L’histoire industrielle enseigne qu’une technique ne bouleverse son domaine qu’au moment où elle devient bon marché. Reproduire un texte se pratiquait avant les caractères mobiles : Gutenberg a changé le prix de l’exemplaire suivant, pas le geste. La sécurité informatique vit depuis trente ans sur l’hypothèse inverse, celle d’intrusions dangereuses parce que coûteuses, donc rares et dénombrables.
En juillet 2026, cette hypothèse a cédé sur les réseaux de l’État taïwanais. Ce sont des essaims d’agents d’intelligence artificielle, et non des opérateurs derrière leurs claviers, qui ont conduit l’offensive contre les systèmes gouvernementaux de l’île. Selon le Financial Times, les attaquants s’étaient dotés d’un outil offensif autonome monté sur un assemblage hybride de modèles ouverts : huit agents lancés de front, vingt et un systèmes d’information cartographiés, et la faculté de changer de tactique dès qu’un blocage se présentait.
« Bien que l’IA en cybersécurité ne soit pas un phénomène nouveau, c’est la première fois que plusieurs agents IA ont été utilisés pour mener une cyberattaque », indique Kenny Huang, du Taiwan Network Information Center. La machinerie de l’opération, le déplacement des défenses vers les environnements secondaires, l’effacement des repères d’attribution et le retard du droit en donnent la mesure.
Douze vagues, huit agents et vingt et un systèmes
La campagne fut courte et dense : douze vagues entre le 1er et le 4 juillet 2026, portées par des sous-agents étiquetés de A à Q dont huit tournaient parfois ensemble. Le bilan compte plus de trente-six points de terminaison d’API sur une seule cible, quatre-vingt-cinq comptes compromis, 2 564 dossiers de personnel exfiltrés, sept secrets clients d’authentification unique, six identifiants de bases MSSQL, Oracle et Sybase, et des portes dérobées de persistance. L’expansion a gagné les fournisseurs informatiques, la messagerie gouvernementale, sept énergéticiens au moins, puis l’autorité de sûreté nucléaire.
L’incident n’a pas été révélé par une télémétrie de défense : les chercheurs de Dream sont tombés sur une archive de 160 mégaoctets exposée en ligne, 1 395 fichiers, l’espace de travail du framework. Leur publication ne mentionne que « des entités gouvernementales en Asie » : c’est le Financial Times qui a identifié Taïwan. Les alertes taïwanaises n’ont commencé que le 20 juillet, seize jours après la dernière vague ; le 13 août, le ministère des Affaires numériques annonçait avoir déterminé la source, les méthodes et l’ampleur des attaques, et achevé la remédiation, sans nommer d’État.
L’architecture qui sépare un essaim d’un script
Deux briques ouvertes au-dessus d’un modèle téléchargeable
Le framework reposait sur deux composants open source, Hermes, de Nous Research, et OpenClaw, orchestrés au-dessus de DeepSeek-V4-Flash. Ce modèle est diffusé en poids ouverts sous licence MIT depuis le 24 avril 2026 : 284 milliards de paramètres, 0,14 dollar par million de jetons en entrée. Le faible coût que dénonce le ministère taïwanais se lit dans cette grille, et plus encore dans des poids exécutables localement.
Des scores bayésiens et une boucle d’auto-vérification
Trois dispositifs le distinguent d’un script. Un système bayésien à deux couches notait la probabilité d’exploitabilité de chaque vulnérabilité et celle de la chaîne complète, des seuils décidant de l’allocation des ressources. Cinq « Learning Cycles » interrogeaient bases de vulnérabilités, dépôts GitHub et publications de recherche pour trouver des techniques applicables à la cible. Une boucle d’auto-vérification exigeait six retests avant de valider une trouvaille, et a écarté seule sept faux positifs.
La chaîne, elle, n’avait rien d’inédit : reconnaissance depuis du code public, API non authentifiées, password spraying, contournement de CAPTCHA par reconnaissance optique réussi à 100 %, puis mouvement latéral par une faille de validation de signature JWT propagée via l’authentification unique. L’agent apporte l’enchaînement sans fatigue de méthodes connues et le tri de ses faux positifs.
