Le 3 juin, Anthropic a publié quelque chose de plus utile qu’un énième avertissement sur l’IA et la cybercriminalité. Son équipe de threat intelligence a repris 832 comptes bannis pour activité malveillante entre mars 2025 et mars 2026, et a rattaché chaque cas à MITRE ATT&CK, le référentiel que les équipes sécurité utilisent déjà pour décrire le comportement des attaquants.
La conclusion n’est pas que l’IA a inventé de nouvelles attaques. C’est qu’elle a supprimé le niveau de compétence requis pour les anciennes.
Cette nuance vous concerne directement, parce que votre stack marketing est désormais peuplée d’agents qui détiennent de vrais identifiants.
À retenir
- L’étude Anthropic rattache un an d’attaques assistées par IA à un référentiel que votre équipe sécurité connaît déjà.
- Le basculement porte sur l’accessibilité : des acteurs peu qualifiés mènent des opérations qui exigeaient auparavant un spécialiste.
- Le marketing est exposé parce que ses agents détiennent des accès CRM, publicitaires et analytics, souvent trop larges.
- La parade est ennuyeuse et efficace : clés cloisonnées, plafonds de dépense, journalisation, et validation humaine sur tout ce qui est irréversible.
Ce que dit vraiment le rapport
La divulgation précédente d’Anthropic, en novembre 2025, avait fait les gros titres : un groupe lié à l’État chinois, suivi sous le nom de GTG-1002, aurait mené la première campagne d’espionnage cyber orchestrée de façon largement autonome par une IA, contre une trentaine de cibles. Anthropic estimait alors que 80 à 90 pour cent des opérations s’étaient exécutées sans intervention humaine.
Beaucoup de chercheurs en sécurité ont contesté cette présentation, et à juste titre. Affirmer que l’IA a piloté l’opération est difficile à vérifier de l’extérieur, et le secteur a déjà vu des éditeurs survendre leur propre télémétrie.
L’étude de juin est plus solide, justement parce qu’elle ne repose pas sur un cas spectaculaire. C’est une année de comptes bannis, classée. Et le schéma qu’elle révèle est constant : reconnaissance, découverte de vulnérabilités, collecte d’identifiants et analyse de données sont les phases où l’IA aide le plus. Ce sont les parties fastidieuses et techniques d’une intrusion. Automatisez-les, et quelqu’un qui ne savait pas mener une campagne se met soudain à en être capable.
Les deux chiffres qui comptent plus que le titre
Retirez l’angle espionnage et deux constats subsistent.
Le premier : les phases où l’IA contribue le plus sont celles qui demandaient auparavant de l’expertise et de la patience. La reconnaissance de la surface publique d’une cible. La lecture de code pour y trouver une faiblesse. Le test d’identifiants à grande échelle. La corrélation de données exfiltrées pour déterminer ce qui a de la valeur. Rien de spectaculaire, et pourtant c’était exactement la barrière à l’entrée.
Le second : le volume de comptes concernés, 832 sur douze mois, décrit un flux régulier plutôt qu’une poignée d’opérateurs sophistiqués. C’est la partie qui vous concerne. Un monde avec quelques attaquants d’élite est un monde où vous n’êtes probablement pas une cible. Un monde où le niveau requis s’est effondré est un monde où être quelconque cesse de vous protéger.
Pourquoi ça atterrit sur le marketing, pas seulement sur la DSI
Il y a deux ans, le service marketing ne détenait aucun identifiant qui intéresse un attaquant. Ce n’est plus vrai.
Regardez ce qu’un agent connecté touche dans une configuration classique. Il lit votre CRM pour enrichir les fiches de leads. Il interroge vos comptes publicitaires pour construire des rapports. Il possède un jeton analytics. Et il a probablement un accès en écriture quelque part, parce qu’un agent en lecture seule sert moins et que personne n’avait envie de configurer deux jeux de clés.
Maintenant, demandez-vous comment ces identifiants ont été créés. Dans la plupart des entreprises que nous auditons, la réponse est la même : quelqu’un a collé une clé administrateur existante dans un fichier de configuration, parce que ça marchait et que la deadline était vendredi.
Le risque n’est pas qu’un modèle devienne hostile. C’est qu’un identifiant trop permissif se retrouve dans un endroit moins bien protégé que votre infrastructure de production, et qu’un agent puisse être orienté vers son utilisation. Injection de prompt via une page scrapée, jeu de données empoisonné, document malveillant déposé dans un dossier partagé : les points d’entrée sont banals.
L’IA POUR VOTRE ÉQUIPE
Déployez des agents que votre DSI acceptera
On forme les équipes marketing à construire des agents réellement cadrés, journalisés et réversibles, pas des démos qui détiennent discrètement des clés admin.
Ce que nous avons changé sur notre propre stack
Nous faisons tourner des agents sur des comptes clients, donc le sujet n’a rien de théorique pour nous. Quatre principes devenus non négociables.
