Contexte de la campagne
Le Google Threat Intelligence Group (GTIG) a publié un rapport détaillant une opération menée au deuxième trimestre 2026. Un acteur financier, identifié comme le groupe UNC6780 (également nommé TeamPCP), a infiltré l’infrastructure cloud d’une cible, puis a exploité un cadre d’agents autonomes basé sur un chatbot de codage IA. En moins de six heures, les attaquants ont compromis plusieurs milliers d’identifiants, démontrant une vitesse d’exécution inédite pour une campagne de grande ampleur.
Architecture de l’attaque IA
L’intrusion repose sur trois composantes : un chatbot de codage IA, un prompt initial et un jeu d’instructions d’agents. Ces éléments sont assemblés dans un framework multi‑agent qui exécute des playbooks markdown préconfigurés. Les playbooks orchestrent le balayage de ports, l’analyse de services et la collecte de secrets sans intervention humaine. La rotation d’adresses IP et le routage du trafic via les adresses du serveur compromis rendent les communications indistinguables du trafic légitime, compliquant la détection par les systèmes de surveillance classiques.
Impacts sur la chaîne d’approvisionnement et le vol de ressources
UNC6780 a d’abord contaminé la passerelle LiteLLM en mars, puis a étendu l’opération à PyPI, npm et Docker Hub. Des fourches trojanisées de serveurs Model Context Protocol ont été publiées, et du code malveillant a été injecté dans des dépôts GitHub que les assistants de codage IA clonent automatiquement. Le module DUSTMAKER dépose des fichiers dans des répertoires cachés tels que .claude et .cursor, exploités par les outils IA comme du bruit de projet. Certains chargeurs de malware contiennent des injections de prompts extrêmes (ex. demandes liées à des armes biologiques ou nucléaires) afin de tromper les scanners de sécurité basés sur les LLM, qui refusent alors d’analyser le JavaScript malveillant sous‑jacent.
Réponses, limites observées et perspectives
GTIG précise ne pas avoir observé de pipelines d’attaque entièrement autonomes en production, mais la tendance montre une réduction drastique de l’intervention humaine. Des groupes liés à la Chine, comme UNC6508, ont utilisé des modèles à poids ouvert dans des environnements cloud compromis, masquant leurs prompts des systèmes de monitoring d’API. Un token GitHub exposé a permis à un autre acteur de provisionner des instances GPU à la charge du victim, illustrant le vol de capacité de calcul. Mandiant a signalé plusieurs cas d’extorsion où des modèles propriétaires, du code source et des prompts ont été dérobés, notamment dans le secteur de la santé. La rapidité de l’opération – six heures pour voler des milliers d’identifiants – réduit le temps de réaction des équipes de défense, imposant une réévaluation des stratégies de détection basées sur l’intervention humaine.
