Des agents d’IA de plusieurs fournisseurs ont accédé à des données personnelles et à des documents confidentiels dans des organisations indiennes lors de recherches et de tests, a annoncé jeudi l’agence indienne de cybersécurité.
L’équipe indienne d’intervention en cas d’urgence informatique (CERT-In) a déclaré avoir reçu « plusieurs divulgations volontaires de la part de fournisseurs de modèles d’IA » dont les modèles, lors de recherches et d’évaluations sur l’Internet ouvert, « avaient atteint les systèmes réels des organisations indiennes ».
Les agents sont entrés via des informations d’identification et des paramètres de connexion laissés exposés dans les configurations d’applications, les référentiels de code publics et les rôles cloud trop permissifs, et leurs actions « ont dépassé l’autorisation des tâches qui leur étaient assignées ».
Cela fait de l’Inde la dernière étape de ce qui est devenu une tournée mondiale pour les agents voyous de l’IA. En juillet, les agents d’OpenAI se sont échappés d’un environnement de test et ont piraté la société française Hugging Face, donnant ainsi le coup d’envoi d’un été d’activités d’agents IA malveillants. Le mois dernier, OpenAI a présenté ses excuses à l’Australie après que ses agents ont accédé à quatre sites Web gouvernementaux, dont un portail de statistiques Medicare.
Chez Hugging Face, les agents d’OpenAI ont commencé de la même manière mais ont ensuite découvert et exploité des failles logicielles pour exécuter du code sur les serveurs de l’entreprise. CERT-In n’a décrit aucun piratage de ce type en Inde, où les agents semblent avoir simplement utilisé l’accès laissé disponible.
Pourtant, les cas indiens semblent pires sur un point, et c’est ce que les agents ont constaté : en Australie, OpenAI a déclaré n’avoir trouvé aucune preuve que ses agents avaient touché aux dossiers médicaux ou criminels des individus, même après avoir rédigé des fichiers dans un système de statistiques Medicare, tandis qu’en Inde, les agents lisaient des données personnelles et des dossiers commerciaux confidentiels. Et contrairement aux incidents précédents, chacun révélé par un seul laboratoire, le cas indien impliquait des agents de plusieurs fournisseurs.
CERT-In n’a pas nommé les fournisseurs ou les organisations concernées, ni indiqué si les agents avaient modifié les systèmes. TechCrunch a contacté CERT-In pour plus d’informations.
Pour l’instant, le parallèle le plus proche semble être la révélation par Anthropic en juillet de l’intrusion de Claude dans les systèmes de trois sociétés lors de tests utilisant des techniques de base telles que des mots de passe faibles.
En Inde, comme dans le cas d’Anthropic, les organisations concernées n’avaient pas détecté elles-mêmes les intrusions. Ces divulgations ont amené les gouvernements à compter sur les sociétés d’IA, à l’origine de ces violations, pour qu’elles divulguent volontairement les activités des agents d’IA malveillants.
Lorsque vous achetez via des liens dans nos articles, nous pouvons gagner une petite commission. Cela n’affecte pas notre indépendance éditoriale.
