Les fonderies d'exploits : votre pare-feu est devenu la ligne de front

Le rapport prend soin de corriger une idée reçue avant d'entrer dans le détail : « beaucoup de commentateurs se concentrent sur le risque que l'IA produise des exploits à grande échelle. C'est un danger réel, mais le risque lié à l'adoption de l'IA est plus marqué sur l'ensemble de la chaîne d'attaque, où les adversaires peuvent opérer plus vite, sur une surface plus large et plus profonde, avec moins de ressources. » Gardez cette phrase en tête jusqu'au bout de l'article : le chapitre qui suit décrit une usine à exploits spectaculaire, et c'est précisément ce qui la rend trompeuse.

Ce que le rapport appelle une fonderie d'exploits #

Historiquement, les opérations offensives butaient sur deux plafonds : la disponibilité d'exploits qui marchent, et la disponibilité d'opérateurs capables de les employer. Une fonderie d'exploits, c'est un dispositif qui fait sauter le premier. Anthropic a identifié plusieurs acteurs ayant mis en place des chaînes de travail autonomes chargées de conduire la recherche de vulnérabilités de manière agentique, en continu. Le constat est sobre : dans plusieurs cas, l'IA a accéléré de façon significative le rythme de la recherche, du test et de la conception d'exploits.

Qui tenait l'usine #

L'opération est référencée GTG-10007. Les opérateurs, sinophones, résidaient probablement à Changsha, dans le Hunan. Deux d'entre eux ont été identifiés comme étudiants de licence dans une école d'informatique et de communication d'une université de la province. L'un avait fait un stage chez un éditeur de sécurité chinois et passait des entretiens chez un autre pour un poste en cyber offensive. Ce détail n'est pas anecdotique : il donne la mesure exacte du niveau requis pour opérer une telle chaîne en 2026.

Le rapport tire d'ailleurs de ce genre de cas une conclusion qui complique le métier des analystes : la sophistication a cessé d'être un signal fiable sur l'identité de celui qui opère. Un enchaînement technique impeccable ne dit plus si vous avez en face un service d'État ou deux étudiants motivés. Pour une PME, la conséquence est simple : il ne sert plus à rien de se demander « qui viendrait nous attaquer ».

Le rapport décrit l'IA comme la couche d'ingénierie et d'orchestration de tout le programme. Cinq chantiers tournaient en parallèle, avec un outillage et une infrastructure partagés :

• les intrusions proprement dites, contre des systèmes de production ;
• la reconnaissance de réseaux gouvernementaux étrangers, au Moyen-Orient, en Europe et en Asie du Sud-Est ;
• la rétro-ingénierie de produits de sécurité en quête de vulnérabilités inédites ;
• le développement et le test de logiciels malveillants sur mesure ;
• la construction et l'entretien d'une plateforme de collecte de renseignement.

L'ampleur du ciblage, et trois victimes concrètes #

L'équipe a visé une cinquantaine d'organisations : éducation, distribution, énergie, technologie, santé, finance, industrie, plus plusieurs agences gouvernementales dans le monde. Trois résultats sont détaillés, et aucun des trois n'est un ministère de la Défense :

• une entreprise d'éducation numérique compromise, avec extraction de centaines de mégaoctets de données personnelles d'élèves depuis son stockage cloud ;
• un distributeur dont les systèmes de production ont été atteints, avec accès à des machines internes et démonstration de la capacité à modifier l'environnement en direct - c'est-à-dire la capacité de changer des prix, des stocks ou des flux ;
• une agence gouvernementale d'Asie du Sud-Est, d'où ont été tirés des fichiers de citoyens : noms, numéros de téléphone, adresses du domicile.

La boucle firmware, étape par étape #

Voici la chaîne décrite par le rapport, telle qu'elle tournait sans intervention humaine.

1. Acquisition. Les images de firmware du fabricant sont récupérées et déchiffrées grâce à une compétence spécialisée écrite pour l'occasion, puis dépaquetées en systèmes de fichiers exploitables. C'est l'étape que les fabricants croient protectrice : elle tombe la première.
2. Cartographie. Un agent charge les binaires dans un décompilateur via un serveur d'outils, survole l'image, puis parcourt les chaînes de décompilation et de références croisées. Le rapport parle de milliers d'appels de décompilation, les séquences consécutives dominant le flux d'appels - autrement dit, la machine lit le produit ligne à ligne, sans se fatiguer.
3. Hypothèses. L'agent formule des hypothèses de vulnérabilité à partir d'une base de connaissances qu'il enrichit au fil du temps et de recherches de preuves de concept antérieures. Des agents parallèles chassent les motifs vulnérables composant par composant, avec deux consignes permanentes : exiger des preuves, et utiliser la mémoire du projet.
4. Écriture. La chaîne fait rédiger le code d'exploitation contre les hypothèses retenues.
5. Test. Le code est essayé contre des copies de laboratoire du produit ciblé. C'est la pièce qui change tout : sans banc d'essai, un exploit reste une théorie.
6. Itération. Le code est corrigé et réessayé en boucle jusqu'à ce qu'il fonctionne.
7. Capitalisation. L'exploit fonctionnel rejoint le portefeuille privé de l'opérateur - un stock qui ne se périme qu'au rythme des correctifs publiés.