OpenClaw, de l’assistant personnel à la brique offensive
Une croissance record, un passif documenté
La plateforme citée dans cet arsenal n’est pas un outil offensif. OpenClaw est un agent personnel open source lancé en novembre 2025 par l’Autrichien Peter Steinberger sous le nom de Clawdbot, rebaptisé Moltbot puis OpenClaw fin janvier 2026, après une demande d’Anthropic sur la proximité phonétique avec « Claude ». Il exécute des commandes shell et pilote un navigateur depuis une simple messagerie, et a dépassé 247 000 étoiles GitHub en trois mois.
Son passif de sécurité était lourd. CVE-2026-25253, une exécution de code à distance en un clic notée 8.8 sur l’échelle CVSS, a été divulguée le 26 janvier 2026 et corrigée le 30. Les balayages ont dénombré de 21 000 à plus de 42 000 instances exposées, une majorité sans authentification, et la place de marché ClawHub comptait 341 skills malveillantes, soit 12 % du registre.
Le bulletin que l’ANSSI avait signé en avril
Le rapprochement le plus dérangeant est français. Le 13 avril 2026, l’ANSSI publiait le bulletin CERTFR-2026-ACT-016 sur les risques des produits d’automatisation par IA agentique sur les postes de travail : il proscrit leur déploiement en production, les cantonne à des bacs à sable isolés sans données sensibles, et nomme explicitement OpenClaw et Claude Cowork. Le logiciel écarté pour risque défensif figurait quatre mois plus tard dans un arsenal offensif.
Un fournisseur qu’il n’y a plus à débrancher
Le précédent existe, à neuf mois d’écart. Le 13 novembre 2025, Anthropic annonçait avoir interrompu la campagne GTG-1002, attribuée à un groupe étatique chinois, qui avait détourné Claude Code contre une trentaine de cibles : l’IA y exécutait 80 à 90 % du travail, l’humain n’intervenant qu’à quatre à six points de décision. Les garde-fous avaient cédé au fractionnement de l’attaque en tâches anodines et à un jeu de rôle présentant le modèle comme un employé menant un test autorisé.
La différence de juillet 2026 n’est donc pas l’autonomie, c’est la propriété du moteur : avec des poids téléchargeables, il n’y a plus de compte à bannir ni de quota à couper. Le 4 février, l’ANSSI écrivait dans son rapport CERTFR-2026-CTI-001 qu’« aucun système d’IA générative n’a été en mesure de mener de manière autonome toutes les étapes d’une attaque informatique », tout en dénombrant 42 groupes d’attaquants qui y recourent : vingt chinois, dix iraniens, neuf nord-coréens, trois russes.
Les systèmes secondaires comme matière première
La leçon porte sur la géographie des défenses. « Les agents IA peuvent enchaîner rapidement plusieurs techniques d’attaque et utiliser des systèmes secondaires, tels que les systèmes de sauvegarde et de test, comme points de départ, ce qui confère aux attaques les caractéristiques suivantes : rapidité, faible coût et grande ampleur », indique le ministère taïwanais des Affaires numériques.
La sécurité périmétrique en sort déclassée : le pare-feu de façade tient, ce sont ses angles morts qui cèdent. Bancs de recette, plateformes de développement et serveurs de sauvegarde perdent leur régime allégé ; cloisonnement par conteneurs et contrôle strict des accès s’imposent partout, dès qu’un agent balaie des milliers de points d’entrée en quelques minutes.
Ce que la dérive des secrets met à disposition
Le constat est chiffré. Le rapport State of Secrets Sprawl 2026 de GitGuardian établit que les dépôts internes contiennent six fois plus souvent que les dépôts publics des secrets en dur, et que 59 % des machines compromises étaient des exécuteurs d’intégration continue. L’enquête annuelle de Verizon place pour la première fois l’exploitation de vulnérabilités en tête des accès initiaux, à 31 % contre 20 %, quand le délai médian de correction passe de 32 à 43 jours. Un essaim ne découvre rien d’inconnu : il rend rentable ce qui ne l’était pas.
