Les acteurs malveillants ont utilisé un cadre d'intelligence artificielle multi-agents pour compromettre des milliers d'informations d'identification en moins de six heures, a déclaré le Google Threat Intelligence Group de Google LLC dans un rapport publié aujourd'hui.
Les enquêteurs de Mandiant ont retracé la campagne jusqu'à un acteur soupçonné d'être motivé par des raisons financières et qui a été le premier à s'introduire dans l'infrastructure cloud d'une organisation. L'attaquant a ensuite assemblé un cadre autonome à partir d'un chatbot codant l'IA, d'une invite et d'un ensemble d'instructions d'agent, avec des playbooks de démarques préconfigurés pilotant l'analyse et la récolte qui ont suivi.
Le dépannage et la rotation IP se sont déroulés sans opérateur. La circulation quittait les propres adresses de la victime, elle semblait donc légitime à la sortie.
Le rapport, « De l'invite à l'autonomie : l'évolution de l'IA contradictoire », couvre l'activité GTIG suivie au cours du deuxième trimestre. Elle fait suite à l'édition de mai, qui documentait le premier cas confirmé de criminels utilisant l'IA pour créer un exploit fonctionnel Zero Day. Ce qui a changé depuis, c’est le peu d’implication humaine, a déclaré GTIG. Les adversaires confient les décisions en plusieurs étapes aux modèles, ce qui réduit la fenêtre dont disposent les défenseurs pour réagir.
GTIG a déclaré qu’il n’avait pas observé de pipelines d’attaque entièrement autonomes déployés contre des cibles dans la nature. L’intention de l’adversaire ne fait aucun doute. Un groupe d'espionnage présumé lié à la Chine a utilisé Gemini pour concevoir un cadre de test d'intrusion automatisé destiné à exécuter lui-même l'analyse des ports, l'analyse des services et d'autres travaux d'intrusion précoces. Le groupe n’a pas pu aller plus loin que d’essayer de le construire et Google a désactivé les actifs liés à cet effort.
Concernant la chaîne d'approvisionnement open source, le sujet principal du rapport est un groupe criminel que Google étiquette UNC6780. Le même acteur, que Google suit également sous le nom de TeamPCP, a empoisonné la passerelle LiteLLM en mars.
Depuis lors, il a commis des compromissions à grande échelle sur PyPI, npm et Docker Hub, en publiant des forks trojanisés de serveurs Model Context Protocol et en injectant du code malveillant dans les référentiels GitHub que les assistants de codage d'IA clonent. Son voleur d'informations d'identification DUSTMAKER dépose les fichiers dans des répertoires de projet cachés tels que .claude et .cursor, où les outils d'IA les lisent comme un fouillis de développeur ordinaire.
Certains échantillons sont allés plus loin. Les chargeurs de logiciels malveillants comportaient des injections rapides écrites sous forme de requêtes extrêmes sur les armes biologiques et nucléaires, un texte probablement destiné à inciter les scanners de sécurité de modèles en grand langage à refuser le fichier et à ignorer le JavaScript malveillant situé en dessous.
Les actifs d’IA eux-mêmes sont désormais une cible. Mandiant a travaillé sur plusieurs cas d'extorsion de données au cours du dernier trimestre dans lesquels les attaquants ont récupéré des modèles propriétaires, du code source et des invites provenant d'entreprises de technologie, de soins de santé et de médias en Amérique du Nord et en Europe. Une victime des soins de santé a perdu des recherches sur les médicaments et un modèle exclusif au profit d'un groupe qui a menacé de publier les deux à moins qu'il ne soit payé.
L'informatique est volée de la même manière. UNC6508, un groupe présumé lié à la Chine et lié à une campagne pluriannuelle contre des institutions de recherche universitaires, médicales et militaires, est également à l'origine des activités suspectées que GTIG a observées en déployant des modèles ouverts dans des environnements cloud compromis, gardant ses incitations à l'écart de la surveillance des interfaces de programmation d'applications commerciales. Un jeton d'accès GitHub exposé a permis à un autre attaquant de fournir des instances d'unité de traitement graphique hautes performances en avril aux dépens de la victime.
John Hultquist, analyste en chef chez Google Threat Intelligence Group, a déclaré que l'hypothèse de travail actuelle est que chaque acteur malveillant utilise l'IA dans une certaine mesure et en profite. La vitesse est ce qui l'inquiète le plus.
« Les criminels, comme ceux qui ont mené une campagne d’exploitation massive en seulement six heures, seront attirés par des attaques plus rapides que nous ne pouvons répondre », a-t-il déclaré. Des groupes tels que TeamPCP constituent une catégorie plus récente, a-t-il ajouté, s'attaquant aux systèmes d'IA à mesure qu'ils sont intégrés à la pile de l'entreprise plutôt que de simplement les utiliser.
