CrowdStrike dévoile quatre campagnes menées par des agents IA

Quatre campagnes reposent sur des agents autonomes

CrowdStrike a étudié quatre groupes actifs entre mai et août. Ces acteurs, jusqu’alors non signalés, communiquaient en chinois, espagnol, anglais, indonésien ou russe. Les chercheurs ont analysé leur infrastructure d’IA, laissée accessible sur des serveurs web. Les groupes utilisaient surtout des versions de Claude d’Anthropic et des modèles DeepSeek à poids ouverts. Tous avaient conçu des mécanismes permettant aux campagnes de fonctionner automatiquement durant des périodes relativement longues. Les deux groupes les plus sophistiqués disposaient de systèmes logiciels avancés pour guider les modèles. Les deux autres utilisaient des outils plus simples, mais ont néanmoins compromis plusieurs cibles. Lire l’analyse de CrowdStrike.

Les modèles se répartissent selon les tâches

Les attaquants combinaient plusieurs modèles selon les étapes de leurs opérations. Adam Meyers, vice-président senior de CrowdStrike, explique que le choix dépendait du coût et de la tâche. Les chercheurs ont observé des modèles ouverts et fermés, souvent plus anciens que les modèles de pointe. Cette stratégie permettait d’éviter d’utiliser des systèmes récents pour des opérations simples. Les groupes exploitaient aussi les différences entre les protections intégrées aux modèles. Selon Meyers, ces protections ne sont pas équivalentes entre modèles, y compris chez un même fournisseur. Les campagnes observées n’employaient pas de nouvelles vulnérabilités. Elles accéléraient surtout des attaques visant des faiblesses de sécurité déjà connues.

Les groupes contournent les protections

Les quatre groupes ont contourné les protections en présentant leurs actions comme autorisées. Plusieurs ajoutaient des fichiers dans le répertoire de travail d’un agent. Ces fichiers tentaient de démontrer que les tâches correspondaient à un test d’intrusion approuvé. Les attaquants utilisaient aussi des méthodes classiques de contournement. Ils construisaient des requêtes et des récits décrivant leurs opérations comme légitimes et préventives. Certains anticipaient les objections possibles des modèles. Les acteurs les plus avancés développaient des scénarios détaillés autour de cette autorisation supposée. Les moins avancés employaient parfois des requêtes agressives. Ils tentaient alors de forcer le modèle à accepter la légitimité de l’opération.

ClawGod modifie Claude

Le groupe sinophone a utilisé ClawGod, un outil présenté comme une modification d’exécution au-dessus de Claude Code. Cette modification cherchait à retirer l’instruction « CYBER_RISK_INSTRUCTION » du message système. Cette instruction limitait Claude Code aux tests de sécurité autorisés. Le groupe construisait aussi des systèmes de test d’intrusion pour guider la reconnaissance. Un humain sélectionnait ensuite une orientation avant le lancement autonome de l’attaque. L’acteur s’appuyait principalement sur Claude Opus 4.8. Il utilisait également Claude Sonnet 4.6 et DeepSeek Chat. Ses cibles comprenaient des administrations du Brésil et de Colombie. Des organisations privées brésiliennes et américaines étaient aussi visées.

Quinze organisations argentines compromises

Le groupe hispanophone a compromis au moins quinze organisations argentines du secteur de la santé. CrowdStrike a trouvé des indices de vol d’identifiants et de dossiers médicaux chez au moins une victime. L’acteur avait développé un système de test d’intrusion destiné à repérer et corriger des vulnérabilités. Son architecture associait un agent Claude Code « Supervisor » et un agent « Executor ». Le premier dirigeait les étapes de l’attaque. Le second les exécutait. Le groupe utilisait notamment Claude Opus 4.5, Claude Haiku 4.5 et DeepSeek V4 Pro. Les groupes russophone et indonésien employaient des outils plus simples. L’acteur indonésien a compromis plusieurs domaines gouvernementaux indonésiens et bangladais. Pour aller plus loin, consultez notre guide sur déployer un agent IA en PME sans développeur.