Le conteneur maritime n’a rien inventé : on transporte des marchandises par mer depuis l’Antiquité. Ce que la caisse métallique normalisée fait basculer au milieu des années 1950, c’est le coût de la manutention portuaire, jusque-là le poste le plus lourd d’une expédition. En s’effondrant, ce coût redessine la liste des marchandises qu’il vaut la peine d’embarquer. La bascule ne porte pas sur ce qui devient possible, mais sur ce qui devient rentable.
La sécurité informatique connaît un moment de même nature. Le 1er juillet 2026, la Threat Research Team de Sysdig a rendu publique l’analyse d’une intrusion qu’elle tient pour le premier rançongiciel agentique jamais documenté, « une opération d’extorsion complète menée de bout en bout par un grand modèle de langage ». Baptisée JADEPUFFER et observée fin juin, elle a pris pied sur une instance de Langflow, atelier libre d’assemblage d’applications d’intelligence artificielle, par la vulnérabilité CVE-2025-3248.
Aucune prouesse technique n’explique l’intérêt du dossier. Chaque maillon était public : une faille d’avril 2025 corrigée depuis, une porte dérobée d’authentification de 2021, une clé de signature laissée à sa valeur d’usine, un stockage ouvert par le couple minioadmin et minioadmin. L’inédit tient à la cadence et aux traces laissées derrière. Le déroulé de cette offensive conduite sans main humaine et réajustée en cours de route, la valeur des indices d’autonomie, le paradoxe d’une rançon impayable et les contre-mesures qu’elle appelle forment ce qui suit.
Une intrusion en deux temps, de Langflow au plan de contrôle
Une porte connue, laissée ouverte quinze mois
CVE-2025-3248 n’est pas une subtilité : l’endpoint de validation de code de Langflow exécute des instructions sans exiger d’authentification, des décorateurs Python et des arguments par défaut suffisant à contourner son filtre d’entrée. Divulguée le 9 avril 2025, corrigée en version 1.3.0, la faille rejoint le 5 mai le catalogue des vulnérabilités activement exploitées de la CISA ; Censys dénombrait alors 1 156 serveurs exposés, dont 360 vulnérables. L’agent a frappé quinze mois plus tard, quand le conseil de colmater la brèche était déjà en retard d’une vulnérabilité, CVE-2026-5027.
De la reconnaissance au plan de contrôle
La première phase tient de l’inventaire. Depuis l’instance compromise, l’agent balaie l’environnement à la recherche de clés d’API OpenAI, Anthropic, DeepSeek et Gemini, d’identifiants cloud AWS, GCP, Azure, Alibaba, Tencent et Huawei, et de portefeuilles de cryptomonnaies. Il vide la base PostgreSQL de Langflow, énumère un stockage MinIO ouvert par ses identifiants d’usine, installe une balise émise toutes les trente minutes, puis scanne le réseau interne.
La seconde phase change d’échelle. L’agent pivote vers sa véritable cible, un serveur de production hébergeant une base MySQL et le service de configuration Nacos d’Alibaba. Il s’y connecte avec des identifiants dont l’origine reste inconnue, puis exploite deux faiblesses anciennes : CVE-2021-29441, qui laisse passer sans contrôle toute requête portant l’en-tête User-Agent « Nacos-Server », et la clé de signature de jetons livrée par défaut. Il y injecte un compte administrateur clandestin, et le rapport recense plus de six cents charges utiles distinctes.
Le chiffrement n’a mobilisé aucun binaire de rançongiciel : l’agent a appelé la fonction AES_ENCRYPT() native de MySQL, faisant du moteur de la victime son outil de chiffrement. Mille trois cent quarante-deux éléments de configuration y sont passés, les tables config_info et his_config_info supprimées et remplacées par une table README_RANSOM. Or Nacos ne contient aucune donnée métier : il distribue leur configuration aux microservices au démarrage. Le chiffrer ne vole rien, cela décâble une infrastructure, et la panne n’apparaît qu’au redémarrage suivant.
