Un chercheur de NorForge a observé, à partir du 2 octobre 2026, une vingtaine de consoles d’un moteur open source d’agents d’IA offensifs exposées sans authentification, et utilisées pour des intrusions réelles contre des sites marchands. Cette analyse s’adresse aux auditeurs, RSSI et responsables sécurité : mode opératoire, correspondance avec MITRE ATT&CK, détection, questions d’audit ISO 27001 et pistes de sensibilisation. Elle repose sur le rapport du chercheur et sur la presse : les données effectivement volées, l’identité des opérateurs et la manière dont les victimes auraient pu détecter l’attaque ne sont pas documentées.
Pour une lecture orientée dirigeant, voir notre décryptage « Des agents d’IA lâchés sur les sites web d’entreprises : ce que révèle leur tableau de bord ».
Contexte
- Source : rapport de NorForge publié le 19 octobre 2026, fondé sur l’observation directe de consoles laissées ouvertes ; enquête de Reuters ; synthèse de The Hacker News du 20 octobre (NorForge, 19 octobre 2026 ; The Hacker News, 20 octobre 2026).
- Outil : moteur open source qui fait progresser des agents d’IA d’un point de départ vers un objectif. Les agents publient faits et intentions sur un tableau commun, où l’opérateur peut ajouter des indices. Conçu pour des tests d’intrusion autorisés ; son auteur dit ne pas avoir voulu d’usage malveillant.
- Acteurs : trois groupes selon NorForge. Le premier (sinophone, 14 consoles, plus de 1 100 projets, confiance élevée) recherche un accès durable à des sites marchands et de paiement (États-Unis, Japon, Australie, Canada). Le deuxième (anglophone, 10 consoles) vise le vol de cartes bancaires et de cryptomonnaies. Le troisième (une console) est jugé malveillant avec une confiance faible. Motivation financière ; aucun indice d’activité étatique.
- Victimes : plus de 100 entreprises atteintes selon Reuters. Deere et SharkNinja ont reconnu auprès de Reuters un incident décrit comme limité. NorForge a vérifié lui-même deux compromissions chez des distributeurs américains, non nommés.
- Campagne voisine : Gambit Security avait décrit en septembre une campagne contre des places de marché en ligne utilisant le même outil ; aucun lien n’est établi entre les deux.
Mode opératoire : ce qui est documenté et ce qui ne l’est pas
| Étape | Ce qui est rapporté | Correspondance MITRE ATT&CK (notre lecture) |
|---|---|---|
| Sélection des cibles | Chaîne automatisée : sites marchands réels classés par trafic (200 000 à 1,5 million de visites), vérification par navigateur automatisé qu’une commande peut être passée | T1594 Search Victim-Owned Websites ; T1595.002 Active Scanning: Vulnerability Scanning |
| Moyens | Agents pilotés par un modèle de langage peu coûteux, environnement réutilisé d’une compétition de type CTF, outils classiques de reconnaissance et de génération de charges | T1588 Obtain Capabilities |
| Accès initial | Recherche d’une exécution de code sans authentification : injection SQL sur la connexion, points d’accès non authentifiés, envoi de fichiers, désérialisation, contournement d’authentification, prise de contrôle de compte | T1190 Exploit Public-Facing Application |
| Exemple documenté n° 1 | Écriture non autorisée dans un magasin de sessions, puis désérialisation PHP non sûre et chaîne d’objets dans un composant Zend Framework ancien | T1190 Exploit Public-Facing Application |
| Exemple documenté n° 2 | Paramètre de cookie permettant de choisir le serveur applicatif vulnérable derrière la répartition de charge (très grand distributeur, compromission vérifiée par NorForge) | T1190 Exploit Public-Facing Application |
| Persistance | Formulaire d’envoi de fichiers (pas de shell de commande) déposé dans un dossier caché, sous un nom banal ; remplaçable à tout moment par un outil plus dangereux | T1505.003 Server Software Component: Web Shell ; T1036.005 Masquerading: Match Legitimate Name or Location |
| Objectif | Premier groupe : stock d’accès pour une monétisation ultérieure ; deuxième groupe : vol de données de paiement et de cryptomonnaies | T1657 Financial Theft (deuxième groupe) |
| Exfiltration | Non documentée | Non déterminable à ce stade |
Faits techniques connus sur l’efficacité
- Taux de réussite : environ 10 % tous groupes confondus, nombre de projets atteignant des objectifs partiels.