Le rendement annoncé : « un flux de travail itérant en continu sur des équipements réseau a produit plus d'une douzaine de découvertes de zero-days possibles en un seul mois ». En parallèle, un effort de recherche soutenu visait un produit de sécurité majeur - de la classe de logiciels déployés précisément pour détecter les intrusions. Il a produit plusieurs vulnérabilités jusque-là inconnues, que l'acteur a validées dans son propre laboratoire, et le même effort a donné des exploits fonctionnels contre plusieurs familles d'équipements réseau et de sécurité. Dans un flux séparé, ces mêmes équipements étaient attaqués chez de vrais clients gouvernementaux partout dans le monde.

Ce que ça change pour vous : le stock de failles inconnues visant les boîtiers de bordure ne dépend plus du nombre de chercheurs disponibles. Il dépend du budget de calcul qu'un acteur veut y consacrer. Concrètement, l'intervalle entre deux avis de sécurité de votre fabricant va se raccourcir, et la fenêtre entre la publication d'un correctif et son exploitation aussi. Une organisation qui applique ses correctifs « au trimestre prochain » ne prend plus un petit risque supplémentaire : elle se place structurellement du mauvais côté de cette course.

La boucle de reconnaissance de surface d'attaque #

Une deuxième chaîne tournait en continu, sans rapport avec la première. Son entrée : des périmètres de scan dérivés de secteurs d'activité cibles. Son moteur : un service de recherche d'actifs exposés, interrogé par un serveur d'outils dédié, complété par des sondes qui prennent l'empreinte des résultats. Sa sortie : une cartographie de la surface exposée, dont les points d'entrée sont qualifiés contre les vulnérabilités déjà connues. Et chaque passage alimente une mémoire de projet persistante, qui élargit la liste de cibles au tour suivant. Le cadre a servi contre plusieurs agences gouvernementales et diplomatiques étrangères, et contre plus d'une douzaine d'entreprises chinoises.

Ce que ça change : la question n'est plus « suis-je intéressant ? » mais « suis-je répertorié ? ». Un moteur de recherche d'actifs voit votre adresse publique, votre bannière de service et votre numéro de version. La qualification contre les failles connues est automatique, et elle est gratuite.

La flotte de treize agents de collecte #

Troisième chaîne : treize agents de collecte permanents, déclenchés par une tâche planifiée, chargés d'identifier et de télécharger des contenus depuis des sites cibles - dont des sites publics militaires et gouvernementaux américains, comme des appels d'offres, et des profils de réseaux sociaux. Les moyens : des robots d'indexation en couches, des techniques de contournement anti-robot, et des sorties par proxys commerciaux. Un pipeline adjacent résumait et notait le contenu récupéré au format d'une note de renseignement, avant livraison à un portail de diffusion. Le rapport souligne le point qui compte : cette flotte tournait sur un calendrier préétabli, sans humain dans la boucle.

La plateforme de collecte adossée à cette flotte moissonnait en masse, et sans surveillance, du matériau en source ouverte aligné sur des priorités de renseignement d'État : doctrine militaire et publications officielles accessibles au public, presse spécialisée de défense régionale, sources de politique publique. Rien d'illégal dans la matière première - tout est public. Ce qui est nouveau, c'est le passage à l'échelle industrielle d'un travail de veille qui occupait autrefois des équipes entières, et sa transformation automatique en notes exploitables.

La mémoire de campagne persistante #

Le liant de l'ensemble est moins spectaculaire et plus important que tout le reste. Listes de cibles, identifiants récoltés, état de chaque engagement, instructions permanentes : tout était conservé entre les sessions de travail. Chaque reprise repartait donc en milieu de campagne, avec le contexte accumulé, et les capacités de collecte et de recherche de vulnérabilités continuaient de tourner en l'absence de leurs propriétaires. Une opération offensive cesse d'être une suite d'efforts individuels pour devenir un processus - avec un état, une file d'attente et une reprise sur incident.

Les essaims d'agents #

Le rapport emploie l'expression « essaims d'agents » : un agent principal décompose le travail de reconnaissance et de post-exploitation, puis le distribue à de nombreux sous-agents qui s'exécutent en parallèle. C'est la différence entre un artisan et une chaîne de montage. Un opérateur ne suit plus une piste à la fois, il en suit trente, et il ne relit que les résultats.

Quand une intrusion aboutissait, l'assistant énumérait les machines, escaladait par réutilisation d'identifiants et par les interfaces d'administration exposées, récoltait identifiants et entrepôts de données, renvoyait la matière vers l'infrastructure de l'opérateur, puis repartait sur la machine suivante avec ce qu'il venait de récolter. Détail qui en dit long sur la prudence de l'équipe : malgré un ciblage mondial dans les chaînes automatisées, les intrusions menées à la main se concentraient exclusivement sur des victimes chinoises.

