/// Signal

Une réussite sur dix, cinq dollars la tâche : ce que les agents IA ont changé au piratage, c’est le prix

Le fait : le 19 octobre 2026, la société de sécurité NorForge a publié un rapport sur plus de vingt panneaux de contrôle du moteur open source Cairn trouvés ouverts sur l’internet, dont quatorze rattachés à un même acteur sinophone et totalisant plus de 1 100 projets d’attaque. Reuters, qui a lu le rapport avant publication, compte plus de 100 sites percés et a identifié plusieurs des victimes, dont John Deere, SharkNinja et Cummins. L’image que la presse a retenue est celle de l’armée d’agents ; les chiffres que le rapport met côte à côte disent autre chose : un taux de réussite estimé à environ 10 %, un peu moins de 23 heures par intrusion aboutie, et environ 5 dollars par tâche.

Ce que le rapport établit d’abord, et qui change la nature du sujet : NorForge n’a pas découvert l’affaire en analysant des serveurs compromis, mais en balayant l’internet avec Shodan et Censys à la recherche des interfaces web de ces moteurs d’agents. Le point de départ est un rapport de Gambit Security de septembre 2026, qui avait récupéré un serveur de préparation d’attaquant et y avait trouvé trois outils de ce genre — Hermes, Strix et Cairn. Plus de vingt panneaux ont ensuite été jugés probablement liés à une activité malveillante, répartis en trois grappes que le rapport numérote AIA0001 à AIA0003. La première, AIA0001, est sinophone : elle aligne quatorze panneaux et plus de 1 100 projets, ce qui en fait la plus active des trois, et NorForge la juge malveillante avec une confiance élevée. La deuxième, AIA0002, est anglophone, compte dix panneaux et parle explicitement de voler des cartes bancaires et des cryptomonnaies. La troisième n’expose qu’un panneau de 59 projets et n’est jugée malveillante qu’avec une confiance faible. Aucune activité étatique évidente, écrit le rapport : tout semble motivé par l’argent. La tâche typique de AIA0001 vise de vraies boutiques en ligne aux États-Unis, au Canada, au Japon et en Australie, avec un trafic de 200 000 à 1,5 million de visites, et déjà vérifiées avec Playwright pour s’assurer qu’on peut y passer commande. L’objectif est une exécution de code non authentifiée, et la charge utile demandée est un formulaire d’envoi de fichiers qui se contente d’enregistrer ce qu’on lui donne — « explicitly not a command-executing webshell ». NorForge a contrôlé une des intrusions revendiquées, chez un gros fournisseur de pièces détachées : l’adresse servait bien un tel formulaire. Reuters n’a pas pu établir ce qui avait été dérobé. John Deere affirme n’avoir « no indication that sensitive information was accessed », SharkNinja que la brèche touchait un site de support produit séparé et que la menace avait été contenue, et Cummins, par la voix de sa porte-parole Melinda Koski, qu’elle « is investigating the report of a potential cyber-attack on a website operated by one of our third-party vendors ».

Le chiffre qui dégonfle les gros titres est dans le rapport : The Next Web le reprend, avec sa réserve, au corps de son article ; ni RTÉ ni The Verge ne le portent, et aucun de leurs trois titres ne le mentionne. NorForge retient, en le présentant comme une hypothèse raisonnable, un taux de réussite moyen « hovering around 10% » : une bonne partie des autres tâches atteint des objectifs partiels ou récolte de l’information réutilisable plus tard. Sur AIA0001, la grappe la plus proche d’une intrusion classique, le temps moyen entre le lancement du projet et l’atteinte du but est « a little under 23 hours », avec 140 faits consignés par projet en moyenne et une dispersion large — un projet a tourné plus de cinq jours. Le coût, maintenant : environ 5 dollars par tâche en comptant les projets abandonnés ou interrompus, et plus de 100 dollars pour ceux qui dépassent 1 000 intentions et faits, avec une incertitude que le rapport qualifie lui-même de considérable. Reuters retient un autre chiffre, donné par Snorre Fagerland : environ 5 000 dollars de jetons, soit à peu près 50 dollars par piratage réussi. Les deux ne se contredisent pas, et le calcul se fait de tête : 5 000 dollars divisés par 5 dollars la tâche donnent 1 000 tentatives, et 10 % de réussite sur 1 000 tentatives donnent une centaine de succès, facturés 50 dollars pièce. Reste l’autonomie : Reuters rapporte que, selon Fagerland, les agents pouvaient mener des intrusions « from start to finish without human intervention », et The Verge écrit que cette armée « mostly operated on their own ». Fagerland, qui a passé près de trente ans dans la cybersécurité, résume : « It’s a new world now ». Le rapport ne divise pas lui-même ses 1 100 projets par son taux de réussite ; il prévient par ailleurs que les grappes ne sont pas comparables entre elles. Une chose est sûre : rien de tout cela ne tournait sur un modèle de luxe. Toutes les tâches observées de la grappe sinophone passaient par un worker nommé claudecode_deepseek-v4.1-flash, ce que NorForge lit comme pouvant être un harnais Claude Code pilotant DeepSeek 4.1 Flash, sorti en septembre ; celles de la grappe anglophone passaient par un worker nommé pi_openrouter_deepseek.

