Espionnage par agents IA : le rapport Anthropic
Hacking & espionnage. Un agent IA a pris pour cible une cinquantaine d'organisations, presque sans intervention humaine.
L'essentiel
Le 10 septembre 2026, Anthropic a publié son rapport threat intelligence de septembre 2026, qui couvre les opérations perturbées entre décembre 2025 et août 2026. Dans la majorité des cas décrits, des frameworks multi-agents pilotés par l'IA enchaînaient reconnaissance, exploitation et exfiltration, l'humain se limitant à choisir la cible. Le groupe chinois GTG-10007 a visé une cinquantaine d'organisations (éducation, énergie, santé, administrations) en s'appuyant sur Claude. Le groupe russe GTG-20006, rattaché à Midnight Blizzard, a ciblé plus de vingt organisations, surtout en Ukraine et en Europe. Les agents conservaient listes de cibles, identifiants volés et état de la campagne d'une session à l'autre : l'opération se poursuit sans opérateur. Pour les équipes SOC, la conséquence est double. Les détections par signatures vieillissent vite face à un malware reconstruit après chaque détection, et les agents IA que vous déployez doivent avoir un périmètre d'accès limité et tracé.
Que contient le rapport d'Anthropic de septembre 2026 ?
Anthropic a publié le 10 septembre 2026 son quatrième rapport threat intelligence, une date que confirme la couverture de Cyber Kendra. Il porte sur les opérations perturbées entre décembre 2025 et août 2026 et recense sept catégories de préjudices : opérations cyber, surveillance, influence, armes conventionnelles, usages biologiques, escroqueries et distillation illicite. Les abus ont concerné Claude Haiku, Sonnet et Opus. Anthropic indique n'avoir trouvé aucune activité malveillante sur Claude Fable ni sur Mythos.
La distillation fait l'objet d'un article séparé : 151 millions d'échanges pour distiller Claude Opus.
GTG-10007 : une usine à exploits autour de Claude
Dans le cas GTG-10007, des opérateurs chinois, dont deux étudiants en licence (l'un d'eux est un ancien stagiaire chez un éditeur de sécurité chinois, selon le rapport), ont monté une usine à exploits autour de Claude. Recherche de vulnérabilités en continu contre un produit de sécurité majeur, développement de malware, collecte de renseignement. Le rapport compte environ 50 organisations visées, dans l'éducation, l'énergie, la santé, la finance, l'industrie et les administrations, et fait état de plus d'une douzaine de possibles failles zero-day identifiées en un seul mois.
Qu'est-ce que la mémoire de campagne d'un agent IA ?
La mémoire de campagne est la capacité d'un agent à conserver, d'une session à l'autre, les listes de cibles, les identifiants volés et l'état d'avancement d'une opération. Elle permet à l'attaque de reprendre exactement là où elle s'était arrêtée, sans qu'un humain relance quoi que ce soit.
C'est le différenciateur de la stratégie de GTG-10007. On n'est plus dans le pentest assisté : on est dans un pipeline d'espionnage qui tourne 24h/24, y compris quand personne ne travaille.
Comment GTG-20006 automatise-t-il l'évasion antivirus ?
Côté russe, GTG-20006 est lié à Midnight Blizzard. Selon le rapport, plus de 20 organisations ont été visées, concentrées en Ukraine et en Europe, dont des fabricants de drones et des entités gouvernementales ukrainiennes. Plus de 300 000 dossiers d'identité nationale ont été volés à un gouvernement d'Afrique du Nord. Leur toolkit se reconstruisait et se redéployait tout seul dès qu'un antivirus le détectait : la boucle d'évasion est automatisée.
| Groupe | Rattachement | Échelle indiquée |
|---|---|---|
| GTG-10007 | Opérateurs chinois | environ 50 organisations, plus d'une douzaine de zero-days possibles en un mois |
| GTG-20006 | Midnight Blizzard (Russie) | plus de 20 organisations, plus de 300 000 dossiers d'identité volés |
Ce que ça change pour vos équipes
Les frameworks offensifs comme PentAGI sont open source et documentés : les défenseurs ont accès aux mêmes briques. La course est la même des deux côtés, elle s'accélère juste plus vite que prévu, et nous avons tout de même l'impression que l'offensif va plus vite que le défensif.
Si un agent reconstruit son malware à chaque détection, un SOC basé sur les signatures d'hier regarde ailleurs. En exploitation, nous commencerions par ceci :
- Passer les détections critiques sur du comportemental : exécution de processus inhabituels, connexions sortantes anormales, mouvements latéraux, plutôt que des hashes ou des noms de fichiers.
- Tracer ce que vos agents IA ont le droit de toucher : inventaire des agents, propriétaire humain, comptes et jetons dédiés, moindre privilège. L'article sur RSA Agent ID et les agents fantômes développe ce point.
- Filtrer la sortie réseau des environnements où tournent des agents et journaliser chaque appel d'outil, pour retrouver ce qu'un agent a fait et pour qui.
- Réduire la durée de vie des identifiants et des jetons : un agent qui garde les credentials d'une session à l'autre ne doit en trouver que d'expirés.
- Mesurer le temps de détection et de réponse en heures, pas en jours : une opération automatisée n'attend pas la prochaine réunion de crise.
La chaîne d'approvisionnement logicielle suit la même logique d'automatisation, comme le montre le cas des agents OpenAI et des gems RubyGems malveillantes.