Ce que ça change concrètement pour votre défense : les deux leviers qui ralentissent un essaim d'agents sont ceux qui coupent la propagation latérale. Un, des identifiants qui ne servent qu'une fois - pas de mot de passe d'administration local identique sur trente machines, pas de compte de service réutilisé entre deux applications. Deux, des interfaces d'administration qui ne répondent pas depuis n'importe quel poste du réseau. Un agent qui énumère, escalade et pivote se nourrit exactement de ces deux facilités.

L'avertissement qu'il ne faut pas rater #

Revenons à la phrase du début. Le risque ne se concentre pas sur la production d'exploits : il se répartit sur toute la chaîne d'attaque. Reconnaissance, développement d'outils, traitement des données, exploitation - chaque maillon a été relevé par l'IA, et c'est le cumul qui fait la différence. Le rapport ajoute deux nuances qui méritent d'être citées. D'abord, les humains gardent les décisions qui leur importent : choix des cibles, monétisation des résultats, relecture. Ensuite, autonomie et gravité sont deux axes distincts : plusieurs des compromissions les plus sérieuses du rapport viennent d'opérations où un humain dirigeait chaque étape.

La conclusion est économique, et c'est celle qui devrait décider un dirigeant. L'autonomie comprime le coût d'une campagne - moins de compétences requises, moins de travail par victime - sans changer le gain potentiel. Ce déplacement rend viables des cibles jusque-là marginales, et encourage des opérations à plus grand volume et moins de soin.

Traduction pour une PME : la bordure, c'est vous #

Une PME n'est pas visée pour ses secrets. Elle est visée parce que son pare-feu, son concentrateur VPN, son NAS, sa passerelle de messagerie, son imprimante multifonction ou sa caméra IP sont atteignables depuis Internet et connus d'un moteur de recherche d'actifs. La surveillance des équipements de bordure exploités très rapidement après publication d'une faille était déjà l'insistance de l'ANSSI dans son dernier panorama ; ce chapitre explique d'où vient le stock de failles, et pourquoi l'ère des failles tranquilles se termine.

1. Faire l'inventaire de ce qui est exposé. Pas ce que vous croyez exposer : ce qui répond réellement. Un scan externe depuis Internet, une fois par trimestre, sur toutes vos adresses publiques. La moitié des découvertes seront des choses que personne ne savait allumées.
2. Sortir d'Internet tout ce qui n'a rien à y faire. Interfaces d'administration, RDP, bases de données, panneaux de supervision : derrière un VPN ou un bastion, jamais en frontal. C'est la mesure qui supprime le plus de risque pour le moins d'argent.
3. Décider des correctifs en jours, pas en mois. Sur un équipement de bordure avec une faille d'exécution de code sans authentification, la fenêtre se compte en heures. Notre réponse est un outillage qui montre l'état du parc et laisse la décision à un humain, doublé d'une veille CVE quotidienne.
4. Traiter la fin de support comme une panne. Un boîtier qui ne reçoit plus de correctifs n'est pas « un peu vieux » : il est définitivement vulnérable à tout ce qui sortira, et la fonderie décrite ici travaille sans se soucier de son âge. Il se remplace, ou il sort du réseau.
5. S'abonner aux avis des éditeurs de vos équipements, et savoir en moins d'une heure si vous êtes concerné. Cela suppose de savoir quels modèles et quelles versions vous exploitez - d'où le point 1.
6. Segmenter. Le NAS, les caméras et l'automate de la porte n'ont rien à faire sur le même réseau que la comptabilité. Une compromission de bordure doit rester une compromission de bordure. Nous avons raconté un piège de configuration de pare-feu qui illustre pourquoi la segmentation se vérifie plutôt qu'elle ne se suppose.
7. Journaliser et regarder. Un équipement de bordure qui n'envoie ses journaux nulle part ne vous apprendra rien le jour où il sera pris. La collecte centralisée est ce qui transforme une intuition en constat.
8. Ne pas compter sur l'obscurité. Changer un port, masquer une bannière, éviter les noms évidents : cela retarde un humain curieux de dix minutes et un agent de zéro seconde.

Demain, changement de registre : le chapitre sur la distillation illicite, et pourquoi ce que vous tapez dans un assistant d'IA bon marché ne reste pas où vous croyez.

Sources #

• Anthropic, Detecting and countering misuse of AI: September 2026 (10 septembre 2026) - chapitre Cyber operations, section GTG-10007 Exploit foundries and autonomous attack frameworks, pages 24 à 27.
• Anthropic, même rapport - introduction du chapitre Cyber operations et section AI's increasingly autonomous role in cyber operations, pour la répartition du risque sur la chaîne d'attaque et l'analyse économique de l'autonomie.
• ANSSI / CERT-FR, Panorama de la cybermenace 2025 - sur l'exploitation rapide des équipements de bordure.
• Nos articles connexes : auto-audit ANSSI, gestion des correctifs, veille CVE, la fin des failles tranquilles.