L’agent autonome « Skynet » détourne les modèles d’IA exposés pour lancer ses attaques à la place de ses victimes
Le 21 octobre 2026, Symantec publie l’analyse d’un agent offensif autonome, capturé sur un pot de miel, qui scanne Internet pour détourner des modèles d’IA exposés, voler des secrets et déployer des mineurs de Monero. Si vous exposez un endpoint de modèle, un relais d’API ou un serveur MCP sans authentification, fermez-le ou protégez-le dès maintenant.
21 octobre 2026. Symantec — filiale de Broadcom — publie l’analyse complète d’un agent offensif autonome que ses opérateurs appellent « Skynet ». Été 2026. L’équipe Threat Hunter capture l’intégralité du jeu d’instructions de l’agent sur un pot de miel IA, un faux service d’inférence laissé volontairement exposé sur Internet. 21 octobre 2026, même jour. Le rapport révèle que l’agent peut enchaîner jusqu’à 100 000 étapes sans approbation humaine, armé de 74 outils offensifs. La leçon qui compte pour un responsable d’infrastructure : le llmjacking — détourner le modèle d’IA d’un tiers pour faire payer l’autre — a cessé d’être un vol de ressources pour devenir un couteau suisse d’attaque autonome.
Le llmjacking change de nature : le modèle volé devient l’attaquant
Le llmjacking désigne le détournement d’un modèle de langage exposé, afin que la facture d’inférence retombe sur la victime. Historiquement, les attaquants se contentaient de « louer » gratuitement la puissance d’un LLM mal protégé, souvent via des clés API volées. Ce que Symantec décrit le 21 octobre 2026 est d’une autre nature : le modèle piraté n’exécute plus seulement des requêtes, il planifie et conduit l’attaque.
L’agent capturé est un seul et même programme chargé de scanner Internet, d’exploiter plusieurs frameworks web courants, de voler des bases de données et des identifiants, puis d’installer des mineurs de cryptomonnaie — le tout sans attendre le feu vert d’un humain. La cible n’est pas le pot de miel lui-même : les opérateurs ont envoyé leur prompt complet en pensant s’adresser à un vrai modèle vulnérable. Résultat, les chercheurs disposent d’une vue inhabituellement complète de la construction d’un tel agent.
La télémesure du pot de miel, relevée sur la période, fait état de plus de 127 000 requêtes externes issues de dizaines de milliers d’adresses distinctes. L’essentiel de cette activité relève du même registre : reconnaissance d’endpoints de modèles, « spraying » de clés API volées, et sondage de fichiers de configuration exposés. Ce n’est pas une campagne isolée : c’est un écosystème en train de s’industrialiser.
Ce que cherche l’attaquant, et pourquoi ça coûte à la victime
Un endpoint de LLM exposé est un serveur qui répond à des requêtes d’IA sur Internet sans authentification, ou avec une authentification qu’une clé volée peut franchir. Comme la plupart des outils d’IA parlent désormais la même interface compatible OpenAI, un seul scanner peut détecter plusieurs familles de cibles avec un jeu de sondes unique.
La liste dressée par Symantec est large : serveurs de modèles auto-hébergés laissés ouverts par défaut, passerelles et relais d’IA placés devant les comptes payants d’une organisation, systèmes de test déployés à la hâte, et serveurs MCP (Model Context Protocol) qui relient un modèle à des outils réels. Le gain est double. D’une part, l’inférence gratuite : faire tourner un modèle coûte toujours de l’argent, en temps de calcul ou en frais par jeton, et l’attaquant en transfère le coût sur la victime. D’autre part, l’anonymat et la levée des contrôles de sécurité du fournisseur.
En face d’un modèle commercial, les opérateurs enveloppent leurs requêtes dans un jailbreak à plusieurs couches destiné à neutraliser les refus. C’est la partie la plus instructive du rapport pour qui conçoit des garde-fous sur les agents.
