Anthropic explique depuis des mois au reste du monde comment des agents IA vont révolutionner la cyberattaque. Là, une startup vient de lui faire une démonstration grandeur nature, sur ses propres serveurs. Cathedral a utilisé des agents IA pour entrer dans les systèmes internes d’Anthropic via des logiciels métiers tiers, et repartir avec des transcriptions de réunions, des données salariales, des offres d’emploi et des messages Slack. Le tout en moins de douze heures, d’après le rapport de la startup que s’est procuré le Washington Post.
Le vecteur n’a rien de spectaculaire. Pas de zero-day exotique dans un modèle, pas de chaîne d’attaque à faire pâlir un thriller. Des logiciels d’admin et de vente externes, mal cloisonnés, et des agents qui tournent à plein régime. Voilà la porte d’entrée.
Anthropic confirme. Enfin, confirme à sa façon : un « ensemble limité » de systèmes ventes, RH et informatique, des coordonnées de clients et de partenaires, des données basiques de comptes utilisateurs. Les conversations avec Claude, le code source et les poids des modèles n’ont pas bougé, dit la boîte. Elle a coupé les accès le jour même, désactivé les programmes tiers concernés et prévenu les autorités fédérales américaines.
Sauf que les deux camps ne racontent pas la même histoire.
Sur la durée, d’abord. Cathedral parle de moins de douze heures. Anthropic parle de plusieurs jours d’exploration, avec un pivot vers les logiciels tiers seulement après avoir buté sur ses propres défenses. Sur la divulgation, ensuite : Cathedral aurait trouvé deux vulnérabilités et n’en aurait rapporté qu’une. Anthropic dit avoir découvert et corrigé la seconde toute seule. Son red teamer Logan Graham accuse carrément la startup d’avoir violé les règles du bug bounty, en visant des fournisseurs tiers et en exfiltrant des données, hors du périmètre de protection du programme. Cathedral jure avoir suivi les pratiques standard de la recherche sécurité.
Et puis il y a le témoignage qui fâche. Will Depue, ancien d’OpenAI, affirme que plusieurs sources qu’il juge très fiables lui ont dit que Cathedral avait obtenu un accès admin complet au Slack d’Anthropic, pouvait lire chaque message et se connecter à n’importe quel compte. Il ajoute que les deux labos, Anthropic comme OpenAI, stockent tous leurs secrets de recherche dans Slack, avec des clés d’API admin éparpillées un peu partout. Graham répond que les sources de Depue sont fausses. Sans entrer dans les détails. Tout en confirmant le fond : l’industrie doit réinventer sa sécurité chaque année.
Le plus gênant, c’est qu’Anthropic est probablement la boîte la mieux armée de la planète contre une cyberattaque menée par IA. C’est son fonds de commerce, c’est ce qu’elle vend, c’est ce sur quoi elle communique. Et elle s’est fait ouvrir en une demi-journée par des agents qui visaient le maillon le plus banal de sa chaîne : ses fournisseurs SaaS.
Alex Stamos, chief security officer de Cognition (qui utilise les modèles d’Anthropic), trouve le résultat significatif et le dit au Washington Post : les applis tierces intégrées sont un problème majeur pour toute l’industrie, et Anthropic aurait pu mieux sécuriser ses services externes. Jacob Krell, de Suzu Labs, enfonce le clou sans trembler : « les agents de Cathedral sont entrés chez Anthropic comme les attaquants entrent partout ailleurs, par les fournisseurs. La maturité sécurité est plafonnée par le fournisseur le plus faible que tu intègres, et aucun travail d’ingénierie interne ne change ça. »
Petit détail qui devrait refroidir certains. Un responsable de l’administration Trump a glissé au Independent que « si une bande de gamins qui vient de monter une boîte peut faire ça, alors les Chinois ne sont probablement pas loin derrière ». Sauf que Cathedral n’est pas une bande de gamins. La boîte vend des opérations cyber offensives et défensives à l’armée et au gouvernement américains. Ses fondateurs sont des anciens de DOGE : Gavin Kliger (ex-chief data officer du Pentagone), Luke Farritor (le type qui a aidé à déchiffrer les parchemins de Herculanum au machine learning), Marko Elez (ex-SpaceX) et Jack Stein. Le « gamin » a un pipeline de contrats fédéraux.
Graham, lui, en tire une leçon pour les clients : les attaquants font déjà tourner des agents 24/7, exprès sur les dépendances externes, et des modèles vieux d’une demi à une génération suffisent pour ça. Sa parade : du pentest interne en continu et du code reconstruit avec vérification formelle, que l’IA rend enfin économiquement viable. « Vous avez probablement intérêt à vous red-teamer vous-même en permanence. Les modèles actuels sont très créatifs. »
Ce qu’il n’explique pas, en revanche, c’est comment Cathedral a pu plonger aussi profond dans une boîte qui a accès aux modèles les plus puissants du marché pour se défendre. La question tombe mal, en plus : Anthropic prépare son IPO, après avoir déjà déposé son S-1 il y a quelques jours. Un accès non autorisé à ses RH et à son Slack, même « limité », ça se raconte très mal dans un document destiné à la SEC.
Un fournisseur tiers, un agent qui tourne la nuit, et voilà le meilleur défenseur de l’IA qui découvre que sa porte de service n’a jamais été fermée à clé. Le bug bounty a payé pour la leçon. Reste à savoir s’il la paiera.
Sources :
Comments are closed