Dans un rapport publié le 27 octobre 2026, l’équipe de recherche TrendAI (Trend Micro) documente trois infrastructures d’attaque visant principalement le Japon, chacune illustrant un niveau différent d’utilisation de l’IA. Dans le cas le plus avancé, l’outil open source CyberStrikeAI répartissait le travail entre 44 agents IA, de la reconnaissance jusqu’au rapport final. Le constat le plus important pour les défenseurs est ailleurs : aucune vulnérabilité inédite n’a été nécessaire.
- Trois infrastructures d’attaque distinctes, trois niveaux d’IA : exécution autonome par agents, assistance IA pilotée par un humain, et aide ponctuelle au développement d’outils.
- Avec CyberStrikeAI, au moins 19 organisations, dont au moins 16 au Japon, ont fait l’objet d’activités d’attaque en octobre 2026.
- Les points d’entrée étaient classiques : interfaces d’administration exposées sans authentification, identifiants par défaut, équipements VPN et systèmes web vieillissants.
- L’IA augmente la vitesse et l’échelle des attaques ; elle ne remplace pas les fondamentaux. L’hygiène de la surface d’attaque reste la défense la plus rentable.
Ce qu’ont observé les chercheurs
Les chercheurs Bakuei Matsukawa et Joseph C. Chen ont analysé des fichiers laissés par les attaquants dans des répertoires ouverts. Leur rapport, intitulé « Not Only ARTEX: The Different Levels AI is Used in Attacks Targeting Japan », prolonge les travaux déjà publiés sur ARTEX, un système autonome de test d’intrusion piloté par IA. Les trois infrastructures étudiées sont toutefois distinctes de celles d’ARTEX, et rien ne permet d’établir un lien entre leurs opérateurs.
| Cas | Rôle de l’IA | Période | Cibles et points d’entrée |
|---|---|---|---|
| A — CyberStrikeAI | Exécution autonome de tout le flux d’attaque par 44 agents | Octobre 2026, sur une courte fenêtre | Systèmes web anciens de PME et de collectivités ; interface d’administration accessible sans authentification |
| B — Opérateur assisté | Planification et développement d’outils ; décisions prises par l’humain | Août–septembre 2026 (environ 24 jours) | Systèmes anciens et infrastructures IA/GPU exposées ; serveur SIG accessible avec des identifiants par défaut |
| C — Aide ponctuelle | Développement de scripts (attribution IA par indices stylistiques) | Janvier–octobre 2026, au moins six campagnes | VPN exposés (Cisco SD-WAN, Citrix NetScaler, F5 BIG-IP, Yamaha RTX1210) et serveurs WebLogic |
Cas A : 44 agents pour une chaîne d’attaque complète
CyberStrikeAI est un outil open source de test d’intrusion fondé sur des agents IA, détourné ici en plateforme d’attaque. Une entrée de journal, « credential-search agent 8/44 », révèle une configuration à 44 agents spécialisés : reconnaissance, recherche et validation de vulnérabilités, exploitation, puis commande et contrôle, persistance, exfiltration et rédaction automatique d’un rapport par cible. L’outil produisait aussi des formulaires et de fausses pages de connexion en japonais.
Deux détails retiennent l’attention. Le trafic était volontairement limité pour chaque cible afin de rester sous les seuils de détection. Et, malgré cette industrialisation, la compromission profonde est restée rare : de nombreuses cibles étaient notées « no session, no web shell, no exfiltration ».
Cas B : l’IA comme copilote de l’attaquant
Ici, un opérateur humain s’appuyait sur un LLM pour planifier ses actions et développer ses outils. Plus de 6 000 adresses IP japonaises ont été scannées. Un serveur SIG exposé avec des identifiants par défaut a donné accès à des données, à des identifiants Windows et à la messagerie. Dans une entreprise, l’attaquant a obtenu une chaîne de contrôle complète (FTP, base de données, droits administrateur, web shell, SSH) et a restauré ses portes dérobées à plusieurs reprises après nettoyage. Le vol de plusieurs centaines de milliers d’enregistrements cadastraux et commerciaux y a été confirmé.
Le rapport relève aussi une technique de contournement des garde-fous : présenter la demande au modèle comme une évaluation autorisée. L’attaquant visait également des services d’inférence et des plateformes de workflow IA exposés, vraisemblablement pour obtenir à moindre coût de la capacité de calcul.
