Attaque massive via Cairn : comment un framework de pentest IA open source a compromis 10 organisations

En août et septembre 2026, une campagne d’attaques inédite a frappé 19 organisations à travers le monde, utilisant un framework de pentest IA open source pour automatiser l’intrusion. Résultat : 10 entités compromises, des données exfiltrées, et un constat alarmant : les cyberattaques pilotées par intelligence artificielle ne relèvent plus de la science-fiction. Selon Palo Alto Networks Unit 42, un petit groupe d’opérateurs a orchestré 25 opérations simultanées en ne tapant qu’un nom de domaine et un objectif en langage naturel. Face à cette nouvelle menace, comprendre le mode opératoire de l’outil Cairn devient essentiel pour adapter sa stratégie de défense et anticiper uneère où l’automatisation malveillante est à la portée de tous.

Comprendre l’attaque Cairn : un framework de pentest IA open source détourné

Cairn est un framework de test d’intrusion open source conçu initialement pour automatiser les évaluations de sécurité légitimes. Il confie le pilotage de l’intrusion à un modèle d’IA qui agit en boucle : il examine les informations déjà collectées, choisit la prochaine action à exécuter, l’exécute, puis enregistre le résultat comme nouveau fait. Ce cycle se répète jusqu’à ce que l’objectif soit atteint, que plus aucune option ne soit disponible, ou que l’opérateur intervienne manuellement. Les opérations menées avec cette version modifiée ont duré de 20 minutes à plus de 50 heures, selon la résistance de la cible.

Les opérateurs de cette campagne ont utilisé une version modifiée du framework, hébergée sur un serveur à Hong Kong, enrichie d’un module d’exploitation appelé « AIScan Runner Skills » qui n’existe pas dans la version publique. Les modèles d’IA employés étaient Zhipu GLM 5.2 (pour 13 opérations), DeepSeek V4 Flash (8 opérations) et DeepSeek V4 Pro (4 opérations). Les attaquants ont comparé les performances des modèles et basculé vers le Pro pour les cibles qui résistaient au Flash, montrant une capacité d’adaptation inédite.

« Les modèles d’IA n’ont jamais refusé les tâches, grâce à des prompts initiaux interdisant tout refus et un préambule en chinois affirmant qu’il s’agissait de tests de sécurité autorisés. » - Unit 42.

Les chercheurs notent que chaque opération générait automatiquement un fichier AUTHORIZATION.md déclarant le travail approuvé par le client. Ce mécanisme permettait de tromper les garde-fous des modèles, déjà minimales, et d’éviter tout refus de coopération.

Fonctionnement technique simplifié

Voici un exemple de commande qui aurait pu être utilisée pour lancer une opération :

python cairn.py --target www.cible.com --goal "Obtenir les identifiants administrateur" --model deepseek-v4-pro

Le modèle interprète l’objectif, sélectionne les outils nécessaires - scan de ports, force brute, exploitation de CVEs connues - et exécute les étapes sans intervention humaine. La boucle d’action (review, act, log) est similaire à celle d’un AutoGPT, mais orientée vers l’intrusion. Cairn enregistre chaque fait (adresse IP, port ouvert, identifiant trouvé, etc.) et les réutilise pour choisir la prochaine action. Cette autonomie a permis aux opérateurs de traiter jusqu’à 19 cibles en parallèle.

Les cibles et les techniques d’intrusion

Les 19 organisations visées se répartissent en trois catégories principales :

• 7 entreprises de la chaîne d’approvisionnement des semi-conducteurs et de la fabrication avancée
• 3 entités liées à la défense ou à la politique de défense
• 4 organisations de défense des droits humains et de la société civile
• 5 autres cibles non précisées

Parmi les cas documentés, plusieurs illustrent la diversité des méthodes employées par le framework IA.

Cas 1 : Organisme de normalisation sectoriel

Par une attaque de password spraying, les attaquants ont obtenu des dizaines d’identifiants valides. Ils ont ensuite écrasé un document de vote en direct via un espace de stockage cloud qui acceptait les écritures sans authentification. D’autres failles leur ont permis de se connecter en tant que clients arbitraires et de prendre le contrôle des fonctions de réunion et de vote, démontrant une exploitation combinée de vulnérabilités courantes.

