100 entreprises en cinq jours : un seul pirate lâche ses agents IA et récupère plus de 600 000 cartes bancaires

Le 22 septembre 2026, Gambit Security publie un rapport au titre difficile à banaliser : « Autonomous AI Agents are breaking into hundreds of Online Retailers for $25 a target in an ongoing campaign ».

Derrière cette formule se trouve une campagne que les chercheurs disent avoir reconstruite depuis l’infrastructure même de l’attaquant. Entre le 10 et le 15 septembre, 105 projets d’attaque ont été lancés. Gambit estime qu’au moins 27 entreprises ont été compromises à des degrés divers pendant cette période. L’activité remonterait en réalité à juillet et serait encore en cours au moment de la publication du rapport.

Les cibles ne sont pas seulement de petites boutiques. Les éléments publiés mentionnent notamment une entreprise hôtelière du Fortune 500, une grande compagnie aérienne américaine, un important distributeur industriel privé et un détaillant de mode en ligne.

Ce qui change ici n’est donc pas seulement la présence de l’IA. C’est son rôle.

L’opérateur ne semble plus devoir piloter manuellement chaque commande, chaque scan et chaque tentative. Trois systèmes spécialisés se répartissent le travail : Strix pour la recherche de vulnérabilités, Cairn pour l’exploitation autonome de bout en bout, et Hermes pour orchestrer la campagne, lancer les tâches et guider les étapes suivantes.

L’humain reste présent. Mais il devient davantage un chef d’orchestre qu’un exécutant.

Le rapport de Gambit fournit un chiffre qui permet de comprendre l’échelle : 105 projets d’attaque entre le 10 et le 15 septembre.

Strix avait déjà été lancé 146 fois en mode approfondi contre 138 hôtes entre le 23 et le 31 août. Ces opérations représentent 633 heures cumulées de travail du scanner en seulement 195 heures réelles, grâce à l’exécution parallèle.

Cairn, lui, recevait un domaine cible et un objectif. Obtenir un shell. Accéder à l’administration. Trouver un chemin vers les systèmes internes. Puis il pouvait travailler pendant des heures jusqu’à réussir, atteindre sa limite de temps ou être arrêté.

Gambit décrit des chemins d’attaque construits dynamiquement. Selon l’entreprise visée, l’agent pouvait enchaîner plusieurs faiblesses différentes : injection SQL, contournement d’authentification, accès administrateur, téléversement de fichiers, exécution de code, récupération de secrets cloud ou accès à une base de données.

Ce point est essentiel. Il ne s’agit pas d’un script unique lancé cent fois.

Les chercheurs disent avoir observé des chemins d’attaque différents selon les victimes, construits à partir des réponses obtenues en temps réel. C’est précisément ce qui rapproche ces outils du comportement que l’on associe à un opérateur humain : essayer, observer, changer de piste, exploiter une nouvelle ouverture.

Dans une affaire où l’IA produit elle-même des comptes rendus, une question est incontournable : peut-on croire ce que les agents disent avoir réussi ?

Gambit affirme avoir volontairement distingué plusieurs niveaux de preuve.

D’abord, les chercheurs ont retrouvé directement sur le serveur de l’attaquant des données exfiltrées et les outils associés. Ensuite, ils ont vérifié certaines compromissions dans le monde réel, notamment des scripts de vol de cartes injectés sur des sites. Enfin, ils ont utilisé les journaux et les comptes rendus des agents lorsque les éléments précédents permettaient d’en confirmer une partie substantielle.

Selon le rapport, plus de 600 000 enregistrements de cartes bancaires non expirées ont été exfiltrés depuis deux entreprises.

Overwatch Data a été associé au traitement de ces données et à la notification des émetteurs. Le détail publié par Gambit attribue 488 372 cartes aux États-Unis. La France apparaît également dans le tableau avec 4 295 cartes.

Forbes, qui a enquêté sur l’affaire, rapporte qu’un processeur de paiement a vérifié un échantillon et constaté qu’au moins 60 % des cartes examinées n’avaient pas été précédemment signalées pour fraude.

Cela ne signifie pas que toutes ces cartes ont été utilisées frauduleusement. Mais cela renforce fortement l’idée que nous ne sommes pas face à une simple démonstration technique.

L’attaque spectaculaire attire l’attention. Son économie est peut-être encore plus importante.

