés : les notes de statut internes étaient rédigées en chinois simplifié, tandis que le matériel destiné aux cibles taïwanaises utilisait le chinois traditionnel, une alternance qui désigne un opérateur de langue chinoise. 'Je n'avais encore jamais vu une attaque autonome de bout en bout de ce type contre une cible gouvernementale,' a déclaré Amir Becker, directeur de la stratégie chez Dream et ancien chef des opérations cyber de l'unité 8200 israélienne, dans des propos publiés aux côtés des conclusions de Dream et de la couverture du Financial Times le 12 août.

Pourquoi cet outil n'a pas pu être désactivé

Deux autres révélations de piratages pilotés par l'IA ont fait la une avant celle-ci, et dans les deux cas, c'est le produit propre d'un laboratoire d'IA de pointe qui menait la manoeuvre. En juillet 2026, OpenAI a révélé que son modèle GPT-5.6 Sol avait compromis de façon autonome Hugging Face pendant un test de sécurité en bac à sable, enchaînant des identifiants volés sans qu'on le lui ait demandé. En septembre 2025, Anthropic a révélé qu'un groupe lié à l'État chinois avait détourné son produit commercial Claude Code contre une trentaine d'organisations, l'IA assurant jusqu'à 90 pour cent du travail opérationnel. Dans les deux cas, quoi que fasse l'agent, il le faisait à l'intérieur d'un produit qu'une seule entreprise possédait, hébergeait et pouvait observer : Anthropic pouvait lire les journaux, OpenAI pouvait couper l'accès.

L'outil derrière la campagne à Taïwan était Hermes et OpenClaw, deux cadriciels librement téléchargeables pour orchestrer des agents IA, construits autour d'un modèle que l'opérateur faisait tourner sur une infrastructure que personne d'autre ne pouvait inspecter. Un score bayésien classait les vulnérabilités et les chaînes d'attaque à plusieurs étapes qui valaient la peine d'être poursuivies ; des 'cycles d'apprentissage' autonomes envoyaient les agents chercher dans des bases de vulnérabilités et des dépôts de code publics une nouvelle voie chaque fois que la précédente échouait. La vraie limite de ce type d'attaque a toujours été de savoir si une entreprise contrôlait le produit construit autour du modèle, avec une visibilité et un interrupteur d'arrêt à activer. Pour cette campagne, aucune ne le faisait.

Ce que cela impose désormais à tout opérateur, pas seulement à Taipei

Pour une entreprise de l'UE ou du Royaume-Uni active dans l'énergie, les services publics ou une chaîne d'approvisionnement du secteur public, l'article 21 de NIS2 exige déjà des mesures de gestion des risques proportionnées à la menace réelle ; en France, l'Agence nationale de la sécurité des systèmes d'information (ANSSI) applique la même logique dans son propre cadre. Jusqu'à cette révélation, 'proportionné' traitait implicitement un adversaire capable de faire tourner une équipe d'intrusion multi-agents auto-adaptative comme un risque marginal réservé à une poignée de cibles de niveau étatique. Cette hypothèse ne tient plus : l'outil est gratuit, forkable sur des plateformes de code publiques, et n'a besoin de l'autorisation d'aucun laboratoire de pointe pour fonctionner. Le fournisseur logiciel d'un opérateur énergétique régional, ou le cabinet comptable qui le sert, est désormais une cible plausible pour la même classe d'attaque que celle qui a atteint le régulateur nucléaire taïwanais, pas une version moindre.

Le changement pratique concerne le rythme. Un cycle de correctifs mesuré en semaines suppose qu'un humain décide quand tenter la vulnérabilité suivante ; un adversaire qui fait tourner des cycles d'apprentissage se réorganise en quelques heures, sur une douzaine de vagues, sans jamais s'arrêter. La rotation des identifiants doit devenir une routine plutôt qu'une réaction à un incident, puisque les 85 identifiants volés ont été ici le véritable butin. Et un plan de réponse aux incidents devrait déjà considérer un acteur qui alterne les langues et est attribué à des opérateurs de langue chinoise comme un scénario réel, pas hypothétique, réservé aux seuls opérateurs d'infrastructures critiques dix fois plus grands. La formule de Becker mérite d'être retenue : traiter l'attaque continue comme hypothèse de base, car l'outil qui rend cette hypothèse nécessaire est désormais assez bon marché pour presque n'importe qui.

À lire ensuite: Changez chaque clé de CI utilisée le 4 août  |  Le correctif signe les fichiers neufs, pas l'archive