- Durée : un peu moins de 23 heures en moyenne pour atteindre le but chez le premier groupe, environ 140 « faits » par projet ; un projet a duré plus de cinq jours.
- Coût : environ 5 dollars par tâche selon NorForge, avec une incertitude importante ; environ 5 000 dollars pour toute la campagne selon le chercheur cité par Reuters.
- Exposition des secrets des victimes : les consoles ouvertes contiennent les identifiants et clés découverts ou fournis par l’opérateur. Un outil de détection de secrets en a relevé des centaines, dont 11 % encore valides. Des sociétés de tests d’intrusion légitimes exposaient de la même façon les tests de leurs clients.
Ce qu’on ne sait pas
- Les données volées, s’il y en a, et le nombre d’accès persistants encore en place.
- L’identité des opérateurs, au-delà de la langue utilisée et des hébergeurs choisis.
- Le modèle d’IA exact : le nom des agents évoque un modèle chinois peu coûteux piloté par un outil de développement, sans confirmation ni par le chercheur ni par Reuters.
Détection : pourquoi les victimes n’ont rien vu
- Origine de la découverte : une recherche sur Internet, par un chercheur, des consoles de pilotage exposées. Les victimes ont été prévenues par NorForge et Reuters ; rien n’indique une détection de leur côté.
- Discrétion du dépôt : un simple formulaire d’envoi de fichiers, sans exécution de commande, au nom anodin, dans un dossier caché. Il ne déclenche pas les signatures qui cherchent des shells de commande.
- Bruit de fond : les tentatives des agents ressemblent au balayage permanent que subit tout site exposé, et les échecs (environ neuf sur dix) passent pour des erreurs ordinaires.
- Ce qui reste observable : fichiers PHP nouveaux ou modifiés hors déploiement (contrôle d’intégrité de l’arborescence) ; formulaire d’envoi de fichiers inattendu ; série d’erreurs applicatives sur les mêmes fonctions (connexion, envoi, désérialisation) ; sessions anormales ; composants obsolètes repérables par simple inventaire.
Questions d’audit ISO 27001:2022
- A.5.9 et A.8.8 (inventaire des informations et autres actifs associés, gestion des vulnérabilités techniques) : « Pouvez-vous présenter la liste de tous les sites et applications web exposés sur Internet, y compris les sites secondaires, de support ou gérés par un prestataire, avec leurs composants et versions ? Comment les composants obsolètes sont-ils repérés et traités, et dans quel délai ? »
- A.8.16 et A.8.15 (activités de surveillance, journalisation) : « Comment seriez-vous alertés de l’apparition d’un nouveau fichier exécutable dans l’arborescence d’un site web en production ? Montrez-moi la dernière alerte de ce type et son traitement. »
- A.8.26, A.8.28 et A.8.29 (exigences de sécurité des applications, codage sécurisé, tests de sécurité dans le développement et l’acceptation) : « Les fonctions d’envoi de fichiers, de connexion et de gestion de session de vos applications web ont-elles été testées ? Les écarts relevés ont-ils été suivis jusqu’à leur correction ? »
- A.5.20 et A.8.34 (sécurité dans les accords avec les fournisseurs, protection des systèmes d’information pendant les tests d’audit) : « Le contrat de vos tests d’intrusion précise-t-il où et comment le prestataire stocke les résultats et les secrets découverts, et quand ils sont détruits ? Avez-vous vérifié que ses outils de pilotage ne sont pas accessibles depuis Internet ? »
Pistes de sensibilisation
- Pour les équipes web et les prestataires : atelier « Le site oublié ». Recenser ensemble tous les sites exposés (anciens sites de campagne, sites de support, environnements de test), et vérifier pour chacun le responsable, la date de dernière mise à jour et la surveillance des fichiers. Supports : les 10 mesures essentielles de Cybermalveillance.gouv.fr et le retour d’expérience du CERT-FR sur les violations de données applicatives.
- Pour les dirigeants : « L’IA ne se fatigue pas ». Dix minutes pour présenter les chiffres du cas (une réussite sur dix, quelques dollars par tentative) et en tirer la conclusion : la discrétion d’un petit site ne le protège plus. Pour ouvrir la discussion sur l’IA côté entreprise, la fiche « Utiliser l’IA, conseils pour les particuliers et les professionnels » de Cybermalveillance.gouv.fr.
À lire aussi : notre décryptage pour les dirigeants, « Des agents d’IA lâchés sur les sites web d’entreprises : ce que révèle leur tableau de bord », et le bulletin de veille du 21 octobre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.