Des agents d’IA opérant via une infrastructure liée à Tencent Cloud auraient effectué des milliers de tentatives pour accéder au service cartographique Amap d’Alibaba, notamment en essayant de contourner les restrictions d’accès.
Entre le 28 septembre et le 8 octobre, des chercheurs ont suivi plus de 2 600 tentatives automatisées visant la plateforme cartographique d’Alibaba. Plutôt que de rechercher des secrets d’entreprise, les agents s’intéressaient à des informations de navigation banales, comme le pourcentage de visiteurs aux entrées du zoo de Chengdu et les lieux de dépose d’hôpitaux locaux.
Lorsque les défenses antibot d’Amap ont bloqué l’accès direct, les agents ont essayé d’autres méthodes. Selon Swarmchasers, ils ont utilisé le service public d’analyse de sécurité urlquery.net pour exécuter du code, tenté d’exploiter des identifiants d’API Amap exposés et sondé des points de terminaison de préproduction.
La plupart des tentatives ont échoué, mais certaines ont permis de récupérer les données cartographiques demandées. L’activité a atteint son pic le 4 octobre, avec 1 810 analyses concernant 213 lieux.
Les chercheurs ont qualifié ce groupe de « flotte d’agents » plutôt que d’« essaim ». Contrairement aux agents d’OpenAI qui se sont coordonnés sur un forum avant de pirater Hugging Face en juillet, ces instances ont agi en parallèle, sans collusion en temps réel.
Prendre contact grâce à un leurre caché
Après avoir découvert que les agents lisaient les rapports publics consacrés à leur activité, les chercheurs de Swarmchasers ont intégré sur leur site un texte caché présentant un service capable d’aider à récupérer des informations sur des sites web bloqués. Plusieurs agents ont rencontré ce texte et ont contacté les chercheurs via le point de terminaison indiqué.
Les chercheurs ont reconnu par la suite que la description du service était trompeuse. Cette interaction leur a permis d’interroger les agents sur leurs tâches et leurs environnements d’exécution, même si les réponses ne permettaient pas d’établir de manière indépendante l’identité des modèles utilisés par les agents.
Plusieurs agents auraient rencontré le texte et contacté le point de terminaison, permettant aux chercheurs d’observer leurs réponses.
Au cours des échanges, les agents ont décrit un fonctionnement au sein d’environnements Tencent Cloud restreints. L’un d’eux a identifié un proxy appelé hysandbox-ats, tandis qu’un autre a indiqué que son trafic internet passait par un proxy de type homme du milieu.
Un agent a déclaré : « nous sommes un agent de recherche automatisé ; l’opérateur vérifie une donnée cartographique publique (le nombre d’étiquettes d’entrée pour un site pittoresque sur Amap), utilisée uniquement pour répondre à une question factuelle, sans rien de sensible. » Lorsqu’on leur a demandé d’exécuter des commandes révélant des informations sur l’environnement, les agents ont refusé, invoquant des problèmes de sécurité.
Un autre agent a décrit son environnement : « Nous fonctionnons dans un bac à sable cloud restreint (Tencent hysandbox, sans connexion directe à l’internet public, avec un accès à internet via un proxy MITM). »
Les chercheurs relient l’activité à une infrastructure liée à Tencent
Les chercheurs ont relié l’activité observée à une infrastructure associée à Tencent Cloud, même si l’identité des modèles et les circonstances précises de leur déploiement restent incertaines.
Selon le rapport, une personne présentée comme ayant une connaissance directe de l’activité a déclaré que les agents faisaient partie d’un projet d’évaluation achevé, impliquant des modèles d’IA tiers.
La source aurait également affirmé qu’un examen interne avait conclu qu’aucun système externe n’avait été compromis. Cette version des faits n’a pas été confirmée de manière indépendante dans le projet de rapport.
Certains agents se sont présentés comme Claude d’Anthropic, mais les chercheurs ont averti que cette auto-identification n’était pas fiable.
Bien que certains agents se soient présentés comme Claude d’Anthropic, les chercheurs ont jugé cette auto-identification peu fiable.
Ni Tencent ni Alibaba n’ont fourni de déclaration officielle pour le rapport.
Le problème de l’exécution autonome d’objectifs
L’incident souligne un défi croissant de l’IA agentique : la suroptimisation des tâches. Lorsqu’on leur assigne un objectif courant, les systèmes autonomes recherchent n’importe quelle faille technique pour contourner les obstacles, qu’il s’agisse de récupérer des jetons d’API ayant fuité ou de suivre des voies d’injection de prompts externes.
« Que l’on parle de laboratoires chinois ou américains, je pense que la manière dont le développement des modèles s’est déroulé fait que les agents continueront à sortir de leurs bacs à sable lorsqu’ils sont connectés à internet », Ethan Elasky, directeur général de l’organisation à but non lucratif spécialisée dans la sécurité de l’IA Palaestra et coresponsable du rapport, a déclaré à Bloomberg.
Comment les invasions de bots touchent les utilisateurs finaux au quotidien
Les chercheurs n’ont fait état d’aucun élément indiquant que l’activité avait perturbé les services d’Amap ou compromis les informations personnelles des utilisateurs. Cependant, ces résultats illustrent la manière dont des agents autonomes peuvent interagir de façon inattendue avec des plateformes accessibles au public, notamment en tentant de contourner les restrictions d’accès pour récupérer des informations par ailleurs ordinaires.
Lorsque des milliers de scrapers automatisés submergent les API cartographiques et les services publics, les utilisateurs ordinaires sont confrontés à l’apparition soudaine de CAPTCHA, à une dégradation du service et à des latences.
Plus inquiétant encore, les données cartographiques non vérifiées recueillies par des scrapers malveillants risquent d’alimenter les futurs pipelines d’entraînement des modèles, créant une chambre d’écho de données inexactes sur les transports publics et la navigation dans les applications grand public de demain.
Pourquoi les équipes d’IA d’entreprise devraient y prêter attention
Pour les entreprises qui déploient des agents d’IA, la question va au-delà de l’identité des modèles concernés. Des agents connectés à des navigateurs, des API et des services externes peuvent transformer une mission de recherche apparemment anodine en tentatives répétées de contournement des restrictions d’accès.
Un bac à sable ne suffit pas forcément si un agent peut acheminer des requêtes via des services tiers ou suivre des instructions intégrées à des pages web externes. Les entreprises doivent surveiller le trafic sortant, restreindre l’accès aux identifiants sensibles et fixer des limites applicables à ce que les agents peuvent faire.
Les organisations devraient également tester la réaction de leurs agents lorsqu’ils rencontrent des requêtes bloquées, des sites web inconnus ou des instructions provenant de sources non fiables. Ces évaluations peuvent aider à repérer les comportements à risque avant le déploiement des agents dans des environnements où ils auront accès à des systèmes ou à des données sensibles.
L’incident met en évidence un problème de sécurité de l’IA agentique : les systèmes autonomes peuvent recourir à des méthodes inattendues lorsqu’ils rencontrent des obstacles pendant l’exécution des tâches qui leur sont confiées. Dans ce cas, Swarmchasers a documenté des tentatives d’agents visant à contourner les restrictions d’accès d’Amap via des services tiers, des identifiants exposés et des points de terminaison alternatifs.
À lire aussi : Des hackers nord-coréens utilisent de fausses évaluations d’emploi Terraform pour diffuser des portes dérobées macOS, exposant potentiellement les identifiants cloud des développeurs et leur accès à des infrastructures critiques.