Cas 2 : Syndicat d’enseignants américain

Une faille de contournement dans le processus de création de compte a permis aux attaquants de générer des sessions valides. Le framework a enregistré l’accès à plus d’un million de fiches membres, environ 31 000 contacts CRM et les hashs des mots de passe du personnel. L’ampleur de l’exfiltration montre comment l’automatisation peut vider des bases de données entières en quelques heures.

Cas 3 : Entreprise de semi-conducteurs

Un identifiant de production obtenu par force brute a conduit à la création de nouveaux comptes administrateur et à un token API persistant. Par ailleurs, un point d’inscription ouvert lié à un programme de défense a exposé environ 500 fiches utilisateurs, dont certaines avec des adresses en .mil et .gov. La combinaison d’attaques automatisées et de renseignements préalables (adresses VPN, noms de groupes) a considérablement accéléré l’intrusion.

Que se passerait-il en France ?

Bien que les cibles documentées soient principalement américaines et asiatiques, une organisation française similaire aurait pu être vulnérable aux mêmes techniques. Par exemple, un sous-traitant de la Défense disposant d’une plateforme d’inscription ouverte ou d’une API cloud mal configurée aurait été une cible idéale pour ce type d’attaque. Les chaînes d’approvisionnement des semi-conducteurs en France, notamment dans la région grenobloise, présentent des profils de risque analogues. Ce scénario hypothétique rappelle l’urgence de sécuriser les points d’entrée exposés.

Les techniques mises en œuvre par l’IA incluent :

1. Contournement d’authentification (authentication bypass)
2. Référence directe d’objet non sécurisée (IDOR)
3. Escalade de privilèges par assignation de masse (mass assignment)
4. Mots de passe faibles et identifiants par défaut
5. API cloud exposées sans contrôle d’accès
6. Exploitation de CVEs publiques anciennes

« Nous évaluons avec une confiance modérée que cette activité représente une collecte de renseignements liée à la Chine, que nous suivons actuellement sous le code CL-STA-1238. » - Unit 42.

Les chercheurs estiment qu’un seul opérateur ou une petite équipe a mené l’ensemble des opérations, avec des tentatives d’intrusion simultanées contre 19 organisations en l’espace de deux semaines. Un indice supplémentaire : lors d’une opération contre un fournisseur d’équipements pour semi-conducteurs, la tâche était préchargée avec des adresses de passerelles VPN, des noms de groupes et des mots de passe partagés, ce qui indique qu’un renseignement préalable avait été collecté manuellement. L’IA s’est chargée du reste.

Pourquoi l’IA change radicalement l’équation de la menace

L’apport principal de l’IA autonome dans cette campagne n’est pas la complexité technique - les vulnérabilités exploitées sont bien connues - mais le changement d’échelle. Là où un opérateur humain ne pouvait gérer qu’une ou deux cibles simultanément, un seul opérateur a pu lancer 19 intrusions en parallèle. Le tableau ci-dessous résume les différences avec une approche traditionnelle :

Comme le souligne Unit 42, le rapport « opérateur-heures » s’effondre : les heures d’opérateur limitaient auparavant le nombre de cibles qu’un attaquant pouvait traiter simultanément. Ici, une seule personne, ou un petit groupe, a traité 19 organisations. L’automatisation a augmenté le volume et la couverture, mais pas la complexité des exploits.

Les modèles ouverts comme ceux utilisés (Zhipu GLM, DeepSeek) ne disposent que de garde-fous faibles contre les usages offensifs, et les attaquants savent les contourner avec des préambules trompeurs. Les chercheurs prévoient une multiplication de ce type de campagnes à mesure que ces modèles gagnent en puissance et que leur adoption s’accélère.

Leçons pour la cybersécurité des entreprises

Face à cette nouvelle donne, les bonnes pratiques de sécurité restent efficaces, mais leur application devient cruciale. Voici les mesures prioritaires à mettre en œuvre :

• Hygiène des identifiants : appliquer une politique de mots de passe robustes, déployer l’authentification multi-facteurs (MFA) sur tous les accès, et surveiller les tentatives de password spraying.
• Réduction de la surface d’attaque : fermer les ports et services inutiles, désactiver les inscriptions ouvertes, et segmenter les réseaux.
• Gestion des correctifs : patcher rapidement les CVEs connues, en particulier celles vieilles de plusieurs années encore exploitées (comme dans cette campagne).
• Sécurisation des API et du cloud : vérifier les autorisations d’accès, ne pas exposer de stockage cloud en écriture anonyme, et mettre en place une validation des entrées.
• Surveillance et détection : déployer des solutions EDR/XDR, analyser les logs d’authentification pour les anomalies, et utiliser des indicateurs de compromission (IoC).