De la défiguration de 1999 aux tactiques de zone grise
La méthode est neuve ; l’affrontement dont elle relève ne l’est pas. La presse technique de l’été 1999 décrivait déjà les premières escarmouches électroniques entre les deux rives du détroit, et Taipei accusait ouvertement Pékin, quelques semaines plus tard, d’avoir pris pour cible les infrastructures névralgiques de l’île. Le déclencheur était politique : le président Lee Teng-hui venait de qualifier les liens entre les deux rives de « relation spéciale d’État à État », et la riposte prit la forme de défigurations de sites publics et universitaires.
Une coercition qui déborde les réseaux
Le ministère parle aujourd’hui de « tactiques de zone grise ». La catégorie désigne une coercition maintenue en deçà du seuil de l’acte de guerre : elle ne cherche pas la décision militaire mais l’usure, en tenant les défenses adverses en alerte permanente. Confier ce harcèlement à des agents en change l’économie, le nombre d’offensives cessant d’être indexé sur leur coût. L’échelle est déjà considérable : 2,63 millions de tentatives quotidiennes contre les infrastructures critiques en 2025, plus du double de 2023. La dernière cible n’est pas indifférente : l’autorité de sûreté nucléaire instruisait alors le redémarrage de la centrale de Maanshan.
Nommer l’adversaire quand la signature s’efface
L’attribution repose pourtant sur presque rien : le seul indice est la présence de chinois simplifié dans les communications de l’opérateur. Le chercheur Cris Thomas rappelle qu’« il y a toujours un humain quelque part… ce n’est pas totalement, à 100 %, autonome ». Une étude du 5 juin 2026 montre que des agents imitant cinq groupes de menace persistante avancée convergent vers les mêmes comportements : la signature qui fondait le renseignement sur les menaces devient celle de l’optimiseur, non du commanditaire.
Ce que la mesure établit et ce que le droit n’impose pas encore
Face au récit du saut qualitatif, il existe des mesures. Le banc d’essai AgentCyberRange, publié le 12 juin 2026, évalue des systèmes sur 110 vulnérabilités et 156 hôtes : le meilleur, GPT-5.5 associé à Codex, résout 16,1 % des tâches d’exploitation web et 31,7 % des tâches de post-exploitation. Le rapport International AI Safety Report 2026, dirigé par Yoshua Bengio, conclut que l’IA met à l’échelle les phases préparatoires sans mener encore seule une attaque complète.
Une asymétrie comptable et un droit en retard
Le camp défensif dispose des mêmes armes : à la finale du concours de cybersécurité par IA de la DARPA, en août 2025, sept équipes ont corrigé 43 vulnérabilités sur 54 et trouvé 18 failles inédites, en 45 minutes de moyenne. Mais l’attaquant n’a besoin que d’un succès et de quelques dollars de jetons, quand Taïwan couvre son parc avec environ 75 millions de dollars par an. « Le coût de conduite d’une attaque compétente s’est effondré, mais pas celui de s’en défendre », résume Dream, fondée par Shalev Hulio, cofondateur de NSO Group et Pegasus, et par l’ancien chancelier autrichien Sebastian Kurz : la sécurité IA-native qu’elle recommande décrit son propre produit.
Le droit avance à un autre rythme. Le règlement européen 2026/1744, en vigueur depuis le 27 juillet, a repoussé au 2 décembre 2027 les obligations visant les systèmes à haut risque, quand une partie substantielle du règlement sur l’IA est devenue applicable le 2 août ; le régime des modèles à usage général à risque systémique échappe au report, mais ne mord pas sur des poids ouverts exécutés hors d’Europe. En France, la loi Résilience transposant NIS2 n’était pas promulguée début juin, son examen en séance publique étant inscrit pour juillet, et le Référentiel Cyber France attend ses décrets d’application.
Ce que juillet 2026 a montré tient dans une addition simple : des briques d’orchestration disponibles au téléchargement, un modèle à poids ouverts facturé quelques centimes le million de jetons, une boucle d’auto-vérification qui épargne le tri des faux positifs, et une surface d’attaque où les environnements secondaires n’ont jamais été traités comme des cibles. Aucun de ces éléments n’est apparu cet été ; c’est leur assemblage qui l’est.
Le récit du saut qualitatif mérite pourtant d’être tenu à distance : les bancs d’essai mesurent des taux partiels, les chercheurs rappellent qu’un humain demeure dans la boucle, et l’entreprise qui a reconstitué l’opération reconnaît qu’un tel système exige plus que de lancer un modèle. La nouveauté est ailleurs, dans un attaquant compétent qui démultiplie son travail sans que personne, chez aucun fournisseur, ne puisse lui couper l’accès.
