Un hacker, 1 200 tentatives, 50 $ par intrusion : l’attaque agentique devient bon marché

En bref

NorForge a rapporté le 19 octobre le cas d’un opérateur sinophone qui a délégué presque toutes ses tâches à des agents IA : plus de 1 200 tentatives d’intrusion en trois semaines, plus de 100 succès (Source : The Next Web — AI agents broke into 100+ sites for one hacker at $50 each).
Environ 5 000 $ de tokens ont financé la campagne — soit environ 50 $ par piratage réussi, 5 $ par tâche, avec un taux de réussite de 10 %.
Chaque tâche tournait sur un worker nommé claudecode_deepseek-v4.1-flash : très probablement un harnais Claude Code autour d’un modèle DeepSeek bon marché.
L’objectif était la persistance, pas le vol : des web shells d’upload sur des boutiques totalisant entre 200 000 et 1,5 million de visiteurs.
Le point faible de l’attaquant était sa propre infrastructure — plus de 20 panneaux de contrôle Cairn laissés ouverts et découverts par un simple scan.

Le nombre de compromissions n’est pas le chiffre intéressant

Cent entreprises compromises, cela sonne sophistiqué. Ce que Reuters et NorForge décrivent réellement, c’est une seule personne qui rédige des objectifs pendant qu’un essaim d’agents bon marché épuise des cibles sans surveillance (Source : Reuters — How one hacker used AI agents and a few thousand dollars to break into scores of sites).

Reuters a identifié certaines victimes à partir du trafic de l’opérateur lui-même : Deere, SharkNinja et Cummins. Les trois ont déclaré que l’impact semblait contenu, pointant vers des sites autonomes ou gérés par des prestataires plutôt que vers des systèmes centraux.

L’outil était Cairn, une plateforme multi-agents open source. Son architecture compte : un opérateur fournit une cible et un objectif, les agents travaillent étape par étape, chacun publie ses trouvailles sur un tableau partagé que les autres lisent, et l’humain glisse occasionnellement des indices. C’est cette couche de coordination qui transforme un appel de modèle médiocre en un processus de recherche qui tourne toute la nuit.

Ce qui a tourné

NorForge a réparti l’activité en trois groupes après avoir trouvé des panneaux Cairn ouverts à partir du 2 octobre ; la campagne a débuté le 25 septembre. Le groupe le plus actif, sinophone, est évalué comme malveillant avec un haut degré de confiance : plus de 1 100 projets d’attaque répartis sur 14 panneaux, visant des boutiques aux États-Unis, au Canada, au Japon et en Australie totalisant entre 200 000 et 1,5 million de visites, avec pour ordre d’obtenir l’exécution de code et de planter un web shell d’upload. NorForge a vérifié une intrusion revendiquée chez un fournisseur de pièces matérielles où le shell était toujours actif.

Un deuxième groupe, anglophone, de 10 panneaux visait le vol de cartes bancaires et de cryptomonnaies ; un troisième, un seul panneau avec 59 projets, n’est que faiblement lié. Taux de réussite moyen rapporté : environ 10 %.

Le détail le plus instructif est un échec. Lorsque les agents n’ont rien trouvé d’exploitable dans l’application publique d’une grande entreprise, ils ont fouillé son infrastructure liée, trouvé un panneau de contrôle et, après des heures d’essais et d’erreurs, ont amené son serveur à exécuter des commandes. « Ce n’est pas du script kiddie », a déclaré Snorre Fagerland, de NorForge, à Reuters. Ce n’est pas non plus du génie — c’est de la patience à l’échelle de la machine.

L’arithmétique qui change le modèle de menace

Mille cinq cents dollars par semaine d’inférence, 1 200 tentatives, 100 victoires : environ 5 $ par tentative, 50 $ par succès, 57 tentatives par jour, avec près de 23 heures de travail sans surveillance par intrusion réussie.