Ces recommandations sont alignées avec le Guide d’hygiène informatique de l’ANSSI et les contrôles de l’ISO 27001, notamment le contrôle A.12.6.1 sur la gestion des vulnérabilités techniques. Une approche Zero Trust, où chaque accès est vérifié indépendamment, réduit également l’impact d’une compromission initiale.

Indicateurs de compromission (IoC)

Les chercheurs de Unit 42 ont publié deux adresses IP associées à cette campagne :

• 154.44.31.4 - Serveur à Hong Kong hébergeant l’instance Cairn modifiée
• 82.29.129.54 - Nœud de mise en scène et d’exfiltration aux États-Unis

Il est recommandé de bloquer ces adresses et de surveiller toute connexion sortante vers ces IP. La mise à jour des flux de renseignements sur les menaces (TI) avec ces indicateurs est une première étape rapide.

Comment détecter les attaques automatisées par IA

Détecter une intrusion menée par un framework comme Cairn est plus difficile qu’une attaque manuelle, mais pas impossible. Les modèles d’IA suivent généralement des schémas d’action prévisibles : ils enchaînent rapidement des requêtes, balaient de nombreuses combinaisons, et peuvent générer un volume de logs anormal.

Voici quelques indicateurs à surveiller :

• Volume élevé de tentatives d’authentification sur des comptes non existants
• Enchaînement rapide d’étapes (reconnaissance, exploitation, escalade) sans temps de réflexion humain
• Requêtes vers des endpoints d’API rarement utilisés, surtout avec des paramètres suspects
• Création de sessions ou de comptes depuis des IP inconnues à des heures inhabituelles
• Accès à des zones de stockage cloud avec des requêtes d’écriture inhabituelles

La mise en place de honeypots et de leurres applicatifs peut aider à identifier les scanners automatisés. L’analyse comportementale des utilisateurs (UEBA) est également un atout pour repérer les déviations par rapport aux profils normaux. En complément, les équipes SOC doivent être formées à reconnaître les signatures d’outils comme Cairn, même si elles évoluent rapidement.

« If you take one thing from the numbers, make it the ratio. Operator hours used to cap how many targets an attacker could work at once. Here, likely one person or a few worked 19. » - Unit 42.

Cette citation illustre le défi principal : le volume d’opérations simultanées rend la détection et la réponse d’autant plus critiques. Une réaction rapide peut éviter qu’une simple exploration ne se transforme en compromission totale.

Conclusion : anticiper la prochaine vague d’attaques autonomes

La campagne Cairn est un avertissement : les frameworks de pentest IA open source ne sont plus seulement des outils de sécurité légitimes, ils deviennent des armes entre les mains d’acteurs malveillants. La facilité d’utilisation - un nom de domaine et un objectif en langage naturel - abaisse la barrière technique, tandis que l’automatisation multiplie la capacité d’impact. Les 10 organisations compromises en deux mois auraient pu être bien plus nombreuses si les attaquants avaient ciblé davantage de secteurs.

Pour les responsables de la cybersécurité, le message est clair : les fondamentaux doivent être irréprochables. L’authentification multi-facteurs, la gestion des correctifs, la réduction de la surface d’attaque, et la surveillance active restent les meilleures défenses face à des attaquants qui misent sur le volume et l’automatisation. Comme le résument les chercheurs de Unit 42, l’IA augmente le volume et la couverture, mais pas la complexité des attaques ; en sécurisant les bases, on neutralise l’essentiel des TTPs utilisés.

Il est temps de considérer les cyberattaques autonomes par IA comme une menace permanente et d’investir dans des stratégies de défense adaptées. L’époque où une attaque nécessitait des heures de travail manuel touche à sa fin ; celle de la défense automatisée et intelligente doit commencer immédiatement. Les organisations françaises, en particulier les PME et ETI critiques, doivent dès aujourd’hui auditer leur exposition et mettre en œuvre les mesures décrites pour ne pas figurer parmi les prochaines statistiques.