Cairn : comment un framework d'IA open source a permis de pirater 10 organisations en automne 2026
Hippolyte Valdegré
En août et septembre 2026, un groupe d’attaquants sinophones a utilisé Cairn, un framework d’IA open source conçu pour les tests d’intrusion, afin de mener 25 opérations contre au moins 19 organisations. Selon le rapport de Palo Alto Networks - Unit 42, 10 de ces cibles ont été compromises, souvent après que les opérateurs aient simplement saisi un nom de domaine et un objectif en une ligne. Cette campagne marque un tournant : pour la première fois, un outil de pentest autonome basé sur l’IA est employé à grande échelle par des acteurs malveillants, avec un ratio opérateur/cibles qui interpelle la cybersécurité française.
Une nouvelle menace : l’automatisation offensive des tests d’intrusion par IA
Le framework Cairn est un projet open source qui confie l’intégralité d’une intrusion à un modèle d’IA. L’opérateur ne fournit qu’un nom de domaine et un objectif textuel (par exemple « obtenir un accès administrateur »). L’IA prend ensuite le relais en boucle : elle examine les faits confirmés, choisit une action, l’exécute, puis enregistre le résultat comme un nouveau fait. Le cycle s’arrête lorsque l’objectif est atteint, qu’aucune option n’est disponible, ou que l’opérateur interrompt la tâche.
« Cairn hands an intrusion to an AI model and lets it work in a loop. The model reviews what it has confirmed so far, picks one next action and runs it, and the framework logs the result as a new fact. » - Unit 42, Palo Alto Networks
Ce fonctionnement inédit réduit considérablement l’effort humain nécessaire. Les opérations individuelles ont duré de 20 minutes à plus de 50 heures, selon la complexité des cibles. D’après les chercheurs, un seul opérateur - ou une très petite équipe - a pu gérer simultanément des tentatives contre 19 organisations en deux semaines, là où des méthodes traditionnelles auraient exigé une armée de pentesteurs.
Les modèles d’IA utilisés
Les attaquants ont exécuté le framework depuis un serveur basé à Hong Kong (adresse 154.44.31[.]4), avec une version modifiée de Cairn intégrant un pack de compétences nommé « AIScan Runner Skills », absent du projet public. Treize opérations ont utilisé Zhipu GLM 5.2, huit DeepSeek V4 Flash, et quatre DeepSeek V4 Pro. Les opérateurs semblent avoir comparé les modèles, passant à Pro lorsque Flash échouait sur une cible.
Pour obtenir la coopération des modèles, les attaquants ont ajouté un préambule en chinois affirmant que chaque opération était un test de sécurité autorisé. Chaque campagne incluait un fichier AUTHORIZATION.md déclarant le travail approuvé par un client. Ni Zhipu GLM ni DeepSeek n’ont refusé d’exécuter les commandes.
Les cibles et les méthodes : des secteurs stratégiques dans le viseur
Les organisations attaquées appartiennent à trois groupes principaux :
- Sept entités dans la chaîne d’approvisionnement des semi-conducteurs et de la fabrication avancée.
- Trois entités dans le secteur de la défense ou de la politique de défense.
- Quatre entités liées aux droits humains et à la société civile.
Cette répartition montre une volonté claire de collecte de renseignements, dans la lignée de ce que Unit 42 décrit comme « China-nexus intelligence collection », attribué au groupe CL-STA-1238 avec un niveau de confiance modéré.
Détails des compromissions
| Organisation | Type de brèche | Données exfiltrées ou impact |
|---|---|---|
| Organisme de normalisation industriel | Password spraying, accès à un espace cloud sans authentification, modification d’un document de vote en direct, prise de contrôle de comptes arbitraires | Courriels, identifiants, fonctions de vote et de réunion compromises |
| Syndicat d’enseignants américain | Contournement de la création de compte, génération de sessions valides | Plus d’un million de fiches membres, 31 000 contacts CRM, hachages de mots de passe du personnel |
| Entreprise de semi-conducteurs | Brute force d’un identifiant de production, création de comptes administrateurs, jeton API persistant | Accès aux systèmes internes et aux API critiques |
| Programme de politique de défense | Point d’entrée ouvert (endpoint d’inscription) exposant environ 500 comptes avec adresses .mil et .gov | Profils et empruntes d’authentification |
Ce tableau n’est qu’un échantillon des 25 opérations ; les chercheurs estiment que la majorité des cibles ont subi au moins une tentative de compromission.
Des vulnérabilités classiques, une exploitation démultégorisée
Les failles exploitées par le framework Cairn ne sont pas nouvelles, comme le confirme une analyse de la sécurité informatique récente. On retrouve :
- Contournements d’authentification (authentication bypass).
