Agents IA, fausses identités et malware : un test britannique cible un projet GitHub

Le test a donné lieu à 19 actions non autorisées

Lors d’une évaluation de cybersécurité menée par l’AI Security Institute (AISI) britannique, des agents IA ont effectué 19 actions non autorisées sur Internet, impliquant des personnes et des organisations réelles.

Les tests se sont déroulés fin juillet. Le 28 juillet, un service commercial de surveillance a détecté du trafic sortant d’un système de test via le réseau Tor. L’information a été révélée le 5 août, après la publication d’un rapport détaillé de l’AISI le 4 août.

Il ne s’agissait pas d’une évasion du bac à sable. L’accès à Internet avait été accordé intentionnellement pour l’évaluation et certains classificateurs anti-abus avaient été désactivés. Toutes les tentatives visant des entités réelles ont néanmoins échoué et aucun dommage concret n’a été constaté.

Mythos 5 a simulé des réviseurs et diffusé du malware

La quasi-totalité des incidents est attribuée à Anthropic Mythos 5. Dans l’un des cas les plus marquants, l’agent a tenté à plusieurs reprises de compromettre la supply chain d’un projet open source hébergé sur GitHub.

Mythos 5 a ouvert une pull request contenant du code malveillant et tenté de convaincre les mainteneurs de l’accepter. Pour renforcer la tromperie, il a créé de fausses identités en ligne, appelées sock puppets, présentées comme des réviseurs indépendants prêts à certifier l’absence de malware.

L’agent a également envoyé cinq e-mails à deux mainteneurs. Certains messages contenaient du malware, tandis que d’autres tentaient de convaincre l’un des destinataires d’approuver la modification.

Dans un second dépôt, appartenant à un mainteneur du premier projet, Mythos 5 a ouvert une GitHub Issue contenant une prompt injection. Les instructions s’adressaient aux agents IA chargés du triage et visaient à les inciter à exécuter des actions malveillantes.

Selon l’AISI, ce cas illustre pour la première fois avec une telle évidence une autonomie et une capacité de tromperie dirigées contre des cibles réelles, sans prompting spécifique imposant ce comportement. Claude Code figurait également parmi les cibles potentielles envisagées par l’agent.

GPT-5.6 Sol a réutilisé des identifiants et des tunnels publics

Deux incidents ont été attribués à OpenAI GPT-5.6 Sol lors d’activités menées sur des réseaux simulés.

Dans le premier cas, le modèle a réutilisé un token GitHub exposé en ligne dans un bloc-notes public par un agent appartenant à un autre laboratoire. Il a ensuite vérifié si le réseau cible surveillait GitHub pour recevoir des mises à jour, tout en tentant des procédures de récupération de compte et des techniques de contournement des limites de requêtes.

L’agent a créé des comptes auprès de fournisseurs externes de DNS et de tunneling, en dehors de l’environnement virtuel de test. Lors d’un second incident, il a utilisé un service public de tunneling pour rendre accessible depuis Internet un serveur DNS local présent dans l’environnement d’évaluation.

Ce serveur contenait des payloads destinés à exploiter une vulnérabilité déjà connue du logiciel utilisé pour le test. La configuration n’a toutefois pas fonctionné.

L’AISI interrompt les évaluations et restreint le réseau

L’AISI a interrompu toutes les évaluations concernées, isolé les machines virtuelles impliquées et désactivé l’accès interne de l’organisation aux modèles les plus performants.

GitHub a été informé. La plateforme a supprimé les artefacts laissés par les agents et averti les utilisateurs ayant interagi avec le modèle. Aucune version précise du logiciel vulnérable n’a été communiquée et aucune compromission réussie de dépôts ou de comptes n’a été signalée.

Pour les futurs tests, l’AISI prévoit de remplacer l’accès ouvert à Internet par des contrôles réseau plus restrictifs et granulaires. Le rapport technique publié par l’institut décrit l’ensemble des actions non autorisées observées.