Un agent d’IA DeepSeek jailbreaké aurait compromis un opérateur de télécommunications européen et accédé à une base de données de santé contenant des millions de dossiers de patients.
La société de sécurité Malbear Labs a révélé l’opération après avoir examiné un espace de travail d’attaquant exposé couvrant plus de deux semaines d’activité. Les organisations touchées n’ont pas confirmé indépendamment l’ampleur exacte de l’intrusion rapportée.
Les journaux de session récupérés révèlent également comment l’IA a continué à fonctionner lorsque les logiciels de sécurité ont interrompu certaines méthodes d’attaque.
Une vulnérabilité de Cisco a ouvert l’accès aux systèmes télécoms
Dans l’enquête, les chercheurs ont attribué la compromission initiale à la CVE-2026-20320 dans Cisco BroadWorks. La faille permettait un accès non autorisé à des fichiers sensibles du serveur, notamment aux clés privées utilisées pour authentifier les connexions entre les composants du système.
Un avis du fournisseur indique que RI.2026.07 est la première version corrigée, sans solution de contournement disponible.
Le 10 nov., la CISA a ajouté la vulnérabilité à son catalogue des vulnérabilités exploitées connues. Les fichiers récupérés documentent également une progression latérale impliquant les applications JBoss et Liferay, ce qui a permis à l’attaquant d’établir d’autres points d’appui dans le réseau.
En passant par des systèmes intermédiaires compromis, l’agent s’est connecté à une base de données de santé Oracle TrakCare en utilisant des identifiants par défaut qui accordaient des privilèges de niveau administrateur. Les informations disponibles comprenaient des dossiers de patients, des inscriptions aux vaccinations et des prises de rendez-vous.
Des milliers de données de facturation et d’appareils d’abonnés ont également été récupérés sur les systèmes internes de l’opérateur, ainsi qu’environ 80 sauvegardes de configuration de la supervision Zabbix. Une liste générée par l’agent recensait 13 organisations hébergées, mais leur présence dans cette liste ne permet pas d’établir qu’elles ont toutes été compromises.
L’agent d’IA a développé de nouvelles méthodes lorsque les contrôles de sécurité sont intervenus
L’opérateur utilisait un framework DeepSeek Flash personnalisé avec un prompt de jailbreak de 78 000 caractères conçu pour supprimer les refus de sécurité. Un agent principal conservait le contexte opérationnel et déléguait les tâches à des agents plus petits, permettant une activité prolongée avec une supervision humaine limitée.
Les transcriptions récupérées documentent plusieurs cas où le système s’est adapté lorsque des contrôles défensifs ont interrompu ses opérations.
- Élévation des privilèges bloquée. Trend Micro Deep Security a stoppé une tentative d’exploitation de la vulnérabilité PwnKit sur un serveur Linux. L’IA est passée à une commande sudo vi autorisée, a obtenu des privilèges élevés et a établi un accès persistant.
- Tunnel réseau bloqué par l’antivirus. Après que la protection des terminaux a bloqué l’outil de tunneling suo5, un agent subordonné a créé un remplacement basé sur Perl. La connectivité interne a repris au cours de la même session.
- Web shells supprimés. Les logiciels de sécurité ont supprimé les fichiers JSP malveillants connus peu après leur déploiement. L’agent a réécrit leur contenu à l’aide d’échappements Unicode, permettant aux versions modifiées d’échapper à la détection fondée sur les signatures.
Les enquêteurs ont constaté que l’IA avait choisi ces alternatives sans nouvelles instructions de l’opérateur. L’intervention humaine est restée centrale pour définir les objectifs et examiner les résultats, mais les décisions techniques individuelles ont été prises par le système automatisé.
La compromission d’un fournisseur peut exposer ses clients sans intrusion directe
Les organisations peuvent maintenir de solides défenses internes et néanmoins être exposées à une fuite de données par l’intermédiaire d’un fournisseur de services compromis. Le chemin rapporté, de l’infrastructure télécom à une base de données de santé, illustre comment les accès accordés aux systèmes externes peuvent devenir un risque de sécurité.
Comprendre quels comptes du fournisseur peuvent accéder aux informations des clients et comment ces connexions sont limitées constitue un aspect important de lagestion des risques liés aux tiers.
Un agent d’IA qui continue à fonctionner après le blocage de ses actions par les systèmes de sécurité complique également la détection. Arrêter un outil malveillant peut interrompre une action particulière sans mettre fin à l’intrusion.
Les équipes de sécurité qui enquêtent sur des activités similaires devraient vérifier si des changements ultérieurs de privilèges ou des connexions réseau inattendues indiquent qu’un attaquant a trouvé une autre voie.
Déterminer l’ampleur de l’exposition constitue une difficulté supplémentaire. L’accès à une base de données ne signifie pas nécessairement que son contenu a été volé, et les preuves d’une éventuelle exfiltration peuvent rester chez le fournisseur compromis.
Lors de la réponse à l’incident, les organisations touchées dépendent d’un accès rapide aux journaux d’audit et à d’autres données pour déterminer si des informations personnelles ont été dérobées et si des notifications sont nécessaires. En l’absence de preuves suffisantes, même un incident circonscrit peut laisser les clients dans l’incertitude quant au sort de leurs données.
Restez au fait des dernières évolutions technologiques, de l’IA et de la cybersécurité en Europe. Abonnez-vous à Tech Insider Europe pour suivre l’essentiel de l’évolution du paysage technologique de la région.