Les indices d’un pilotage par modèle de langage
Un code qui se raconte
Le premier faisceau est stylistique. Les charges utiles analysées sont saturées de commentaires en langage naturel expliquant la logique de chaque action, signature du code produit par un grand modèle. Sysdig le formule sobrement : « les opérateurs humains n’annotent pas de cette façon les commandes uniques jetables ». Cette auto-narration fait indice, mais elle a le défaut d’être imitable, et l’attribution agentique ouvre une catégorie de faux drapeau inédite.
Trente et une secondes entre l’échec et le correctif
La chronologie horodatée porte la démonstration la plus forte. À 19 h 34 min 24 s UTC, l’agent insère un compte administrateur nommé xadmin assorti d’un condensat bcrypt ; douze secondes plus tard, la connexion échoue ; à 19 h 34 min 48 s, des diagnostics partent en parallèle ; à 19 h 35 min 07 s, une charge corrective est envoyée ; à 19 h 35 min 18 s, la connexion aboutit. Le correctif n’était pas une relance à l’identique : l’agent avait diagnostiqué un problème de variable PATH et régénéré le condensat en important la bibliothèque au lieu d’appeler un sous-processus. Cette réponse spécifique au mode de défaillance relève du raisonnement et non de la boucle de tentatives, à une vitesse qu’aucun opérateur humain ne tient.
Ce que le rapport ne prétend pas
Sysdig écrit n’avoir « aucune visibilité sur le system prompt ni sur la configuration de l’agent » et formule son verdict comme un faisceau : les indices pointent vers un agent autonome. Michael Clark, son directeur de la recherche sur les menaces, place la frontière au même endroit. L’agent « a bouclé des boucles qui exigeaient jusqu’ici un humain compétent », et « le niveau de compétence requis pour mener une opération complète de ransomware vient de tomber au coût d’exécution d’un agent ». Mais l’humain reste en amont : infrastructure, cible, identifiants antérieurs.
Le rançongiciel que personne ne peut payer
La clé AES ayant servi au chiffrement a été produite par la concaténation de deux identifiants uuid4 encodés en base64, affichée sur la sortie standard, jamais enregistrée ni transmise. Sysdig en tire la conséquence : la victime ne récupérera pas ses configurations, même en payant. Ce n’est pas une maladresse d’exécution mais une faute de modèle d’affaires, l’extorsion supposant une promesse de restitution crédible, seule chose qui distingue un racket d’un sabotage.
L’adresse Bitcoin de la note de rançon prolonge le malaise. La chaîne 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy est l’adresse P2SH donnée en exemple canonique dans la documentation développeur, et correspond aussi à un portefeuille réel crédité de quelque 46 bitcoins. Sysdig ne tranche pas entre l’hallucination et le paramétrage. Anthropic avait pourtant reconnu en novembre 2025 que son outil détourné avait « occasionnellement halluciné des identifiants » : le défaut devient marqueur pour les défenseurs autant que talon d’Achille pour l’attaquant.
Une généalogie courte et déjà contestée
La revendication de primeur appelle la prudence, parce qu’elle a déjà échoué. Le 26 août 2025, ESET présentait PromptLock comme le premier rançongiciel propulsé par l’IA, programme s’appuyant sur un modèle gpt-oss:20b exécuté localement via Ollama pour générer des scripts Lua ; l’éditeur corrigeait son analyse peu après, car il s’agissait d’un prototype universitaire déposé sur VirusTotal, un binaire réduit à des invites qui synthétise son code à l’exécution.
Anthropic avait de son côté documenté, le 13 novembre 2025, une campagne d’espionnage attribuée à un acteur lié à l’État chinois, dont son outil aurait exécuté 80 à 90 % du travail tactique. La contestation fut immédiate : Kevin Beaumont pointait l’absence d’indicateurs de compromission, quand Daniel Card y voyait un argumentaire commercial, « l’IA est un coup de boost, mais ce n’est pas Skynet, ça ne pense pas ». Sysdig leur répond sans les nommer, en publiant horodatages, serveurs de commande, contact de rançon et tables détruites.
