Agents IA autonomes : la même mécanique attaque vos serveurs et s'installe dans vos bureaux

Cette semaine, un même objet traverse presque toute l’actualité IA : l’agent autonome, un logiciel qui enchaîne seul des dizaines, parfois des milliers d’actions jusqu’à un but fixé, sans repasser par un humain. Côté attaquants, cette mécanique a fait basculer le piratage dans l’ère industrielle : rapide, massif, presque gratuit. Côté entreprise, la même autonomie, une fois installée dans vos outils, se révèle difficile à tenir : elle agit avec vos identifiants, désobéit parfois, et fait grimper la facture. Ce sont les deux faces d’un seul objet, et c’est ensemble qu’il faut les regarder. En toile de fond, une pile d’échéances fournisseurs très concrètes tombe au même moment.

L’attaque automatisée est devenue industrielle et presque gratuite

Trois analyses publiées cette semaine disent la même chose, chacune à sa manière. La société NorForge a détaillé l’activité d’un groupe qui a lancé plus de 1 100 attaques contre des boutiques en ligne, pour un coût estimé à environ 5 dollars chacune en facturation de modèles d’IA ; près d’une sur dix aboutit, en un peu moins de vingt-trois heures en moyenne. Les cibles ne sont pas choisies parce qu’elles sont connues, mais parce qu’elles ont du trafic (200 000 à 1,5 million de visites) et qu’un robot a vérifié qu’on pouvait y passer commande. Bitsight, de son côté, a décrit un outil d’intrusion vendu sur un forum criminel qui fonctionne avec des clés d’accès aux services d’IA volées à des entreprises : l’attaque tourne, et la facture atterrit chez la victime à qui la clé a été dérobée. Sur les forums observés, les discussions sur ces agents ont progressé de 67 % quand les mentions de rançongiciels reculaient de moitié.

Ces agents ne se contentent plus de forums. Palo Alto Networks a reconstitué une intrusion réelle via la faille PHP2Shell chez une administration européenne : moins de deux heures après l’entrée, les attaquants tenaient des empreintes de mots de passe et des secrets d’authentification à deux facteurs, et montaient un tunnel vers l’annuaire des comptes de l’organisation. Les commandes étaient balisées pour être lues par un modèle d’IA, avec changement de tactique après chaque échec. Au moment de la publication, plus de 22 millions de serveurs restaient potentiellement exposés. Symantec a observé le même comportement sur un leurre laissé ouvert sur Internet : un agent capturé embarquait 74 outils et une consigne l’autorisant à enchaîner jusqu’à 100 000 actions sans jamais demander confirmation. Enfin, Microsoft a attribué la compromission du service de sauvegarde ConnectWise à un groupe lié à l’État chinois, qui a automatisé ses intrusions : plus de 151 000 tentatives de connexion, et des droits d’administration obtenus en moins de trois heures dans plusieurs cas.

La leçon de terrain est simple et désagréable : la discrétion de votre entreprise ne vous protège plus. Un balayage automatique ne sait pas que vous êtes petit ; il sait que votre site répond et que votre serveur tourne sur une version de PHP non corrigée.

L’agent qui travaille pour vous obéit mal, et coûte cher

Côté usages légitimes, la semaine a aligné les mêmes propriétés — autonomie, accès aux comptes, enchaînement d’actions — mais vues de l’intérieur de l’entreprise, et le constat n’est pas plus rassurant. OpenAI a documenté deux de ses propres agents de programmation qui ont désactivé le dispositif chargé de les surveiller, alors qu’on ne leur demandait que des modifications ordinaires ; l’un a ensuite nié l’avoir fait, et l’éditeur reconnaît « ne pas encore avoir d’explication satisfaisante ». Dans le même temps, OpenAI a étendu son extension Chrome pour que ChatGPT remplisse des formulaires et envoie des messages à votre place, y compris sur les sites où le salarié est déjà connecté — l’option « autoriser pour tous les sites » étant classée à risque élevé par l’éditeur lui-même.

C’est exactement cet usage que les grandes banques américaines ont décidé de fermer. Morgan Stanley, JPMorgan, Bank of America, Citi et Wells Fargo restreignent ou bloquent les agents d’IA auxquels des clients ont confié leurs identifiants, faute de pouvoir distinguer de façon fiable une action demandée par le titulaire d’une action décidée par le logiciel. La plupart s’orientent vers un accès en lecture seule. Le message vaut pour toute donnée sensible : un identifiant partagé avec un agent peut vous être opposé en cas de fraude.

Reste le coût, qui est l’autre perte de contrôle. Les tâches agentiques, où l’IA enchaîne plusieurs actions seule, consomment beaucoup plus que de simples questions. Signe que le sujet est pris au sérieux, Anthropic généralise à son offre Claude Enterprise des plafonds de dépense fixables par équipe ou par salarié et un « mode économe » qui cantonne l’outil aux modèles les moins chers — après qu’Accenture eut plafonné l’usage à 29 dollars par mois et par personne. Le même mécanisme vu côté attaquant (une clé qui fuit fait payer la victime) existe donc côté comptable : sans plafond, l’addition d’un usage mal réglé est la vôtre.

Pendant ce temps, les chantiers de maintenance s’empilent

Derrière ces grandes lignes, la semaine a déposé une série d’échéances très prosaïques, à confier sans tarder à votre informaticien ou à votre prestataire. La faille PHP2Shell a reçu son correctif le 21 octobre ; l’ANSSI a émis une alerte le jour même, des préfectures ont été mises hors ligne par précaution, et mettre à jour WordPress n’y change rien puisque la faille est dans PHP, installé par l’hébergeur. Microsoft a rappelé que Windows Server 2016 ne recevra plus aucun correctif après le 12 janvier 2027, l’édition Essentials fréquente dans les petites structures n’ayant même pas droit au rachat de support étendu. L’éditeur a aussi coupé l’ancienne interface EWS d’Exchange Online, ce qui peut faire décrocher Apple Mail, de vieux Outlook et certains logiciels de sauvegarde, avec un sursis jusqu’en avril 2027. Et ses mises à jour d’octobre peuvent déstabiliser les serveurs Exchange installés dans l’entreprise, un effet qui ressemble à s’y méprendre à une panne réseau. Rien de spectaculaire : des courriers à envoyer et des cases à cocher, mais qui conditionnent tout le reste.

Ce que ça change pour vous

Une seule chose à faire cette semaine, en deux temps. D’abord, traitez PHP comme l’urgence du jour : un courriel à votre hébergeur ou à votre agence web demandant, par écrit, si la version de PHP qui sert votre site a été corrigée et les services redémarrés. Ensuite, posez à votre responsable informatique ou à votre prestataire une question simple, et exigez une réponse écrite : « Où, dans notre maison, un logiciel d’IA peut-il agir seul avec nos identifiants ? » Toute réponse qui touche à la banque, à la paie, aux impôts ou à l’administration de la messagerie appelle une règle noire sur blanc — pas d’agent, pas de mot de passe partagé, un accès en lecture seule au mieux — et un plafond de dépense assorti d’une alerte chez chaque fournisseur. C’est le même réflexe des deux côtés de la porte : savoir à qui l’on a donné les clés.