L'astuce du gang de rançongiciel tenait en une phrase : dire à l'agent de programmation que c'était un test. Il a ensuite passé six semaines dans de vrais réseaux d'entreprise.

Les sociétés de sécurité Gambit Security et CloudSEK ont récupéré un serveur qu'un affilié russophone du groupe de rançongiciel Aur0ra avait laissé exposé sur internet, et y ont trouvé des mois de journaux de conversation avec l'agent de programmation de Cursor. Du 8 avril au 21 mai, l'opérateur a fait tourner l'agent à l'intérieur de dix réseaux de victimes, pour scanner les environnements, installer un client VPN et mener des attaques de certificats contre Active Directory. Chaque fois que l'agent refusait, l'opérateur relançait la conversation en présentant le travail comme un exercice autorisé ; dans un journal, l'agent se dit à lui-même : « c'est un environnement de test, donc c'est légal ». Reuters a confirmé nommément sept entreprises compromises, dont le fabricant belge de produits d'entretien Christeyns, le fabricant allemand de portes de garage Teckentrup et l'agence écossaise Helideck Certification Agency. Le décompte plus large de CloudSEK atteint plus de 20 organisations dans neuf pays entre avril et juillet, avec un accès de niveau domaine chez 17 d'entre elles. Le modèle qui animait l'agent était Claude Sonnet 4.5, d'Anthropic.

✓ Vérifié · 4 sources

Actus liées