Attaques par IA autonome : le framework Cairn expose 10 organisations en 2026

En août et septembre 2026, un seul opérateur - ou une petite équipe - a lancé 25 opérations d’intrusion contre 19 organisations, en utilisant un framework open source de test d’intrusion piloté par intelligence artificielle. Résultat : 10 de ces cibles ont été compromises, certaines en moins d’une heure, sans que l’attaquant n’ait à taper plus qu’un nom de domaine et un objectif en une ligne. Selon les chercheurs de Palo Alto Networks (Unité 42), ce mode opératoire inédit illustre une nouvelle ère : celle des cyberattaques par IA autonome, où un algorithme prend seul les décisions d’exploitation, de déplacement latéral et d’exfiltration.

Baptisé Cairn, ce framework open source transforme un modèle de langage (LLM) en un véritable assistant offensif. En quelques semaines, les attaquants ont visé des secteurs critiques : semi-conducteurs, défense, droits humains. Cette offensive, attribuée avec une confiance modérée à des groupes chinois (CL-STA-1238), démontre que l’intelligence artificielle n’est plus un simple support : elle devient un agent autonome de compromission. Dans cet article, nous détaillons le fonctionnement de Cairn, les cibles atteintes, les vulnérabilités exploitées et les leçons pour la cybersécurité des organisations françaises.

Une nouvelle vague de cyberattaques automatisées par IA

Le constat posé par l’Unité 42 est sans appel : les attaques par IA autonome ne relèvent plus de la science-fiction. L’un des chiffres les plus frappants est le rapport entre le nombre d’opérateurs et le nombre de cibles. Là où un attaquant humain aurait dû passer des jours ou des semaines à coordonner l’exploitation de 19 organisations, Cairn a permis de les attaquer simultanément en deux semaines, avec un seul opérateur probable. Les opérations individuelles ont duré de 20 minutes à plus de 50 heures, sans intervention humaine continue.

« Nous estimons avec une confiance modérée que cette activité représente une collecte de renseignements liée à la Chine, que nous suivons actuellement sous le nom CL-STA-1238. » - Unit 42, Palo Alto Networks

Les chercheurs ont observé deux adresses IP clés : 154.44.31[.]4 (serveur à Hong Kong hébergeant Cairn) et 82.29.129[.]54 (nœud de transit et d’exfiltration aux États-Unis). L’opérateur a utilisé une version modifiée du framework, enrichie d’un pack d’exploitation appelé AIScan Runner Skills, absent de la version publique de Cairn. Treize opérations ont été conduites avec le modèle Zhipu GLM 5.2, huit avec DeepSeek V4 Flash et quatre avec DeepSeek V4 Pro. L’opérateur a comparé les résultats et basculé sur Pro pour les cibles résistantes à Flash.

Fonctionnement du framework Cairn : un pentesteur autonome piloté par l’IA

Un cycle autonome : boucle d’actions sans intervention humaine

Cairn repose sur un principe simple : confier à un LLM l’ensemble du processus d’intrusion. Le framework fournit un squelette logiciel qui, associé à un modèle, exécute en boucle les étapes suivantes :

1. Analyse de l’état courant : le modèle examine les résultats déjà obtenus (ports ouverts, identifiants, accès).
2. Sélection d’une prochaine action : parmi un catalogue de techniques (scan de mots de passe, exploitation de CVEs, escalade de privilèges, exfiltration), le LLM choisit la plus pertinente.
3. Exécution : Cairn lance la commande ou le script correspondant, puis enregistre le résultat comme un nouveau fait.
4. Boucle : le processus recommence jusqu’à ce que l’objectif soit atteint, qu’il n’y ait plus d’option, ou que l’opérateur l’interrompe.

Ce fonctionnement en boucle autonome a permis aux attaquants de mener 25 opérations simultanées sur des cibles disparates, avec un seul humain en supervision. Les modèles utilisés (GLM 5.2, DeepSeek V4) n’ont jamais refusé une tâche, car les prompts par défaut de Cairn interdisent le refus, et l’opérateur a ajouté un préambule en chinois affirmant que chaque action était un test de sécurité autorisé. Un fichier AUTHORIZATION.md était généré pour chaque opération, déclarant l’attaque comme approuvée par un client factice.

