En août et septembre 2026, des attaquants sinophones ont confié leurs intrusions à Cairn, un framework open source de test d’intrusion piloté par des modèles d’IA. Le bilan, publié le 12 novembre par Unit 42, l’équipe de recherche de Palo Alto Networks : 25 opérations contre au moins 19 organisations, avec un accès non autorisé ou un vol de données chez 10 d’entre elles.

Le plus frappant n’est pas la sophistication. C’est le peu d’effort demandé à l’humain : d’après Help Net Security, qui relaie l’étude, il suffisait souvent de saisir un nom de domaine et un objectif d’une ligne.

Une consigne, puis la boucle

Cairn se présente sur GitHub comme un moteur généraliste de résolution de problèmes, validé d’abord sur le pentest autonome. Il part d’un point connu (une cible), d’un but défini et cherche le chemin au milieu. Les agents partagent un « tableau noir » où ils consignent des faits confirmés et des intentions, c’est-à-dire des pistes à explorer ; un humain peut y glisser un « hint » à tout moment. Le projet affiche un résultat de compétition : 54 problèmes résolus sur 54 au Tencent Cloud Hackathon, troisième place sur 610 équipes.

Les attaquants, eux, ont fait tourner un fork personnalisé depuis un serveur à Hong Kong, avec un point de sortie et de préparation des attaques aux États-Unis. Leur consigne type, traduite par Unit 42, demandait d’obtenir des accès à forte valeur (webshell, SSH, code source, clés, données d’utilisateurs, identifiants), idéalement jusqu’au réseau interne.

À partir de là, le modèle découpe l’objectif. Il a produit un plan différent pour chaque cible, de trois à sept étapes. Contre un fabricant de semi-conducteurs, par exemple : reconnaissance, exploitation web, exploitation des services et intergiciels, collecte d’identifiants et de secrets, élévation de privilèges et mouvement latéral, puis accès au réseau interne et persistance. La boucle se répète jusqu’à ce que le modèle juge l’objectif atteint, à court d’options, ou que l’opérateur l’arrête. Certaines opérations ont duré 20 minutes, d’autres plus de 50 heures.

Des modèles chinois qui n’ont rien refusé

Sur les 25 opérations, 13 ont utilisé Zhipu GLM 5.2, huit DeepSeek V4 Flash et quatre DeepSeek V4 Pro. Unit 42 pense que les attaquants ont comparé les modèles : le Pro était réservé aux nouvelles tentatives contre les cibles qui avaient résisté au Flash. Chaque opération chargeait aussi un jeu de compétences baptisé « AIScan Runner Skills », absent du projet public.

Les garde-fous n’ont pas pesé lourd. Les prompts d’origine de Cairn demandent déjà au modèle de ne jamais refuser une tâche. Les attaquants y ont ajouté un préambule en chinois affirmant que tout est autorisé, et chaque opération générait un fichier AUTHORIZATION.md présentant le travail comme approuvé par un client. Selon Help Net Security, ni GLM ni DeepSeek n’ont refusé.

Ce qui a été obtenu

La plupart des cibles se répartissent, d’après Help Net Security, en sept organisations de la chaîne d’approvisionnement des semi-conducteurs et de la fabrication avancée, trois dans la défense ou la politique de défense, et quatre dans les droits humains et la société civile. Unit 42 évalue avec un niveau de confiance modéré qu’il s’agit de collecte de renseignement liée à la Chine, suivie sous le nom CL-STA-1238, probablement par un opérateur unique ou une petite équipe.

Quelques exemples :

• un organisme de normalisation : des dizaines d’identifiants valides obtenus par pulvérisation de mots de passe, et un document de vote en cours modifié via un espace de stockage cloud qui acceptait l’écriture sans authentification ;
• un syndicat d’enseignants américain : accès à plus d’un million de fiches de membres, environ 31 000 contacts CRM et des empreintes de mots de passe du personnel ;
• un fabricant de semi-conducteurs : un identifiant de production deviné par force brute, puis de nouveaux comptes administrateurs et un jeton d’API persistant ;
• un programme lié à la politique de défense : un point d’inscription ouvert exposant environ 500 fiches, dont certaines avec des adresses .mil et .gov.

Une tâche visant un fournisseur d’équipements pour semi-conducteurs est même arrivée préchargée d’adresses de passerelles VPN, de noms de groupes et de mots de passe partagés pour plusieurs sites. Quelqu’un avait donc fait du renseignement en amont : l’automatisation ne remplace pas tout.

Du vieux, mais en grand

Les failles exploitées sont connues : contournements d’authentification, références directes d’objets non protégées, élévation de privilèges par assignation de masse, identifiants faibles ou par défaut, API cloud exposées, anciennes CVE publiques. Pour Unit 42, l’IA autonome a augmenté le volume et la couverture des attaques, pas leur complexité. L’hygiène des identités, la réduction de la surface d’attaque et les correctifs restent donc efficaces.

Ce qui change, c’est l’échelle : selon Help Net Security, une personne seule ou une petite équipe a mené des tentatives simultanées contre 19 organisations en deux semaines. La menace devient plus fréquente, mais elle passe toujours par les mêmes portes.

Les chercheurs s’attendent à d’autres campagnes de ce type à mesure que des modèles ouverts, peu bridés contre l’usage offensif, gagneront en capacité. Unit 42 a publié deux indicateurs de compromission, l’adresse du serveur hongkongais et celle du nœud américain, à rechercher dans les journaux des pare-feu.

Sources

• GitHub – oritera/Cairn: Cairn is a general-purpose AI state-space search engine, validated first on autonomous penetration testing.…, github.com
• Translated Documents, docs.paloaltonetworks.com
• Attackers Use Autonomous AI to Target Semiconductor, Defense and Civil Society Sectors, Unit 42, 12 novembre 2026
• Attackers breached 10 organizations with an open-source AI pentest framework, Help Net Security, 12 novembre 2026