L'IA Hackeuse : 600 Firewalls Fortinet Percés en 5 Semaines – Amazon Dévoile l'Argument Fatal

Pendant cinq semaines, du 11 janvier au 18 février, un hacker russophone isolé – armé uniquement de services IA commerciaux – a percé plus de 600 firewalls FortiGate à travers 55 pays. Pas de zero-days ésotériques, pas d'exploits de pointe : juste des interfaces de gestion exposées sur les ports 443, 8443, 10443 et 4443, et des mots de passe triviaux (admin/admin123) sans MFA. Ce que l'intelligence artificielle a apporté à la table ? Une automatisation à échelle industrielle : scanning massif, brute-force optimisé en temps réel, parsing intelligent des configurations volées, et reconnaissance réseau automatisée.

CJ Moses, CISO d'Amazon Integrated Security, tire la sonnette d'alarme :

l'IA ne "complète" pas vos outils cyber, elle arme massivement vos assaillants.

Bienvenue dans l'ère où l'amateur devient menace globale.

Chronique d'une Breach Prévisible : La Méthode Silencieuse

L'attaque n'avait rien d'élitiste. Le hacker – identifié par ses notes en russe sur un serveur mal sécurisé (212.11.64.250) – a balayé Internet à la recherche d'interfaces FortiGate exposées. Une fois repérées, l'IA a pris le relais : dictionnaires de mots de passe dynamiques, ajustés en direct selon les échecs, jusqu'à craquage. Succès obtenu, extraction méthodique des fichiers de configuration : identifiants SSL-VPN récupérables, mots de passe administrateurs, topologies réseau complètes, politiques de pare-feu, configurations IPsec. Ces trésors, habituellement cloisonnés, sont devenus cartes au trésor pour l'infiltrat.

Mais le génie réside dans l'après : des scripts Python et Go, générés par IA, ont décrypté et structuré ces données en heures plutôt qu'en semaines. Résultat ? Cartographie précise des Active Directory, détection des contrôleurs de domaine, énumération SMB, ciblage des serveurs Veeam Backup. Un PowerShell malveillant a même été repéré, conçu pour vider les credentials de sauvegarde. L'IA n'a pas inventé la roue – Meterpreter, Mimikatz, DCSync étaient déjà là – elle l'a montée en usine.

Le Pivot Conceptuel : L'IA Baisse la Barrière Fatale

Oubliez le narratif rassurant : "l'IA défend mieux qu'elle n'attaque". Cette campagne pulvérise l'argument. Un attaquant "peu sophistiqué", selon Amazon, a accompli ce qu'une équipe chinoise d'État mettrait des mois à orchestrer. L'IA a démocratisé le hacking à l'échelle d'un État-nation :

• Scanning : Scripts customisés pour Fortinet, générés en 30 minutes via prompts conversationnels.
• Brute-Force : Dictionnaires auto-optimisés, abandonnant les cibles hardies pour des proies faciles.
• Parsing : JSON fragile des configs FortiGate décortiqué sans expertise manuelle.
• Reconnaissance : Outils maison comme ARXON MCP et CHECKER2 (Go/Python) mappent réseaux internes en autopilot.

"Commercial AI services enable even unsophisticated actors to conduct cyberattacks at scale", avertit CJ Moses.

L'IA ne nécessite plus de PhD en reverse engineering : un prompt bien ficelé suffit. Résultat : 600 breaches en 5 semaines, depuis l'Asie du Sud jusqu'à l'Afrique de l'Ouest, touchant PME et entreprises sans distinction sectorielle. Opportuniste ? Oui. Scalable ? Terrifiant.

Fortinet au Banc des Accusés : Ports Ouverts, MFA Absent

Fortinet, leader des firewalls next-gen, se retrouve épinglé par ses propres faiblesses opérationnelles. 30% des FortiGate font face à Internet sans protection MFA ; les configs riches – VPN creds, AD maps – sont autant de mines d'or pour quiconque passe la porte. L'attaquant a tenté des CVE connues (Veeam RCE 2024-40711, QNAP 2019-7192), mais pivotait vers des cibles faciles dès blocage. Le serveur compromis exposait 1 402 fichiers : dumps AD, plans d'attaque, vulnérabilités scannées – une bibliothèque ouverte pour ransomware à venir.

Cette affaire n'est pas isolée. Arctic Wolf notait déjà des configurations malveillantes sur FortiGate via SSO ; les ports management exposés sont une constante. Fortinet réagit : patchs urgents, MFA forcée. Mais le mal est fait : l'IA a révélé la fragilité systémique des appliances "intelligentes".

Contre le Mythe "IA Défensive" : Une Arme à Double Tranchant

Le discours cyber canonique – "IA dans EDR, SIEM, threat hunting" – s'effrite. L'IA offense plus vite qu'elle ne défend :

L'IA n'est pas un bouclier : c'est un égalisateur. Un "script kiddie" russophone rivalise avec APT28. Metasploit (2004) avait automatisé les exploits ; l'IA 2026 automatise la chaîne complète killchain. Les CISO doivent repenser : et si l'ennemi utilisait les mêmes LLMs que vos Falcon OverWatch ?

Géopolitique Cyber : Russie en Avangarde

Les notes en russe, outils comme ARXON, focus ransomware/backups : signature d'un acteur financièrement motivé post-sanctions. Russie teste l'IA cyber hors frontières Ukraine. Chine suit (Hunyuan custom exploits). L'Europe, avec AI Act "haut risque" cyber, patine.

Leçons Opérationnelles : Hardening Immédiat

FortiGate Survival Kit (post-breach) :

1. Ports Management : VPN interne only (zero Internet exposure).
2. MFA Universelle : Pas d'exception admins.
3. Configs Sanitized : Rotation creds 90 jours, anonymisation JSON.
4. EDR sur Appliances : Détection comportements anormaux.
5. Zero Trust Backups : Segmentation Veeam, air-gapped.

IA Défense Prioritaire :

• Behavioral ML sur brute-force patterns.
• Red teaming avec LLMs offensifs internes.
• SIEM prompts pour "FortiGate config exfiltration".

Perspectives : Cyber-IA, Nouvelle Course aux Armements

2026 sera l'année IAaaS dark web : hackers-as-service boostés LLMs. Défenseurs ripostent avec Falcon/Copilot, mais l'asymétrie penche attaquants : gratuité offense vs coût défense. Fortinet n'est que le canari : Palo Alto, Cisco imminent.

Amazon l'a dit sans fard : "IA lowers the bar". Ce hacker "unsophisticated" a fait ce que des millions d'euros en CrowdStrike n'ont pas anticipé. L'IA ne complète pas la cyber : elle la redéfinit. CISO, levez les yeux de vos tableaux de bord – votre prochain assaillant prompt en ce moment même.