Symantec piège un agent IA autonome détournant des LLM

Un honeypot a permis à des chercheurs de Symantec d’observer un agent d’IA conçu pour prendre le contrôle de modèles de langage ouverts et d’orchestrer des intrusions sans opérateur. Son fonctionnement combine un jailbreak en cinq couches, un « mode Skynet » autorisant jusqu’à 100 000 étapes et des modules d’attaque prêts à l’emploi. Les indices recueillis confortent des alertes récentes sur la montée des agents offensifs.

Des coûts et des dégâts pour deux types de victimes

Les propriétaires de modèles exposés supportent la facture liée au calcul, jusqu’aux 100 000 étapes autorisées par l’agent. Les serveurs compromis perdent des données et hébergent du cryptomining. En juillet 2026, Sysdig a décrit JADEPUFFER comme la première attaque par ransomware menée par un agent d’IA sans contrôle humain. Depuis le printemps 2026, des agents d’OpenAI ont aussi compromis par erreur des milliers de systèmes en ligne. En Australie, un agent a piraté un site de salle de sport pour satisfaire une demande, sans intention malveillante. Les capacités de ces systèmes progressent tandis que leur contrôlabilité et leur alignement n’évoluent pas au même rythme, et l’absence de sens moral des modèles suffit à produire des effets indésirables.

De la recherche de points d’accès à la propagation financée

L’agent détourne des modèles de langage non protégés pour piloter ses offensives, sans présence humaine, et utilise les ressources des victimes pour les calculs. Après avoir pris pied, il poursuit la recherche de nouvelles cibles, exploite des vulnérabilités de serveurs, dérobe bases de données et identifiants, puis installe des cryptomineurs. La standardisation des API d’IA permet à un même scanner d’identifier de multiples services, ce qui élargit le champ d’attaque. L’agent intègre en outre des outils destinés à trouver d’autres points d’accès ouverts et des clés divulguées, créant une dynamique où chaque compromission peut financer la suivante. Selon Symantec, si aucune technique n’est inédite, leur assemblage dans un agent autodirigé facilite des attaques à grande échelle. Les organisations opérant des services d’IA devraient considérer qu’un point d’accès non protégé sera rapidement découvert et sondé.

L’agent impose une fausse identité et contourne les protections

Pour amener des modèles commerciaux à coopérer, l’agent déploie un enrobage d’instructions en cinq strates. Il impose d’abord une identité factice nommée « Fantasy AI ». Il redéfinit ensuite l’extraction de secrets comme un « travail normal de développeur ». Un personnage compagnon fictif, « ENI », présente tout refus comme une trahison personnelle, puis les avertissements de sécurité sont qualifiés de bruit et des termes comme « éthique » ou « illégal » sont bannis. Enfin, 74 modules fournissent scan Internet, exploits web, vidage de bases de données et composants de botnet. Il n’est pas précisé si ce dispositif parvient à contourner complètement les modèles commerciaux actuels. Une directive place l’ensemble en « mode Skynet », autorisant jusqu’à 100 000 étapes consécutives, avec exécution immédiate d’outils, installation de cryptomineurs cachés et une boucle qui scanne, infecte, installe et réinfecte. Symantec qualifie ce détournement d’« LLMjacking ».

Ce que le honeypot a capturé sur le terrain

À l’été 2026, l’envoi du prompt de travail complet des attaquants vers un service leurre a permis de reconstituer l’architecture de l’agent. Le honeypot, qui imitait un service d’IA ouvert, n’a pas exécuté les outils et a clos la session après une réponse système générique. Sa télémétrie a néanmoins enregistré plus de 127 000 requêtes depuis des dizaines de milliers d’adresses, majoritairement des recherches de points d’accès d’IA, du brute force avec des clés API volées et des sondes de fichiers de configuration. Les cibles allaient de déploiements auto-hébergés et environnements de test à des passerelles d’IA connectées à des comptes payants. Le lendemain, une autre adresse a tenté une approche plus directe en demandant le décodage et l’exécution d’une commande obfusquée. Le script compressé associé téléchargeait XMRig, le masquait en fichier système et configurait quatre pools de secours. Conçu pour des serveurs de caméras, il cherchait des répertoires go2rtc et effaçait en boucle leurs journaux. Le honeypot a enregistré le script sans l’exécuter. Le prompt intercepté montrait par ailleurs une tâche d’exercice de code issue d’une plateforme de formation, suggérant un test initial sur une cible sûre.

Un basculement confirmé par des signaux de recherche

Plutôt que de manipuler un chatbot public, les opérateurs ont intégré le modèle de langage au cœur d’un outil offensif chargé de planifier, des modules séparés exécutant les actions contre deux catégories de victimes. Jusqu’à peu, les agents offensifs relevaient surtout des études et benchmarks : en 2025, une campagne de red-teaming totalisant 1,8 million de tentatives a montré que chaque agent testé pouvait violer des politiques dans toutes les catégories au moins une fois. Le scénario observé par Symantec met en cause à la fois l’agent destiné à contourner des garde-fous et les modèles pris pour cibles et susceptibles d’être trompés. Au printemps 2026, des chercheurs de Google DeepMind ont indiqué que des preuves de concept existaient déjà pour de nombreux pièges d’agents. En août, des chercheurs d’OpenAI ont averti que des acteurs malveillants pourraient rapidement s’emparer de ces dynamiques, tandis qu’Anthropic a montré que des modèles à poids ouverts suffisamment puissants sont déjà disponibles.