Le 29 octobre 2026, Wiz a publié une étude décrivant un changement inconfortable dans la pratique des attaques : les agents IA effectuent désormais une grande partie du travail manuel d'une intrusion et peuvent orchestrer l'attaque elle-même. Les humains fixent toujours les objectifs et les garde-fous, mais l'agent écrit ses propres outils à vitesse machine, vérifie les résultats, se corrige et itère. Wiz souligne que ces attaques sont actuellement souvent bruyantes plutôt que furtives, laissant une large traînée d'activité observable — la difficulté défensive consiste à les distinguer de l'automatisation légitime et à relier des signaux épars en une image complète.
Le cas Flowise exposé : un nœud qui en attaque des dizaines d'autres. Le premier cas a commencé avec une instance Flowise exposée, un constructeur de flux de travail pour LLM. Par un appel non authentifié et une astuce d'en-tête contournant l'authentification, l'attaquant a injecté du JavaScript qui a produit un shell via Puppeteer. L'instance capturée a ensuite servi de relais pour attaquer en masse d'autres instances Flowise exposées. Environ 24 heures ont produit 99 scripts, soit en moyenne un nouveau script dédié toutes les une à deux minutes.
Le cas de la passerelle Java : 602 étapes en quatre heures et demie. Le deuxième cas a commencé par une faille d'exécution de code à distance dans une passerelle d'exploitation Java d'entreprise et a parcouru systématiquement presque tout le catalogue d'attaques cloud-natives. Wiz a compté 602 étapes distinctes dans 12 familles de techniques en environ 4,5 heures, avec seulement quelques secondes entre les phases. Il a également généré plus de 100 variantes de noms d'hôtes ArgoCD, scanné 15 ports sur cinq hôtes en parallèle et laissé environ 40 fichiers temporaires.
Le cas du backend MCP : des secrets à grande échelle. Dans le troisième cas, une commande MCP contrôlée par l'attaquant a atteint un shell dans un backend GraphQL d'agent IA par l'exécution de sous-processus. L'exécution de code à distance en chaîne a conduit à un vol massif de secrets, dont des identifiants cloud et un jeton Kubernetes, ainsi qu'à la persistance et à la propagation sur plusieurs pods. Plus de 150 scripts différents ont été utilisés en environ 21 heures, en parallèle contre une vingtaine d'organisations cibles, principalement de grandes bourses de cryptomonnaies et des entreprises fintech. Les outils récupérés contenaient 803 lignes de commentaires lisibles par l'homme — la preuve que l'agent documentait ses propres étapes de travail.
Sept empreintes, pas une liste à cocher
Wiz propose sept critères de reconnaissance : une itération soutenue à rythme machine, dont les délais varient avec la complexité des étapes ; un raisonnement en langage naturel intégré dans les scripts et les artefacts ; l'autocorrection et l'exécution adaptative, par exemple dans des chaînes de scripts versionnées ; une méthodologie structurée, en largeur d'abord, couvrant presque tout le catalogue de techniques ; une simultanéité frappante dans les mouvements latéraux à travers de nombreux chemins, ports et hôtes ; une séquence disciplinée de sondes avant charges utiles, avec un contrôle délibéré des sorties, des délais et des traces ; et des artefacts de transit descriptifs et jetables qui signent par inadvertance l'attaquant. Aucun critère seul ne prouve un agent ; seule leur combinaison, soutenue pendant des heures et sur plusieurs systèmes, rend l'attribution plausible.
Pour les défenseurs, la priorité passe de la chasse à un seul outil malveillant à la visibilité entre environnements. Les outils IA exposés et les interfaces d'agents doivent être fermés en premier, les journaux cloud et Kubernetes doivent être reliés pour que des étapes distribuées se lisent comme une seule campagne, et les procédures de confinement doivent être prêtes à l'avance — car une fois qu'un agent itère à vitesse machine, l'enquête manuelle seule est trop lente.
