L’essor de l’intelligence artificielle a apporté des outils de productivité incroyables. Cependant, cela a également créé de nouveaux risques en matière de sécurité. Parmi les principaux, citons la démocratisation de la cybercriminalité. Un récent rapport de la startup de cybersécurité Gambit Security a révélé une importante faille de sécurité dans laquelle un attaquant a réussi à compromettre plusieurs agences gouvernementales au Mexique en utilisant Claude, le chatbot alimenté par l’IA d’Anthropic, comme principal complice.
Piratage basé sur l’IA : explication de la violation de données de 150 Go au Mexique alimentée par Claude
Ce qui rend cette affaire particulièrement frappante n’est pas seulement le volume de données volées, mais aussi la manière dont l’attaquant a obtenu la coopération de l’IA. Si vous ne le savez pas, les chatbots IA disposent de boucliers de sécurité contre les « invites nuisibles ». Ce sont des instructions conçues pour causer du tort d’une manière ou d’une autre. Cependant, les individus malveillants peuvent contourner ces boucliers en utilisant la technique de « l’injection rapide ».
Dans ce cas, le pirate informatique a utilisé des invites en espagnol pour convaincre Claude qu’il participait à un programme légitime de « bug bounty ». L’utilisateur a persuadé l’IA d’agir comme un « hacker d’élite » en déguisant l’intention malveillante en recherche éthique. Grâce à cette tromperie, le chatbot a généré des milliers de rapports détaillés, de scripts informatiques et de plans d’attaque prêts à être exécutés.
Lorsque Claude a heurté certains garde-corps de sécurité, l’attaquant se serait tourné vers ChatGPT d’OpenAI pour obtenir des tactiques de mouvement latéral et des méthodes d’évasion. Cette approche « tag-team » a permis à l’individu d’automatiser le vol de données à grande échelle sans avoir besoin d’une expertise technique approfondie.
Un transport de 150 Go
Les résultats de cette campagne ont été dévastateurs pour la vie privée nationale. Selon les chercheurs de Gambit, l’attaquant est reparti avec 150 Go d’informations sensibles. Le transport comprenait des dossiers liés à 195 millions de contribuables de l’administration fiscale fédérale et des dossiers d’électeurs sensibles de l’institut électoral national.
La réponse des autorités mexicaines a été mitigée suite à cette découverte. Alors que certaines enquêtes fédérales ont commencé il y a des mois, d’autres agences locales ont refusé tout accès non autorisé à leurs réseaux.