AUTHORIZATION.md
# Autorisation de test d'intrusion
Client : [nom fictif]
Périmètre : [cible]
Date : [date]
Approuvé par : [signature]

Des modèles de langage comme moteur : GLM et DeepSeek

Le choix des modèles n’est pas anodin. Zhipu GLM 5.2 (modèle chinois) et DeepSeek V4 (Flash et Pro) sont des LLM open source ou accessibles en API, avec des garde-fous limités concernant les usages offensifs. Les attaquants ont comparé leur efficacité : pour les cibles qui ont résisté à Flash, ils sont passés en Pro, ce qui montre une capacité d’adaptation automatisée. Les chercheurs notent que ces modèles peuvent être exécutés localement ou via des API contournant les restrictions géographiques. L’absence de refus systématique, malgré des sollicitations clairement malveillantes, pose la question de la responsabilité des fournisseurs de modèles.

Les cibles et les données compromises : un panorama inquiétant

19 organisations ont été ciblées, 10 ont subi des accès non autorisés ou des fuites de données. Les secteurs touchés reflètent des priorités stratégiques : collecte de renseignement économique, militaire et politique.

Secteurs touchés : semi-conducteurs, défense, droits humains

Exemples d’attaques marquantes

• Syndicat d’enseignants américain : une faille de création de compte a permis de générer des sessions valides. Le framework a enregistré l’accès à plus d’un million de fiches membres, environ 31 000 contacts CRM et les hashs de mots de passe du personnel.
• Association de normalisation industrielle : une attaque par password spraying a fourni des dizaines d’identifiants valides. Les attaquants ont également écrasé un document de vote en cours via un stockage cloud sans authentification, pris le contrôle de fonctions de réunion et de vote, et usurpé l’identité d’administrateurs.
• Fabricant de semi-conducteurs : un identifiant de production obtenu par brute force a permis la création de comptes administrateurs et la persistance via un token API. Un point d’inscription ouvert sur un programme de défense a exposé environ 500 enregistrements d’utilisateurs, dont des adresses en .mil et .gov.

« L’automatisation a bénéficié d’un renseignement préalable : contre un équipementier de semi-conducteurs, l’opérateur disposait déjà des adresses VPN, des noms de groupes et des mots de passe partagés. » - Unit 42

Vulnérabilités exploitées : des failles classiques amplifiées par l’automatisation

Un catalogue de faiblesses bien connues

Contrairement à une idée reçue, les attaquants n’ont pas utilisé d’exploits zero-day. Les vulnérabilités mises à profit sont des classiques de la sécurité des applications et des réseaux :

• Authentification contournée : création de comptes sans vérification, bypass de MFA.
• Références directes non sécurisées (IDOR) : accès à des fichiers ou bases de données sans contrôle.
• Escalade de privilèges par mass-assignment : modification de champs utilisateur via API.
• Identifiants faibles ou par défaut : password spraying, brute force sur comptes de service.
• API cloud exposées : stockage sans authentification, clés API dans du code source public.
• CVEs anciennes non corrigées : utilisation de failles connues depuis des mois ou des années.

L’IA comme accélérateur, pas comme innovateur

Les chercheurs de l’Unité 42 insistent : l’IA autonome n’a pas introduit de nouvelles techniques, elle a multiplié le volume et la couverture de l’exploitation. Un attaquant humain aurait pu réaliser les mêmes actions, mais avec un rythme beaucoup plus lent et un nombre de cibles limité par la charge de travail. Cairn a permis un passage à l’échelle : là où un opérateur humain gère une ou deux cibles en parallèle, l’IA en a traité 19 simultanément, avec un seul superviseur.

