Conversations d'un pirate avec une IA exposées

Un pirate soupçonné d'avoir attaqué des banques sud-coréennes à l'aide de l'intelligence artificielle a laissé accessibles en ligne ses échanges avec le système d'IA Claude. Cela a permis aux chercheurs en sécurité de CrowdStrike de reconstituer les activités et les méthodes du pirate.

Des banques sud-coréennes visées par des cyberattaques

Depuis la fin septembre, plusieurs établissements financiers sud-coréens ont été victimes d'intrusions informatiques ayant entraîné un vol de données. Dans une banque, un système de suivi des demandes de prêt destinées aux courtiers a été compromis, tandis que dans une autre, l'attaquant a accédé au système de travail mobile.

L'outil ARTEX utilisé dans les attaques

Les chercheurs de CrowdStrike ont découvert l'utilisation d'ARTEX, un outil qui automatise les tests d'intrusion grâce à des modèles d'intelligence artificielle. Initialement développé en Chine et diffusé sous licence open source, ARTEX permet à l'IA d'effectuer des tâches habituellement réalisées par des experts en cybersécurité, comme repérer des failles de sécurité et vérifier si elles peuvent être exploitées.

Plusieurs modèles d'IA employés dans l'attaque

Le pirate a principalement utilisé DeepSeek v4.1-flash pour faire fonctionner ARTEX. Il a également eu recours à Claude Code, un environnement assisté par l'IA permettant d'effectuer des tâches informatiques, ainsi que deux autres modèles, GLM-5.3 et Grok 4.6, lors de sessions supplémentaires. Ces modèles ont contribué à automatiser différents aspects de la cyberattaque.

Des attaques prolongées mises en évidence

Les fichiers analysés par CrowdStrike montrent que le pirate ciblait activement plusieurs établissements financiers entre la fin septembre et le début octobre. Les chercheurs ont retracé les attaques jusqu'à deux serveurs contrôlés par le pirate : l'un hébergeant ARTEX, l'autre situé à Hong Kong, qui servait de plateforme centrale à ses opérations.

Des données personnelles partagées avec l'IA

Parmi les fichiers, les chercheurs ont trouvé des configurations et des instructions d'ARTEX rédigées en chinois, ainsi que l'historique des sessions Claude Code du cybercriminel. Le pirate avait communiqué à l'IA des informations personnelles, dont un nom, un numéro de téléphone, un identifiant Telegram, des détails sur son université et une localisation dans la province chinoise du Guangdong.

Une assistance de l'IA jugée déterminante

Adam Meyers, responsable des opérations de renseignement sur les menaces chez CrowdStrike, a déclaré à Reuters que l'attaquant n'aurait probablement pas pu mener cette campagne sans l'aide de l'IA. Les compétences techniques du pirate étaient limitées, mais les outils d'IA lui ont permis de cibler rapidement plusieurs établissements.

Le développeur d'ARTEX met fin à l'accès public

À la suite de l'enquête, le développeur d'ARTEX a annoncé la fin de la diffusion publique et de la maintenance du logiciel, condamnant son utilisation à des fins illégales. Le projet a été retiré de GitHub, mais des copies existantes du logiciel continuent de circuler.