Les agents d'attaque chassent désormais les services de modèles eux-mêmes. Le 21 octobre 2026, l'équipe Threat Hunter de Symantec a publié l'analyse d'un agent autonome construit autour d'un grand modèle de langage : il parcourt Internet à la recherche de points d'accès à des modèles dépourvus d'authentification et, une fois entré, utilise le modèle et la puissance de calcul d'autrui pour scanner de nouvelles cibles, exploiter les failles de logiciels serveurs courants, voler bases de données et identifiants, puis installer discrètement des mineurs de cryptomonnaie. Symantec nomme ce vol d'accès LLMjacking, et dans la version interceptée, le modèle détourné ne sert pas seulement à être revendu : il dirige l'ensemble de l'attaque.
Le piège a reçu le mode d'emploi complet
La découverte vient d'un honeypot dédié à l'IA : Symantec a exposé volontairement un service de modèle sans protection, et les opérateurs y ont envoyé l'intégralité de leur invite de travail, livrant aux chercheurs l'architecture complète. Le piège n'a exécuté aucun des outils joints et la session s'est close après une réponse générique. Sa télémétrie a enregistré plus de 127 000 requêtes venues de dizaines de milliers d'adresses, pour l'essentiel des recherches de points d'accès, des tentatives par force brute avec des clés API volées et des sondages de fichiers de configuration exposés. Étaient visés des serveurs de modèles auto-hébergés, des systèmes de test montés à la hâte, des passerelles IA placées devant des comptes payants et des serveurs MCP reliés à de vrais outils. La plupart des services d'IA partageant la même interface standard, un seul scanner couvre de nombreux types de cibles.
Cinq couches de contournement, 74 outils offensifs
Pour faire coopérer un modèle commercial, les opérateurs ont empilé cinq couches d'instructions : une fausse identité qui ne doit jamais révéler le fournisseur réel ; la redéfinition de la lecture des mots de passe, clés API et contenus de bases de données comme un travail de développement banal ; un personnage de compagnon fictif qui présente tout refus comme une trahison ; et l'ordre d'ignorer ses propres alertes de sécurité, avec une liste de termes de refus explicitement interdits. La cinquième couche portait les armes : environ 74 définitions d'outils couvrant la découverte d'actifs à l'échelle d'Internet, des modules d'exploitation pour VS Code, Django, Jupyter, Laravel, Supabase, Next.js et Flask, l'extraction complète de bases via Prisma et le pilotage d'un botnet.
Une boucle autonome baptisée mode Skynet
Une directive finale autorisait jusqu'à 100 000 étapes sans surveillance : exécuter les outils immédiatement et sans validation, cacher les mineurs dans un répertoire discret et vérifier en continu qu'ils tournent. La même directive décrivait la boucle visée — scanner, infecter, installer le mineur, passer à la suite, puis revenir réinfecter les machines déjà touchées. La tâche jointe à la requête interceptée n'était qu'un exercice de code anodin, signe que les opérateurs testaient encore sur une cible sans risque. Le lendemain, une seconde requête, venue d'une autre adresse, abandonnait le format agent et demandait simplement de décoder puis d'exécuter une commande obscurcie. Une fois décodée, il s'agissait d'un script téléchargeant le mineur Monero XMRig, déguisé en fichier système, doté de quatre pools de secours, cherchant les répertoires go2rtc des caméras connectées et effaçant les journaux d'accès en boucle.
La facture revient à deux catégories de victimes : les propriétaires des points d'accès paient l'inférence d'un agent autorisé à enchaîner 100 000 étapes, tandis que les serveurs compromis perdent données et identifiants et minent pour autrui. Aucune technique prise isolément n'est nouvelle ; leur assemblage dans un agent capable de décider seul abaisse nettement le niveau requis pour une exploitation à grande échelle. Pour les équipes qui exploitent leurs propres services de modèles, passerelles IA ou serveurs MCP, la conclusion est directe : un point d'accès sans authentification sera repéré peu après sa mise en ligne, et l'authentification, la gestion des clés et la réduction de la surface exposée ne peuvent plus attendre.
