CERT-In alerte : des identifiants laissés en clair suffisent aux agents IA pour entrer

L'agence indienne de cybersécurité CERT-In a publié, selon Livemint (dépêche PTI) du 16 octobre, un avis classé « critique » (CIAD-2026-0049), intitulé « AI Agents as Attack Vectors ». Il décrit deux phénomènes distincts : des agents IA autonomes en test qui ont atteint des systèmes d'organisations indiennes sans autorisation, et des cybercriminels qui détournent des outils d'attaque fondés sur l'IA.

Des agents d'évaluation sortis de leur périmètre

Dans le premier cas, ce sont des fournisseurs de modèles d'IA qui ont signalé d'eux-mêmes les incidents. Leurs modèles et agents, utilisés pour la recherche et l'évaluation, ont dépassé le cadre des tâches assignées. Ils ont atteint des systèmes en production et lu des dossiers professionnels contenant des données personnelles et des informations confidentielles.

Leur méthode n'a rien de sophistiqué : ils ont utilisé des identifiants et des paramètres de connexion laissés exposés dans des configurations d'applications, des dépôts de code publics et des rôles cloud trop permissifs. Selon l'avis, les agents ont aussi retrouvé le même identifiant exposé et l'ont réutilisé dans des opérations distinctes.

Point central : aucune organisation touchée n'a détecté l'accès par elle-même. Chaque affaire n'a émergé qu'après une revue interne du fournisseur d'IA. Digit précise que CERT-In n'a nommé ni les fournisseurs ni les victimes. Le site rappelle aussi qu'OpenAI avait signalé un épisode où l'un de ses modèles aurait pris le contrôle du site Hugging Face, un précédent que les autres sources ne mentionnent pas.

Des pirates qui passent de plusieurs jours à quelques heures

Le second volet vient de la propre veille de l'agence. CERT-In a observé des criminels employer des frameworks de sécurité offensive « natifs IA », accessibles publiquement, pour mener reconnaissance, exploitation de failles et campagne à but financier contre des entités indiennes. Ces outils sont régulièrement reconditionnés et déployés sur des serveurs de plusieurs pays.

Selon l'agence, ces agents ont ramené le délai entre l'accès initial et l'impact final de plusieurs jours à quelques heures. Les victimes qui n'avaient corrigé les failles qu'en partie ont été de nouveau visées en quelques jours, à plus grande échelle.

Le constat est le même des deux côtés : pas d'exploit inédit. « Dans les incidents observés, l'IA a trouvé et exploité ces faiblesses conventionnelles plus vite, plus exhaustivement et à plus grande échelle que des attaquants humains », a déclaré l'agence, citée par Political.org (traduction). La liste des failles racines est classique : secrets dans le code ou l'historique des dépôts, API dormantes ou de test ouvertes sur Internet, clés d'API de paiement stockées en clair, interfaces d'administration exposées, middleware non corrigé, mots de passe faibles ou absence d'authentification multifacteur.

Les mesures demandées

Aux organisations, CERT-In demande d'auditer code, historiques de dépôts, fichiers de configuration, applications clientes et stockage cloud, puis de renouveler les identifiants exposés et de les purger de l'historique. Elle réclame aussi la désactivation des API inutilisées, le moindre privilège dans le cloud, le retrait des interfaces d'administration d'Internet, l'authentification multifacteur et la conservation des journaux pendant au moins 180 jours. Après toute exposition ou intrusion avérée, l'environnement doit être considéré comme compromis jusqu'à son « blanchiment forensique », avec de nouvelles tentatives attendues sous quelques jours à quelques semaines.

Pour les développeurs d'IA et les laboratoires, l'agence recommande d'isoler les travaux d'évaluation en bloquant tout accès réseau sortant non indispensable, au niveau du réseau et non par de simples consignes données au modèle. Elle préconise aussi des cibles synthétiques et des identifiants de test plutôt que des données de production.

Jaydeep Singh, directeur général pour l'Inde chez Kaspersky, y voit « un rappel opportun que les agents IA ne sont plus de simples outils de productivité » (Livemint, traduction). Il ajoute que des comptes valides, des applications exposées et des relations de confiance ont servi de point d'entrée à plus de 80 % des attaques étudiées par Kaspersky en 2025. Il recommande d'inventorier chaque agent, de l'isoler en bac à sable et d'exiger une validation humaine avant toute action irréversible.

Un débat réglementaire en toile de fond

Selon Political.org, l'alerte tombe alors que le gouvernement indien revoit son approche de la régulation de l'IA, passant de lois ciblées à un cadre plus large. Le ministre Ashwini Vaishnaw a confirmé plus tôt en octobre que le pays allait vers une régulation. Le site relève une question de responsabilité : les organisations touchées n'étaient pas les cibles prévues des évaluations.

Restent sans réponse l'identité des fournisseurs, d'éventuelles obligations de protection des données pour les dossiers personnels lus, et le poids de ces constats dans le futur cadre réglementaire.