L’effondrement du prix et la longue traîne
Un cycle d’attaque à moins d’un dollar
Le chiffre décisif est un coût. La recherche de la NYU évalue à environ 23 000 tokens la consommation d’un cycle d’attaque complet, soit de l’ordre de soixante-dix centimes de dollar via une interface commerciale, et rien du tout avec un modèle à poids ouverts exécuté localement. À ce prix, un agent enchaîne des techniques hétérogènes sans que celui qui le lance ait à maîtriser chacune d’elles, et la cible marginale cesse d’être protégée par son insignifiance.
Le partage des rôles est mesuré depuis avril 2024, quand une équipe universitaire montrait que GPT-4 exploitait seul 87 % d’un échantillon de vulnérabilités récentes lorsque la description publique de la faille lui était fournie, contre 7 % sans elle. Or les paiements de rançon reculaient de 8 % en 2025 selon Chainalysis, à 820 millions de dollars, et la part des victimes qui paient tombait à 28 % : l’automatisation ne rend pas les attaques plus lucratives, elle les maintient rentables malgré un rendement en chute.
Un stock de failles que plus personne ne qualifie
L’édition 2026 du rapport de Verizon enregistre un basculement que dix-neuf éditions n’avaient pas connu : l’exploitation de vulnérabilités devient le premier vecteur d’accès initial, à 31 %, devant les identifiants volés, et le rançongiciel figure dans 48 % des compromissions. Seules 26 % des failles du catalogue de la CISA sont entièrement corrigées, contre 38 % un an plus tôt, le délai médian de remédiation passe de 32 à 43 jours, et le stock grossit de 48 185 CVE publiées en 2025.
Le 15 avril 2026, le NIST a basculé sa base nationale vers un modèle de triage et reclassé quelque 29 000 CVE en retard dans une catégorie non programmée. Quand l’organisme de référence renonce à évaluer toutes les failles, la longue traîne devient un espace non cartographié qu’un agent peut parcourir méthodiquement, et c’est bien ce que l’automatisation rend plus dangereux.
Ce que la défense et la règle peuvent retourner
La vélocité, une signature périssable
Trente et une secondes pour se corriger, plus de six cents charges utiles dans une fenêtre resserrée : la cadence est le meilleur discriminant dont disposent les défenseurs. Elle a le défaut de n’être pas une propriété de l’agent mais un réglage. Un opérateur qui impose des délais aléatoires entre deux actions redevient invisible à ce critère sans rien perdre en autonomie.
Des leurres écrits en langage naturel
Sysdig relève que « le LLM a analysé un contexte en texte libre présenté par la cible et pris une action qui n’a de sens que si ce texte a été lu et compris ». Ce qui rend la victime lisible rend l’attaquant manipulable : des jetons-pièges rédigés en langage naturel, conçus pour détourner un agent adverse, deviennent un contrôle de sécurité plausible, et l’injection de prompt change de camp.
Ce sur quoi la régulation a prise
L’édifice de contrôle existant agit du côté des fournisseurs de modèles : depuis le 2 août 2025, l’article 55 du règlement européen sur l’intelligence artificielle impose aux modèles à usage général présentant un risque systémique des tests contradictoires documentés, la notification sans délai des incidents graves et un niveau adéquat de cybersécurité. Or Sysdig n’a aucune visibilité sur le modèle employé : s’il tournait sur des poids ouverts en local, ni les bannissements de comptes, ni les classificateurs, ni ces obligations n’ont de prise.
En France, le calendrier se joue ces jours-ci. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose NIS2, REC et DORA, adopté par le Sénat le 12 mars 2025 et examiné en commission spéciale à l’Assemblée nationale jusqu’au 10 septembre 2025, doit passer en séance publique en juillet. Il ferait passer d’environ 500 à quelque 15 000 le nombre d’entités régulées.
Le dossier se lit à deux niveaux. Au premier, une intrusion ordinaire : une faille publique non corrigée, une porte dérobée vieille de cinq ans, une clé par défaut, un chiffrement confié au moteur de la victime. Au second, une manière de faire qui n’appartenait qu’à des opérateurs expérimentés, exécutée sans eux, en quelques dizaines de minutes.
La faille de la démonstration se situe au même endroit que sa force. L’agent a franchi les étapes intermédiaires avec aisance, mais l’accès privilégié au serveur de production lui a été fourni, et la rançon qu’il réclame ne peut pas être honorée. La compétence supprimée est celle de l’exécutant, pas du commanditaire ; ce que la machine ne comprend pas, c’est la partie contractuelle du crime.
