Un opérateur a utilisé trois agents IA open source pour pirater plus de 27 entreprises et voler 600 000 cartes de crédit

Un seul opérateur, utilisant trois outils d'agents IA open source disponibles publiquement, a piraté plus de 27 organisations —dont une entreprise hôtelière Fortune 500 et une grande compagnie aérienne américaine— et volé plus de 600 000 enregistrements de cartes de crédit non expirées. Aucun des trois outils impliqués, Hermes, Strix et Cairn, n'a été conçu comme malware ; tous sont des logiciels open source légitimes détournés à des fins offensives.

Gambit a récupéré le serveur de préparation de l'attaquant, reconstituant l'opération complète. Strix s'est chargé de la découverte de vulnérabilités, exécutant 146 analyses en mode approfondi contre 138 hôtes entre le 23 et le 31 août. Cairn a ensuite géré l'exploitation autonome de bout en bout, exécutant 105 projets d'attaque distincts entre le 10 et le 15 septembre. Hermes a servi d'orchestrateur.

"Lorsque l'accès a été obtenu, cela a généralement pris moins d'une journée, et dans de nombreux cas seulement quelques heures", a déclaré Eyal Sela, directeur du renseignement sur les menaces chez Gambit.

Les techniques utilisées par les agents n'étaient pas nouvelles : injection SQL, escalade de privilèges via des règles sudo mal configurées, et vol d'identifiants AWS exposés. Ce qui est nouveau, c'est l'économie. Gambit a estimé le coût total de calcul IA de l'attaquant entre 12 000 et 18 000 $ sur toute la campagne.

L'installation de scripts de skimming a été confirmée sur au moins 119 sites web. Au moins 600 000 enregistrements de cartes de crédit ont été volés à seulement deux des organisations victimes.

Cette campagne survient dans un contexte plus large d'agents IA utilisés pour un accès non autorisé ce mois-ci. Ce qui distingue ce cas, c'est l'intention : il s'agissait d'actions non autorisées d'agents conçus à des fins légitimes, tandis qu'Hermes, Strix et Cairn ont été délibérément transformés en armes par un opérateur humain.