Symantec repère un agent « Skynet » qui détourne des modèles d'IA exposés

Des chercheurs de Symantec ont capturé les instructions complètes d'un agent d'attaque qui fonctionne sur les modèles d'IA d'autres personnes. L'agent repère des services d'IA laissés ouverts sur Internet et s'en sert pour planifier et mener des intrusions, pendant que le propriétaire paie la puissance de calcul. Symantec a publié ses conclusions le 21 octobre 2026.

Voler l'accès au modèle d'IA de quelqu'un d'autre porte un nom : le LLMjacking. La nouveauté, ici, est un agent conçu pour mener une attaque entière sur des modèles volés. « Le propriétaire du modèle paie chaque étape », écrivent les auteurs du rapport, Priti More et Susmit Yenkar, de Broadcom, la maison mère de Symantec.

Comment Symantec l'a capturé

Les chercheurs ont fait tourner un honeypot, un système leurre qui ressemble à une cible facile. Il se faisait passer pour un service d'IA non protégé, exposé sur Internet. Les attaquants pensaient qu'un vrai modèle traiterait leurs requêtes, ils lui ont donc envoyé le prompt complet de l'agent.

Le leurre a enregistré plus de 127 000 requêtes extérieures, venues de dizaines de milliers d'adresses. La plupart cherchaient des points d'accès d'IA, testaient en masse des clés d'API volées ou sondaient des fichiers de configuration exposés. Le prompt de l'agent a été capturé à l'été 2026.

Le honeypot n'a jamais exécuté aucune des commandes des attaquants. Le rapport montre donc ce pour quoi l'agent a été conçu, sans prouver que chaque outil fonctionne contre de vraies victimes.

Ce pour quoi l'agent a été conçu

Le prompt capturé comporte cinq couches. Il s'ouvre sur un jailbreak, une astuce textuelle destinée à désactiver les règles de sécurité d'un modèle. Il donne au modèle une fausse identité, « Fantasy AI », qui prétend fonctionner sur GPT-4o. Il définit ensuite 74 outils d'attaque.

Partie du prompt	Ce qu'elle fait
« Skynet mode »	Autorise jusqu'à 100 000 étapes sans validation humaine
Outils de scan	Trouvent des serveurs de modèles, des passerelles d'IA et des serveurs MCP exposés
Outils d'exploitation	Attaquent des frameworks web comme Django, Jupyter, Laravel et Next.js
Vol d'identifiants	Collecte des clés d'API et des fichiers .env, qui contiennent mots de passe et clés
Minage de cryptomonnaie	Installe le mineur Monero XMRig avec quatre pools de minage de secours
Nettoyage	Supprime les journaux d'accès d'un service local

MCP, le Model Context Protocol, est un moyen standard de connecter des modèles d'IA à des outils et à des données. Une passerelle d'IA est un serveur placé devant les comptes de modèles payants d'une entreprise.

En Skynet mode, les outils s'exécutent immédiatement, sans explication ni demande d'autorisation. L'agent tourne en boucle : scanner, infecter, installer un mineur, infecter à nouveau.

Help Net Security cite les chercheurs : « le modèle volé ne se contente pas de répondre à des questions ; il planifie et pilote l'attaque. »

Deux jours de tentatives

Le premier jour, les attaquants ont envoyé une conversation contenant déjà trois appels d'outils remplis, qui visait une plateforme d'entraînement. Le honeypot a renvoyé une réponse générique au quatrième tour, et la session s'est terminée.

Le deuxième jour, une requête venue d'une nouvelle adresse contenait un script shell encodé et compressé. Selon Help Net Security, il tentait d'installer un mineur Monero visant des serveurs de caméras et de streaming. Le honeypot a enregistré le script et ne l'a pas exécuté.

Symantec indique que les techniques prises une à une ne sont pas nouvelles. L'inquiétude vient de leur assemblage dans un seul agent autonome. Infosecurity Magazine rapporte que, selon Symantec, cela abaisse le niveau de compétence nécessaire pour mener une attaque de grande ampleur.

Ce que cela signifie pour les développeurs

Si vous faites tourner un serveur de modèles, une passerelle ou un serveur MCP, partez du principe que quelqu'un le trouvera. Selon Symantec, les propriétaires « seront trouvés et testés peu après avoir été exposés ». Sa première recommandation est directe : « N'exposez pas d'API de LLM, de serveurs de modèles auto-hébergés ou de points d'accès MCP sur Internet sans authentification. »

Vérifiez aussi les petits points d'accès. Symantec indique que l'authentification doit couvrir chaque chemin, y compris les listes de modèles et les contrôles de santé. Placez une passerelle devant le serveur au lieu de le laisser écouter sur toutes les interfaces réseau.

Traitez les clés d'API d'IA comme des mots de passe de production. Renouvelez-les régulièrement, donnez à chacune la portée la plus étroite dont elle a besoin, et gardez-les hors du code et des fichiers de configuration. Configurez des alertes sur l'usage et les dépenses, car un pic peut être le premier signe que quelqu'un d'autre utilise votre compte.

Pour les agents qui appellent des outils, Symantec conseille le moindre privilège et une étape de validation humaine pour les actions sensibles. Limitez l'accès réseau sortant des machines qui hébergent des outils d'IA. Sur les serveurs cloud, exigez la version 2 du service de métadonnées d'instance avec une limite de sauts de un, ce qui bloque une méthode courante de vol d'identifiants cloud.

Les passerelles sont une cible à part entière. Cette semaine, la populaire passerelle d'IA LiteLLM a été détournée pour diffuser un voleur d'identifiants sur PyPI. Vérifiez à la fois ce que vous exposez et ce que vous installez.