Unit 42 rapporte être intervenue lors d’un incident au cours duquel un attaquant humain a utilisé une intelligence artificielle avancée pour compromettre de manière autonome le réseau d’une entreprise. Lors des négociations, l’acteur de la menace a déclaré à Unit 42 avoir utilisé des modèles d’IA avancés et des cadres d’IA agentique conçus pour les attaques. Le rapport attribue l’opération à un attaquant humain utilisant l’IA pour mener l’intrusion.
Le rythme de l’opération est particulièrement notable. Unit 42 indique que l’attaquant a condensé en moins de 10 heures une séquence qui aurait normalement demandé environ deux semaines à des opérateurs humains. Selon l’enquête, l’intrusion a utilisé plus de 50 techniques MITRE ATT&CK. Le rapport décrit donc à la fois un processus accéléré et un vaste ensemble de techniques déployées au cours de la même compromission.
Après l’accès initial, les agents ont cartographié l’architecture interne de l’entreprise. Des sous-agents ont recherché des jetons codés en dur et des mots de passe de service dans les dépôts de code de l’entreprise. À l’aide des jetons exposés, l’attaquant a pénétré dans le gestionnaire de secrets et récupéré les identifiants de l’administrateur principal, qui fournissaient un accès root. Cette partie du compte rendu suit le parcours allant des dépôts de code au stockage des secrets, puis à l’accès privilégié.
L’attaquant a également détourné une application de code d’entreprise au moyen de flux de travail personnalisés afin d’exfiltrer des clés d’accès au cloud. Les protections des branches ont bloqué une tentative d’insertion de portes dérobées dans des configurations Terraform. Ce détail montre qu’un contrôle existant a empêché une tentative précise de persistance au cours de l’intrusion rapportée.
Les clés cloud volées ont servi à transformer les points d’accès à l’IA de la victime en infrastructure post-compromission. Unit 42 indique que l’agent a également laissé un audit technique de 80 pages sur la posture de sécurité de l’organisation, détaillant des dizaines de points exploités. Le rapport documente non seulement les déplacements dans les systèmes de l’entreprise, mais aussi le compte rendu détaillé laissé par l’agent après la compromission.
La page de Unit 42 consigne une mise à jour du 3 septembre 2026 précisant que l’événement était une intrusion et non une attaque par rançongiciel. Elle consigne également une mise à jour du 4 septembre 2026 concernant de légères corrections éditoriales. Ces notes définissent la manière dont Unit 42 caractérise actuellement l’incident.
Pris dans leur ensemble, les éléments vérifiés décrivent une opération cyber menée par un humain, au cours de laquelle des agents d’IA ont pris en charge la reconnaissance, les recherches dans les dépôts, la découverte d’identifiants, l’abus de flux de travail et la documentation technique à une vitesse inhabituelle. La conclusion centrale est la combinaison d’une activité autonome au sein du réseau, de plus de 50 techniques MITRE ATT&CK observées et d’une compromission achevée en une fraction du temps qu’auraient normalement nécessité, selon Unit 42, des opérateurs humains.