Des identifiants distincts par agent, en lecture seule par défaut. Si un agent construit des rapports, il reçoit un jeton de reporting. L’écriture s’accorde au cas par cas, jamais par confort. C’est un travail ingrat, et c’est le contrôle au meilleur rapport valeur sur effort.
Des plafonds de dépense au niveau de la plateforme, pas dans le prompt. Dire à un agent de ne pas dépasser un budget, c’est une suggestion. Poser un plafond dans la plateforme publicitaire, c’est une règle. Ne jamais confier à une instruction ce qu’un réglage peut imposer.
Chaque appel d’outil journalisé, avec ses arguments. Quand un incident survient, il faut savoir ce que l’agent a fait, pas ce qu’il dit avoir fait. Anthropic a reconstitué environ 17 600 actions d’attaquant à partir de journaux lors d’un incident ultérieur. Ce sont les logs qui ont transformé cette affaire en chronologie exploitable.
Une validation humaine sur tout ce qui est irréversible. Publier, envoyer, supprimer, dépenser. Un agent peut tout préparer. Une personne confirme. Nous en parlions déjà en regardant ce qu’on peut vraiment déléguer à des agents, et la frontière n’a pas bougé.
La menace, ce n’est pas un modèle malin. C’est un jeton administrateur que personne ne se rappelait avoir laissé dans un fichier de configuration. MyDigipal
Ce qu’un audit d’agents fait vraiment remonter
Nous avons mené cet exercice sur assez de comptes pour savoir ce qu’on y trouve. Les constats se répètent avec une régularité déprimante.
Un identifiant appartenant à quelqu’un qui est parti. Une agence, un freelance ou un ancien salarié. Personne ne l’a révoqué parce que personne ne savait qu’il existait, et l’automatisation qu’il alimente fonctionne toujours, ce qui explique précisément qu’il soit passé inaperçu.
Un agent avec un accès en écriture dont il n’a jamais eu besoin. Accordé pendant la configuration pour débloquer un test, et le test est devenu la production.
Un outil connecté à un compte personnel. Quelqu’un a autorisé une intégration avec ses propres identifiants parce que le compte partagé n’avait pas la bonne permission ce jour-là. L’intégration dépend désormais de la session d’une seule personne.
Aucun journal. L’agent tourne, agit, et ne laisse aucune trace au-delà de son résultat final. Quand quelque chose cloche, il n’y a rien à inspecter.
Un prompt contenant une règle qui devrait être un réglage. « Ne dépense pas plus de 500 par jour » écrit dans une instruction, sans aucun plafond configuré nulle part.
Aucun de ces cas n’a besoin d’un attaquant pour vous coûter quelque chose. L’identifiant d’un prestataire parti est un problème de conformité en soi. L’absence de journaux transforme une erreur ordinaire en énigme.
L’objection qu’on nous fait le plus
« On est trop petits pour être une cible. » C’était une position raisonnable quand mener une intrusion exigeait un spécialiste. Tout l’intérêt des données d’Anthropic est justement que ce n’est plus la contrainte.
L’opportunisme automatisé ne sélectionne pas par taille d’entreprise. Il sélectionne par exposition. Une petite structure avec une clé d’API trop permissive dans un dépôt public est plus exposée qu’une grande avec une hygiène correcte, et l’outillage qui trouve cette clé se moque de savoir laquelle des deux vous êtes.
La partie inconfortable
Il existe une version de cet article qui se termine par « soyez prudents ». Elle ne sert à rien.
Voici le point plus dur. La plupart des équipes marketing sont aujourd’hui incapables de répondre à trois questions sur leurs propres agents : quels identifiants détient chacun, quelle est l’étendue des dégâts si l’un est compromis, et où sont les journaux. Si vous ne savez pas répondre, vous n’avez pas encore un problème de sécurité IA. Vous avez un problème d’inventaire, et il deviendra un problème de sécurité IA.
Commencez par l’inventaire. Listez chaque agent, automatisation et intégration qui touche votre stack marketing. Notez ce que chacun peut lire et ce que chacun peut écrire. La plupart des équipes y trouvent au moins un identifiant qui aurait dû être révoqué depuis des mois.
Cet exercice prend un après-midi. C’est aussi la seule partie que vous pouvez faire sans rien acheter.
Si vos flux de données et votre tracking sont déjà flous, cet audit est le point de départ naturel, et c’est le travail qu’on mène avant de connecter quoi que ce soit. Et si vous intégrez des agents à des workflows exposés aux clients, notre équipe solutions IA les cadre avec ces contrôles dès le premier jour.
Sources : Anthropic, cartographie d’un an de menaces cyber liées à l’IA (3 juin 2026) - Help Net Security sur l’étude (5 juin 2026) - Anthropic sur la campagne GTG-1002 - The Conversation, les réserves des chercheurs