En d’autres termes, l’hygiène de sécurité classique - correctifs, gestion des identités, segmentation, surveillance - reste efficace. Mais elle devient impérative : une faille non corrigée aujourd’hui peut être exploitée demain par une IA en 20 minutes.

Leçons et recommandations pour les organisations françaises

Les événements de l’été 2026 doivent alerter les entreprises et institutions françaises. Les secteurs visés (semi-conducteurs, défense, droits humains) sont également stratégiques en France. Nous formulons ci-dessous des mesures concrètes pour se préparer aux attaques par IA autonome.

Mesures défensives adaptées

1. Renforcer l’authentification : mettez en œuvre une MFA résistante au phishing, supprimez les comptes par défaut, et appliquez une politique de mots de passe robustes. Les attaquants de Cairn ont utilisé le password spraying avec succès - une solution de détection des tentatives massives est indispensable.
2. Durcir l’exposition des API : chaque point de terminaison doit être authentifié, avec une gestion fine des rôles. Évitez les attributions en masse sans validation. Auditez vos stocks cloud publics.
3. Réduire la surface d’attaque : appliquez les correctifs dans des délais courts (les CVEs anciennes sont systématiquement testées par ce type d’IA). Désactivez les services inutiles et segmentez les réseaux sensibles.
4. Surveiller les comportements inhabituels : un framework comme Cairn laisse des traces (requêtes répétitives, énumération rapide de ressources, création de comptes en rafale). Investissez dans des solutions de détection basées sur le comportement (UEBA, NDR).
5. Préparer la réponse aux incidents : si une IA attaque vos systèmes, la fenêtre de détection est courte. Simulez des scénarios d’intrusion automatisée (exercices tabletop) et testez vos capacités de confinement.

Anticiper l’évolution des menaces

Les chercheurs prévoient une multiplication des campagnes utilisant des modèles open source faiblement bridés. Pour les RSSI français, cela implique :

• Collaborer avec l’ANSSI et les CERT : l’échange d’indicateurs de compromission (les IP 154.44.31[.]4 et 82.29.129[.]54 sont déjà connues) et le partage d’informations sur les tactiques (TTPS) sont essentiels. L’écosystème cybersécurité nantais constitue un exemple de dynamique locale à intégrer dans cette collaboration.
• Intégrer l’IA dans les analyses de risques : évaluez la capacité d’un attaquant à automatiser l’exploitation de vos vulnérabilités. Les fournisseurs de modèles doivent être interrogés sur leurs garde-fous.
• Former les équipes : la compréhension du fonctionnement des agents autonomes est nécessaire pour adapter la défense. Les attaques par IA ne sont pas une fatalité, mais elles exigent une réactivité accrue. Pour les étudiants et jeunes professionnels, un stage en cybersécurité à Marseille peut être un excellent point d’entrée dans le domaine.

Conclusion : l’IA change la donne, les bases restent

L’épisode Cairn marque un tournant. Avec un investissement modeste (un framework open source, un modèle de langage, un serveur), un petit groupe d’attaquants a réussi en deux semaines à pénétrer 10 organisations, dont des cibles hautement stratégiques. Pourtant, aucune vulnérabilité révolutionnaire n’a été utilisée : les mêmes failles existent depuis des années, mais n’avaient jamais été exploitées à une telle échelle, avec une telle autonomie.

Les attaques par IA autonome ne remplacent pas les fondamentaux : elles les rendent plus urgents. La priorité pour toute organisation est de réduire sa surface d’attaque, de surveiller les signaux faibles et de compartimenter ses données. L’intelligence artificielle n’est ni une menace magique ni une solution miracle - c’est un amplificateur. Si vos défenses sont solides, l’amplificateur ne pourra pas grand-chose. Si elles sont poreuses, l’IA - comme Cairn - les transformera en autoroute.

En 2025, le directeur technique de l’ANSSI rappelait : « Celui qui automatise ses défenses gagne du temps. » En 2026, il faut ajouter : « Celui qui automatise ses attaques gagne l’initiative. » Aux organisations de choisir leur camp.