C’est là que se situe le basculement. L’ancienne contrainte d’une campagne était l’attention humaine : une cible à la fois, chaque impasse facturée en heures de salaire. Quand une tentative coûte quelques dollars et que la boucle tourne toute la nuit, la stratégie rationnelle s’inverse — arrêter de sélectionner les cibles, arroser l’internet, laisser les 10 % qui aboutissent payer pour les 90 % qui échouent. Un shell à 50 $ sur une vitrine qui traite des paiements n’a pas besoin d’un taux de réussite élevé pour être rentable. Réserve dans les deux sens : NorForge qualifie son estimation de coût de grossière, et Reuters n’a pas pu établir quelle quantité de données, le cas échéant, a été exfiltrée.

Le harnais porte la capacité

Le nom du worker est la ligne la plus pertinente pour les politiques publiques dans le rapport : claudecode_deepseek-v4.1-flash signifie très probablement le harnais Claude Code d’Anthropic pilotant le modèle Flash à bas coût de DeepSeek. Si c’est le cas, la campagne n’a pas tourné sur le meilleur modèle disponible — elle a tourné sur de l’échafaudage : une boucle de tâches, un brouillon partagé, des sous-agents, un humain qui pousse.

C’est la thèse derrière les travaux Harness 2.0 de Google et le harnais d’usage informatique OpenGCUA d’Alibaba, et cela brouille la responsabilité. L’auteur de Cairn, publiant sous le pseudonyme le1xia0, a déclaré que la plateforme « n’a pas été conçue pour des attaques de piratage » et que « si elle est utilisée pour mener des attaques de piratage nuisibles, ce n’est pas mon intention ». Auteur de la plateforme, fournisseur du harnais, fournisseur du modèle et opérateur : quatre parties. Le schéma est déjà documenté : un rapport de Gambit Security de septembre reliait Cairn au vol de plus de 600 000 enregistrements de cartes auprès de 25 entreprises, et le CERT-In indien a formalisé les agents IA comme surface d’attaque dans l’avis CIAD-2026-0049.

Votre plan de contrôle d’agents est le nouveau port ouvert

La campagne a été détectée parce qu’elle était négligée, pas subtile. Les opérateurs ont laissé des tableaux de bord Cairn accessibles depuis l’internet public, et NorForge les a trouvés avec des scanners que tout le monde peut lancer. Ces panneaux ont fuité une seconde fois : le scan a révélé des centaines d’identifiants et de clés API, dont 11 % ont été vérifiés comme valides par Trufflehog. Certains cabinets de pentest légitimes avaient exposé des travaux clients de la même manière. Un panneau d’orchestration est l’équivalent 2026 d’un serveur Jenkins exposé — il concentre objectifs, cibles, identifiants et journaux au même endroit.

Ce que les défenseurs peuvent changer :

Détecter le volume, pas la charge utile. 1 200 sondes contre des vitrines de taille similaire forment un motif qui dépasse toute requête individuelle.
Traquer les shells d’upload. Un agent qui optimise la persistance choisit l’objectif le plus accessible : un formulaire d’enregistrement de fichier. Surveillez les nouveaux répertoires inscriptibles.
Inventorier les plans de contrôle que vous et vos prestataires exploitez. L’exposition de Cummins est arrivée via le site d’un prestataire.
Renouveler tout ce qui a touché un panneau d’agents. 11 % de valides, ce n’est pas une erreur d’arrondi.
Ne pas compter sur les garde-fous de prompt. Le confinement doit être au niveau réseau : sortie refusée par défaut, identifiants à portée limitée, aucune autorité ambiante.

FAQ

Les agents ont-ils volé des données ? Reuters n’a pas pu établir quelle quantité, le cas échéant. L’objectif évalué était un accès durable ; l’artefact vérifié était un shell d’upload actif.

Cairn est-il un outil de piratage ? Non. C’est un résolveur de problèmes multi-agents dont la conception à tableau partagé convient à la recherche légitime. Son auteur affirme qu’il n’a pas été conçu pour des attaques.

Faut-il un modèle de pointe ? Rien ne le suggère. Le worker exécutait un modèle de gamme Flash à bas coût dans un harnais de codage.

À quel point faut-il croire le chiffre de 50 $ ? Comme un ordre de grandeur, pas comme un tarif. Ce qui est solide, c’est la direction : des dizaines de dollars, pas des milliers.

Un hacker, 1 200 tentatives, 50 $ par intrusion : l'attaque agentique devient bon marché