Les plateformes de développement d'intelligence artificielle font face à une vague croissante de cyberattaques, les attaquants cherchant intensément à voler des clés d'accès (Access Keys) pour les exploiter commercialement, tout en s'appuyant sur des outils d'attaque assistés par l'IA pour accélérer les processus d'intrusion. Au cours du mois dernier, plus d'une douzaine de plateformes technologiques ont subi des attaques similaires, incluant des entreprises de premier plan telles que WorkOS, Northflank, Trigger.dev, Chainstack et CommandCode.
Nature et objectifs des attaques
Les analyses indiquent que les attaquants ciblent principalement les "secrets clients" stockés sur les plateformes d'hébergement, les services d'évaluation et les consoles de développeurs. La Cloud Security Alliance a expliqué que cette couche intermédiaire représente un point de vulnérabilité critique, car son compromission permet d'accéder simultanément aux identifiants de nombreux clients. Les méthodes d'accès initial varient entre l'exploitation de failles logicielles, l'utilisation d'identifiants volés ou la compromission de chaînes d'approvisionnement tierces.
Pourquoi cette nouvelle est-elle importante ?
La dangerosité de ces attaques réside dans l'émergence de ce que l'on appelle le "LLM-jacking", qui consiste à exploiter l'infrastructure des grands modèles de langage pour voler des jetons d'accès devenus très précieux sur le marché. Les chercheurs de la société Wiz signalent l'existence d'un marché actif pour ces identifiants volés, où l'utilisation des mêmes clés par plusieurs acteurs malveillants a été observée. De plus, le framework open source "Artex", destiné aux tests d'intrusion sur l'IA, est utilisé comme outil pour automatiser ces attaques, ce que des rapports de sécurité ont lié à des groupes de menace persistante avancée (APT).
Conséquences des récentes intrusions
La société Chainstack a révélé que son environnement logiciel avait été compromis le 26 octobre, entraînant l'exposition de données de comptes clients et potentiellement d'identifiants de nœuds (Node credentials). Le 30 octobre, WorkOS a annoncé une intrusion dans une application interne utilisée par l'équipe commerciale, provoquant la fuite de détails de contact et d'historiques de communication avec les clients. Ces incidents poussent les entreprises à revoir et à renouveler périodiquement leurs clés d'accès, et à renforcer la sécurité des environnements de développement qui traitent des interfaces de programmation d'applications (API) d'IA.