Cas C : des équipements de bordure dans le viseur
Le troisième ensemble ciblait plus de 1 300 serveurs WebLogic candidats et au moins 35 points d’accès VPN. Pour le Yamaha RTX1210, aucune vulnérabilité n’a été exploitée : des identifiants récupérés dans des fichiers de configuration suffisaient pour se connecter directement aux réseaux internes.
Pourquoi c’est important pour votre organisation
Ce rapport confirme une tendance de fond : l’IA abaisse le coût d’une campagne d’attaque. Un seul opérateur peut désormais balayer des milliers de systèmes, tester des identifiants, documenter ses résultats et adapter ses leurres à la langue locale. Les cibles privilégiées ne sont pas les systèmes les mieux défendus, mais les plus oubliés : anciennes applications web, consoles d’administration publiées par erreur, équipements VPN mal configurés.
Autre signal à prendre au sérieux : vos propres services IA deviennent des cibles. Plateformes d’inférence, chaînes de traitement LLM et ressources GPU exposées sur Internet attirent des attaquants qui cherchent à consommer cette puissance à vos frais.
Lecture MITRE ATT&CK
Le rapport ne fournit pas de correspondance ATT&CK. Le tableau ci-dessous est une lecture indicative de Defensy, établie à partir des comportements décrits, pour aider vos équipes SOC à prioriser leurs règles de détection.
| Technique | Comportement observé |
|---|---|
| T1595 — Active Scanning | Balayage massif d’adresses IP japonaises (cas B) et de serveurs WebLogic (cas C) |
| T1190 — Exploit Public-Facing Application | Exploitation de systèmes web anciens et de vulnérabilités publiées sur les équipements de bordure |
| T1078.001 — Default Accounts | Serveur SIG accessible avec des identifiants par défaut |
| T1552.001 — Credentials In Files | Identifiants extraits de fichiers de configuration VPN |
| T1133 — External Remote Services | Connexion directe aux réseaux internes via le VPN |
| T1505.003 — Web Shell | Web shell déployé et restauré après nettoyage |
Recommandations
Les recommandations ci-dessous reprennent les priorités publiées par TrendAI, complétées par notre expérience terrain.
- ImmédiatInventorier tout ce qui est exposé sur Internet
Recensez vos applications web, consoles d’administration, VPN et services IA accessibles depuis l’extérieur. Mettez à jour ou isolez les plateformes vieillissantes : elles sont la cible n° 1 des trois campagnes.
- ImmédiatÉliminer les identifiants par défaut et les interfaces d’administration publiques
Aucune console d’administration ne doit être joignable sans authentification forte. Vérifiez systématiquement les comptes par défaut sur les équipements et logiciels exposés.
- Court termeDurcir les équipements de bordure
Appliquez les correctifs des VPN et passerelles (patch virtuel si nécessaire), protégez les fichiers de configuration et contrôlez la réutilisation d’identifiants entre équipements.
- Court termeVérifier l’exposition de vos services IA
Services d’inférence, plateformes de workflow LLM et ressources GPU ne doivent pas être publiés sans contrôle d’accès. Surveillez leur consommation pour détecter un usage détourné.
- Moyen termeAdapter la détection aux attaques lentes et distribuées
Les agents IA limitent volontairement leur trafic par cible. Corrélez les tentatives à faible fréquence sur de longues périodes plutôt que de vous reposer sur des seuils de volume.
- Moyen termeEncadrer l’usage des LLM en interne
Préparez-vous aux détournements par fausse prémisse (« ceci est un test autorisé ») : politique d’usage, journalisation des requêtes et contrôles sur les modèles déployés.
Ces campagnes ne reposent sur aucun exploit sophistiqué : elles exploitent ce que l’organisation ignore d’elle-même. Connaître sa surface d’attaque avant l’attaquant est devenu indispensable quand ce dernier dispose de dizaines d’agents automatisés.
Avec IGIDER Strike, nos équipes identifient en continu les actifs exposés et les vulnérabilités réellement exploitables. Avec IGIDER Watch, notre SOC détecte les signaux faibles d’une attaque lente et distribuée. Et notre offre Adoption sécurisée de l’IA vous aide à protéger vos propres services IA.
- Not Only ARTEX: The Different Levels AI is Used in Attacks Targeting JapanTrendAI (Trend Micro) — B. Matsukawa, J. C. Chen — 27 octobre 2026
- CyberStrikeAI Uses 44 AI Agents to Automate Hacking Operations Against Japan TargetsThe Hacker News — octobre 2026
- MITRE ATT&CK® — Enterprise MatrixMITRE Corporation