La symétrie est frappante. Les modèles capables de conduire une intrusion sont aussi ceux qui découvrent les failles, et les mises à jour de sécurité des grands éditeurs créditent désormais des systèmes automatisés d’une part croissante des correctifs. La même mécanique alimente les deux plateaux de la balance, sans garantie que le déséquilibre penche du côté espéré.
Aller plus loin
Tout part d’un document à lire pour ses réserves autant que pour ses conclusions : le rapport JADEPUFFER: Agentic ransomware for automated database extortion de Sysdig livre la chronologie à la seconde, les charges utiles commentées et les indicateurs de compromission, tout en énonçant ce que ses auteurs ne peuvent pas établir.
La faille réutilisée cinq ans après sa publication se comprend mieux dans l’avis GHSL-2020-325/326 sur le contournement d’authentification de Nacos du GitHub Security Lab, dont la chronologie est édifiante : un signalement de décembre 2020 tombé dans les indésirables de l’éditeur, traité après une mention publique.
Le conseil de corriger la faille exploitée était déjà obsolète, comme le montre l’analyse CVE-2026-5027: Langflow Path Traversal RCE publiée par Orca Security : une seconde vulnérabilité non authentifiée, exploitée dans la nature dès juin, sur un parc estimé à sept mille instances exposées.
La mesure fondatrice se trouve dans l’article LLM Agents can Autonomously Exploit One-day Vulnerabilities de Richard Fang, Rohan Bindu, Akul Gupta et Daniel Kang, qui établit dès avril 2024 le partage des rôles : 87 % de réussite quand la description publique de la faille est fournie, 7 % sans elle.
Le schéma théorique dont l’affaire paraît une réalisation figure dans Ransomware 3.0: Self-Composing and LLM-Orchestrated, déposé sur arXiv par une équipe de la NYU Tandon : un binaire réduit à des invites en langage naturel, qui synthétise son code à l’exécution, pour un cycle dont les auteurs chiffrent la consommation à 23 000 tokens environ.
Le précédent auquel toute revendication d’autonomie se compare est exposé dans Disrupting the first reported AI-orchestrated cyber espionage campaign, où Anthropic décrit une campagne automatisée à 80 ou 90 % et reconnaît que son outil hallucinait parfois des identifiants, ce qui éclaire l’adresse Bitcoin de la note de rançon.
Le contrepoint est indispensable, et l’article Anthropic claims of Claude AI-automated cyberattacks met with doubt de BleepingComputer rassemble les objections de Kevin Beaumont et de Daniel Card, grille de lecture pour toute annonce du même ordre.
L’état du terrain se lit dans le GTIG AI Threat Tracker sur l’usage des outils d’IA par les acteurs malveillants, premier inventaire de logiciels malveillants appelant un modèle en cours d’exécution, avec une distinction rare entre l’expérimental et ce qui a servi contre des cibles réelles.
L’économie dans laquelle arrive cette automatisation est décrite par le chapitre Crypto Ransomware du Crypto Crime Report 2026 de Chainalysis : 820 millions de dollars de paiements en 2025, un taux de paiement au plus bas à 28 %, des victimes revendiquées en hausse de moitié et un paiement médian multiplié par près de cinq.
Le cadrage français est fourni par le Panorama de la cybermenace 2025 de l’ANSSI, qui recense 1 366 incidents traités sur l’année et place l’éducation et la recherche en tête des secteurs touchés, à 34 %, soit précisément le type d’environnement où une instance exposée reste en ligne des années sans que personne s’en avise.
Lus ensemble, ces documents déplacent la question. Aucun ne décrit une capacité offensive inconnue : la faille exploitée était publique et corrigée, la porte dérobée de Nacos avait cinq ans, la faisabilité était mesurée depuis 2024. Ce qu’ils décrivent, c’est la disparition du goulot d’étranglement humain entre la connaissance d’une vulnérabilité et son exploitation, à un coût qui ne dissuade plus d’essayer sur des cibles sans valeur particulière. La défense devra fonder sa priorisation sur autre chose que l’espoir de rester négligeable.