Reste l’angle mort le plus durable, qui n’est pas défensif mais épistémique. Si des agents imitant des acteurs différents finissent par se comporter de la même manière, la politique publique adossée à l’attribution, sanctions ou rétorsion, repose sur un mot en chinois simplifié trouvé dans un fichier oublié. Et l’écart entre un budget national annuel et le coût marginal d’une campagne agentique ne se referme par aucun progrès technique.
Aller plus loin
Tout part d’un rapport d’éditeur à lire en gardant en tête ce que son auteur vend : l’architecture des sous-agents A à Q, les douze vagues, le double scoring bayésien et les 1 395 fichiers de l’archive exposée sont détaillés dans Inside a Multi-Agent AI Framework Used to Compromise Government Entities in Asia, dont dérivent les reprises.
Les nombres que ces reprises laissent de côté se vérifient dans Near-autonomous AI agents attack Taiwan’s nuclear safety agency, qui aligne les 2 564 dossiers exfiltrés, les identifiants de bases MSSQL, Oracle et Sybase et le contournement de CAPTCHA, en nommant Hermes et OpenClaw.
Le contrepoint indispensable au mot autonome est fourni par Researchers observe first near-autonomous AI attack on government target in Taiwan, qui explique comment les garde-fous ont été contournés en présentant le travail comme un test d’intrusion autorisé, et rapporte l’aveu d’un réglage humain lourd.
La résonance française de l’affaire tient dans le bulletin Vulnérabilités et risques des produits d’automatisation par IA agentique sur les postes de travail, où l’ANSSI nomme OpenClaw et Claude Cowork, proscrit leur déploiement en production et énumère des contre-mesures directement applicables.
Le repère daté qui permet de mesurer la vitesse du déplacement se trouve dans L’intelligence artificielle générative face aux attaques informatiques, douze pages où la même agence recense 42 groupes d’attaquants utilisateurs de l’IA générative et affirme qu’aucun système n’a mené seul toutes les étapes d’une attaque.
Pourquoi un agent personnel devient une arme s’explique dans A Security Analysis of the OpenClaw AI Agent Framework, qui classe 470 avis de sécurité par couche et par vecteur, reconstitue une chaîne complète d’exécution de code à distance non authentifiée et documente un dropper en deux étapes.
Le cadre théorique qui explique pourquoi aucun groupe n’est nommé est posé par Synthetic APTs: the Collapse of TTP-Based Attribution, où des agents configurés pour imiter cinq acteurs distincts convergent vers les mêmes comportements et détournent, dans huit cas sur dix, une plateforme de réponse à incident.
Le garde-fou factuel contre l’emballement est administré par AgentCyberRange: Benchmarking Frontier AI Systems in Realistic Cyber Ranges, première infrastructure ouverte à mesurer des capacités offensives sur quinze applications réelles et 156 hôtes, avec des taux de réussite minoritaires.
Ce que change le passage à des poids ouverts se mesure en relisant Disrupting the first reported AI-orchestrated cyber espionage campaign, où un fournisseur raconte comment il a banni des comptes, prévenu les victimes et publié son analyse, trois gestes devenus impossibles.
Le dénominateur qu’il faut avoir en tête pour situer vingt et un systèmes et quatre-vingt-cinq comptes figure dans China launched 2.63 million daily cyberattacks against Taiwan in 2025, bilan annuel du Bureau de la sécurité nationale détaillant les secteurs les plus touchés et les pics d’activité.
Lus ensemble, ces documents décrivent moins une rupture technologique qu’un seuil économique franchi. Les capacités offensives existaient, mesurées et partielles ; les logiciels d’orchestration circulaient librement, avec leurs vulnérabilités connues et leurs dizaines de milliers d’instances ouvertes ; les environnements secondaires étaient identifiés de longue date comme le maillon faible ; et les agences publiques avaient écrit noir sur blanc ce qu’il fallait en penser. Ce qui manquait était un moteur assez capable, assez bon marché et assez libre de tout contrat pour que l’assemblage tienne sans supervision.