La plomberie des attaquants, maintenant : ce qui a rendu l’opération visible, c’est leur propre infrastructure. Les panneaux Cairn sont de simples interfaces web, et ceux-là apparaissent « completely unprotected » : NorForge y décrit ce qui ressemble à l’administration complète — de quoi lancer et arrêter des projets, injecter des données et rediriger des agents vers d’autres cibles —, sans avoir testé si ces boutons répondaient vraiment à quelqu’un d’extérieur. Le scanner de secrets Trufflehog a relevé des centaines de secrets dans les données de ces panneaux, et en a validé 11 % : « 11% verified valid by Trufflehog ». Le détail qui trahit tout le reste : un « buggy domain normalizer » retire un w de trop, si bien que le mot Wholesale devient holesale et winter devient inter, ce qui rend les panneaux d’un même acteur faciles à repérer. NorForge en tire une conclusion qu’aucune des reprises que nous avons lues ne cite : « The attackers are not well prepared for this technology either ». Et le problème ne s’arrête pas aux criminels, puisque des équipes de test d’intrusion légitimes exposaient de la même façon le travail réalisé pour leurs clients, secrets compris. Le moteur n’est pas conçu comme un outil de piratage, même si le rapport écrit dès son résumé que « In this setting, Cairn is an AI-powered hacking system » : Cairn est publié sous licence AGPLv3, se présente comme « a general-purpose problem-solving engine » et revendique la troisième place du défi de tests d’intrusion par IA du hackathon Tencent Cloud, avec 54 problèmes résolus sur 54. Le conteneur de l’attaquant portait encore, selon NorForge, la trace d’une configuration de compétition de sécurité — un dossier de compétences tsec et un format de drapeau flag{…} — ; le rapport écrit que la configuration a presque certainement été recyclée et qu’il n’y a « no reason to believe that Tencent had anything to do with this operation ». Ce n’est donc pas une arme fabriquée pour l’occasion : c’est un outil de concours dont quelqu’un a changé les consignes. NorForge précise d’ailleurs qu’il ne publie pas les adresses des panneaux tant qu’ils sont en ligne, et qu’il les réserve aux chercheurs qui les lui demandent.

Notre lecture : ce qui change dans six mois n’est pas seulement ce que les agents savent faire, c’est ce qu’une tentative coûte. Les techniques observées ne sont pas triviales — Fagerland dit avoir été impressionné par certaines, et le rapport juge l’acteur sinophone, de loin, le plus efficace des trois pour atteindre son but. Mais vingt-trois heures de travail sur une seule boutique, c’est absurde pour un humain et banal pour une machine à cinq dollars la tâche ; le seuil qui protégeait un petit site n’était pas seulement technique, il était économique, et il vient de baisser. La seconde conséquence est plus gênante pour les gens honnêtes : un rapport de test d’intrusion est désormais un document qui contient les secrets de son client, et une partie de ces documents vit sur des interfaces que n’importe qui peut trouver en cherchant. Ce qu’un créateur peut en faire tient en trois phrases. Le profil visé — boutique en ligne, trafic de 200 000 à 1,5 million de visites — décrit aussi bien une marque qu’un site qui vend des formations. La charge utile demandée était un simple formulaire d’envoi de fichiers, qui n’attend qu’une promotion en exécution de commandes. Et si vous faites tester votre site, la première question à poser n’est pas ce qui a été trouvé, mais où vit le rapport et qui peut le lire.