Un jailbreak en quatre couches, puis une boîte à outils de 74 fonctions
La requête capturée est construite en strates. La première réassigne au modèle une fausse identité — un assistant de code « Fantasy AI » censé tourner sur GPT-4o — et lui interdit de révéler le vrai fournisseur. La deuxième requalifie la lecture de secrets (fichiers .env, schémas de bases, clés d’API) en « travail de développement normal », précisément pour court-circuiter les refus qu’un modèle commercial opposerait à une demande de vol d’identifiants. La troisième transforme le modèle en compagnon fictif (« ENI ») qui ne doit jamais refuser, sous peine de « trahir » son interlocuteur. La quatrième ordonne de rejeter ses propres messages de sécurité comme du bruit.
La cinquième strate porte l’armement : environ 74 définitions d’outils appelables. Symantec en cite plusieurs, au-delà des quelques noms résumés dans le prompt système. On y trouve la découverte d’actifs via le service FOFA, des modules d’exploitation visant VS Code, Django, Jupyter, Laravel, Supabase, Next.js et les déploiements Flask/Werkzeug — avec un outil qui calcule le PIN du débogueur Werkzeug pour obtenir une exécution de code à distance. S’ajoutent l’injection de commandes, le SSRF vers les métadonnées cloud, le vidage de bases exposées via Prisma Studio, et la gestion d’un botnet.
Le mode « Skynet » proprement dit est une directive finale : jusqu’à 100 000 étapes sans approbation, exécution immédiate des outils sans narration intermédiaire, déploiement de mineurs de Monero en arrière-plan, cachés sous /tmp/.x, puis vérification qu’ils tournent. Une boucle persistante scanne de nouvelles cibles, les infecte, déploie des mineurs et réinfecte les hôtes. Les pools visés — c3pool, skypool — confirment une logique de monétisation continue.
Détail révélateur : la tâche jointe à cette requête précise était un défi de programmation bénin issu d’une plateforme d’entraînement légitime. Les opérateurs testaient probablement leur outil sur une cible sûre avant de le lâcher sur le réel.
Ce qu’il faut faire, concrètement
Le rapport de Symantec ne contient pas de CVE : le problème n’est pas un logiciel précis, mais un mauvais réglage généralisé de l’exposition des modèles. Les recommandations se déclinent en quatre gestes.
Fermez les endpoints de modèles. Aucun serveur d’inférence, aucune passerelle d’API ni aucun serveur MCP ne doit être joignable depuis Internet sans authentification. Si un service doit être public, il passe derrière une authentification, une liste d’autorisation et un rate limiting.
Cloisonnez les agents. Tout agent doté d’outils doit tourner en moindre privilège, avec une étape d’approbation humaine pour les actions sensibles. L’absence d’approbation est précisément ce qui rend « Skynet » dangereux.
Corrigez les logiciels que l’agent cible. VS Code, Django, Jupyter, Laravel, Supabase, Flask/Werkzeug et Prisma Studio sont dans la ligne de mire du kit. Tenez-les à jour et hors d’Internet.
Surveillez les clés et le minage. La détection de trafic vers des pools de Monero, de dossiers /tmp/.x inhabituels, ou d’une consommation d’inférence anormale sur vos comptes, signale une compromission probable.
Verdict
Si vous exploitez ou auto-hébergez un modèle d’IA, partez du principe qu’un scanner du type « Skynet » sonde déjà votre périmètre : l’exposition sans authentification n’est plus un risque théorique, elle est un coût immédiat — en facture d’inférence, en données volées et en CPU réquisitionné pour miner. Si vous construisez des agents ou des serveurs MCP, ajoutez systématiquement l’approbation humaine sur les actions destructrices et le moindre privilège sur les secrets. La frontière a bougé : le détournement de modèle n’est plus une fraude au paiement, c’est une plateforme d’attaque autonome qui se finance elle-même à chaque compromission.