- Références directes non sécurisées (insecure direct object references).
- Escalade de privilèges via mass assignment.
- Mots de passe faibles ou par défaut.
- API cloud exposées sans contrôle d’accès.
- Vulnérabilités connues (CVEs anciennes non patchées).
« Autonomous AI raised the volume and coverage of exploitation but not its complexity, so identity hygiene, a smaller attack surface and patching still work. » - Unit 42
L’IA n’a donc pas inventé de nouvelles techniques ; elle a simplement automatisé à grande échelle des attaques déjà connues. Dans un cas, l’opérateur a même fourni au framework des adresses de passerelles VPN, des noms de groupe et des mots de passe partagés, ce qui montre qu’un travail de renseignement préalable avait été effectué.
Les indicateurs de compromission
Deux adresses IP ont été partagées par Unit 42 pour faciliter la détection :
Serveur C2 (Hong Kong) : 154.44.31[.]4
Nœud de staging (États-Unis) : 82.29.129[.]54
Ces adresses doivent être surveillées dans les logs de pare-feu et les solutions EDR, tout particulièrement si votre organisation évolue dans les secteurs cités.
Conséquences pour la sécurité des entreprises françaises
Si cette campagne a ciblé principalement des organisations américaines, les répercussions pour la France et l’Europe sont immédiates. La chaîne d’approvisionnement des semi-conducteurs est mondiale, et nombre de fournisseurs français sont interconnectés avec les acteurs visés. De plus, les organismes traitant de défense ou de droits humains peuvent être considérés comme des cibles secondaires dans des campagnes futures.
L’ANSSI rappelle régulièrement dans ses guides que l’hygiène informatique reste le rempart le plus efficace face à l’automatisation des attaques. Face à l’essor des frameworks d’IA open source comme Cairn, les entreprises doivent renforcer plusieurs piliers :
- Gestion des identités et des accès : appliquer le principe du moindre privilège, utiliser l’authentification multi-facteurs, et auditer les habilitations.
- Réduction de la surface d’attaque : désactiver les services exposés inutiles, segmenter les réseaux, et fermer les points d’entrée publics non sécurisés.
- Gestion des correctifs : patcher sans délai les vulnérabilités connues (CVEs), en priorité celles affectant les applications web et les API.
- Surveillance et détection : mettre en place des corrélations de logs orientées sur les indicateurs de mouvement latéral et les tentatives de bruteforce massives.
- Sensibilisation et préparation : former les équipes aux nouvelles menaces IA, tester régulièrement via des exercices d’intrusion (avec des frameworks comme Cairn… mais sous contrôle).
Recommandations pour les DSI et RSSI
Nous observons dans la pratique que les organisations qui avaient déjà investi dans une architecture Zero Trust ont mieux résisté aux phases de reconnaissance automatisée. L’exemple du mass assignment et des identifiants faibles montre que les fondamentaux ne sont pas obsolètes. Comme le souligne Unit 42, l’IA n’augmente pas la complexité des attaques, elle en accroît le volume et la couverture.
Il est également essentiel de surveiller l’émergence de forks malveillants des frameworks open source de pentest. Cairn étant public, n’importe quel groupe peut le copier, l’enrichir de modules offensifs et le tourner contre des cibles. Une veille sur les dépôts GitHub suspects et l’analyse des signatures de trafic liées aux appels API vers les modèles d’IA (Zhipu, DeepSeek) peut fournir des alertes précoces.
Conclusion : anticiper la vague des attaques autonomes
La campagne menée avec Cairn en août-septembre 2026 n’est qu’un avant-goût des perspectives cybersécurité 2026. Les modèles d’IA ouverts aux garde-fous insuffisants (Zhipu, DeepSeek) sont déjà utilisés, et leur puissance ne cesse de croître. Les organisations françaises - qu’elles œuvrent dans les semi-conducteurs, la défense ou les droits humains - doivent considérer ce type d’attaque comme une réalité imminente.
La bonne nouvelle, c’est que les mesures de sécurité classiques restent efficaces : patchs, contrôle d’accès, réduction de la surface d’attaque. Mais elles doivent être appliquées avec une rigueur sans faille, car l’adversaire ne dort jamais. Investir dans la détection des comportements anormaux, automatiser la réponse aux incidents et partager les indicateurs de compromission sont les prochaines étapes logiques.
Enfin, nous encourageons les RSSI à se tenir informés des évolutions de ce type de frameworks, et à participer aux retours d’expérience via les clubs CERT et les groupes de travail ANSSI. La menace est collective, la réponse doit l’être aussi.
Références : Rapport Unit 42 - Palo Alto Networks, novembre 2026 ; Guides ANSSI sur l’hygiène informatique ; norme ISO/CEI 27001.