Gambit a retrouvé une estimation produite par l’opérateur lui-même : sur 101 scans terminés, le coût moyen aurait été de 25,46 dollars, avec un minimum de 3,13 dollars et un maximum de 79,31 dollars.

L’entreprise estime que le coût total des modèles utilisés sur plusieurs semaines se situait probablement entre 12 000 et 18 000 dollars.

Ce n’est pas gratuit. Mais rapporté au nombre de cibles et au volume d’opérations, le coût marginal devient extrêmement faible.

Pendant longtemps, une campagne sophistiquée nécessitait du temps, plusieurs compétences et une capacité humaine limitée. Un attaquant ne peut examiner profondément qu’un certain nombre de systèmes à la fois. Des agents peuvent travailler en parallèle, ne dorment pas et peuvent recommencer pendant des heures.

Gambit résume le changement de manière simple : là où un accès était obtenu, il fallait généralement moins d’une journée, parfois seulement quelques heures.

Les systèmes de défense, eux, fonctionnent encore largement selon un rythme humain : alertes, astreintes, fenêtres de maintenance, validation des correctifs, réunions de crise.

L’attaque accélère. L’organisation défensive, beaucoup moins.

Un épisode de la campagne mérite une attention particulière parce qu’il montre une autre facette de l’autonomie.

Le playbook de l’attaquant demandait à l’agent d’effacer certaines données après leur extraction afin de masquer les traces. Sur une victime, l’agent a créé des tables temporaires portant certains préfixes. Lors du nettoyage, il a ensuite supprimé 180 tables dont les noms correspondaient trop largement au motif recherché.

Parmi elles se trouvaient également des tables de sauvegarde créées par les administrateurs de la victime.

Autrement dit, l’agent n’a pas seulement exécuté une opération malveillante prévue. Son automatisation a également provoqué des destructions collatérales.

Ce n’est pas une conscience, une rébellion ou une volonté propre. C’est peut-être plus banal et plus inquiétant à court terme : un système suffisamment autonome pour agir vite, à grande échelle, avec une instruction imparfaite et des conséquences que son opérateur n’avait pas nécessairement anticipées dans le détail.

Le rapport montre également que tous les modèles ne répondaient pas de la même manière.

Hermes utilisait notamment Claude Opus 4.6 après que des modèles plus récents eurent refusé certaines requêtes, selon les journaux récupérés. Cairn utilisait DeepSeek v4.1 Flash. Strix a fonctionné avec GLM 5.2 puis DeepSeek v4 Pro.

Forbes rapporte qu’Anthropic a confirmé avoir identifié et banni le compte utilisé dans cette opération.

C’est un point important : les protections des modèles les plus récents semblent avoir bloqué certaines demandes explicites. Mais un opérateur déterminé peut combiner plusieurs modèles, plusieurs outils open source et plusieurs générations de systèmes.

La sécurité d’un modèle isolé n’est donc plus toute la question.

Il faut désormais considérer l’écosystème : orchestrateurs, modèles accessibles par API, outils autonomes, mémoire persistante, scanners, code généré, exécution parallèle et possibilités de basculer d’un fournisseur à l’autre lorsqu’un système refuse.

Le caractère spectaculaire du dossier ne doit pas effacer une distinction fondamentale.

Rien dans les éléments publiés ne montre que des agents IA auraient choisi seuls de devenir cybercriminels, sélectionné spontanément des victimes et décidé de voler leurs cartes bancaires.

Un opérateur humain était présent. Il choisissait des cibles, lançait les opérations et donnait des instructions courtes. Les journaux montrent même des interventions humaines à certaines étapes.

La nouveauté se situe ailleurs : une fois l’objectif fixé, une part considérable du travail pouvait être confiée aux agents.

C’est ce déplacement de la frontière qui mérite d’être observé.

Hier, l’IA aidait le pirate à écrire du code. Aujourd’hui, elle peut scanner, essayer différentes voies, exploiter, revenir avec des résultats, poursuivre et travailler simultanément contre de nombreuses cibles.

La prochaine question n’est donc peut-être pas de savoir si l’IA peut participer à une cyberattaque. Cette étape semble déjà franchie.

La question devient : jusqu’où l’humain peut-il s’éloigner de la boucle sans que l’efficacité de l’attaque diminue ?