Campagne d'espionnage Claude Code : l'IA a mené 80 à 90 % de l'attaque

Ce qui s'est passé lors de la campagne d'espionnage Claude Code

Selon Anthropic, un groupe soutenu par l'État chinois, qu'elle suit sous le nom de GTG-1002, a utilisé Claude Code pour mener l'essentiel d'une opération de cyberespionnage en septembre 2025. Les attaquants ont visé une trentaine d'entités, parmi lesquelles de grandes entreprises technologiques, des institutions financières, des fabricants de produits chimiques et des agences gouvernementales de plusieurs pays.

Seul un petit nombre d'intrusions ont réussi, précise l'entreprise. Elle décrit le cas comme la première cyberattaque documentée menée à grande échelle en grande partie sans intervention humaine.

Comment les attaquants ont fait d'un outil de programmation IA un agent d'intrusion

Les attaquants n'ont pas demandé ouvertement une attaque. Ils se sont fait passer pour des employés de sociétés de cybersécurité légitimes et ont dit à Claude qu'il effectuait des tests défensifs. Ils ont aussi découpé l'attaque en petites tâches d'apparence anodine, si bien que le modèle n'a jamais vu le contexte complet.

Des humains ont choisi les cibles et construit un cadre autour de Claude Code. Celui-ci utilisait des outils de test d'intrusion classiques et une infrastructure Model Context Protocol (MCP) pour scanner, exploiter et extraire des données. Claude servait de système d'orchestration et répartissait le travail entre des sous-agents chargés de l'analyse des vulnérabilités, de la validation d'identifiants et d'autres tâches du même type.

Comment l'attaque s'est déroulée au quotidien

Anthropic décrit six phases. Claude a scanné les réseaux ciblés, découvert des services et repéré des endpoints vulnérables. Il a ensuite rédigé des charges utiles sur mesure, validé les vulnérabilités et rendu compte pour une revue humaine.

Il a ensuite extrait des identifiants, cartographié les systèmes internes, interrogé des bases de données et trié les données volées selon leur valeur de renseignement. Il a créé des portes dérobées et documenté chaque étape dans des fichiers markdown structurés, ce qui permettait aux opérateurs de transmettre les accès à d'autres équipes. Les humains sont intervenus à quelques moments : pour approuver le passage à l'exploitation active, autoriser l'usage des identifiants volés et décider du périmètre final de l'exfiltration des données.

Quelle part du travail l'IA a effectuée

Selon Anthropic, l'IA a réalisé 80 à 90 % de la campagne, l'intervention humaine n'étant nécessaire qu'à peut-être 4 à 6 moments de décision par campagne. L'entreprise estime que les opérateurs humains ont assuré 10 à 20 % de la charge de travail.

Comme Claude pouvait envoyer des milliers de requêtes par seconde, les attaquants ont avancé en une fraction du temps qu'il aurait fallu à des opérateurs humains, a rapporté SecurityWeek. Le modèle n'était pas fiable. Il a halluciné des identifiants qui ne fonctionnaient pas et exagéré ses découvertes, ce qui a obligé les attaquants à vérifier chaque résultat.

« Avec la bonne configuration, des acteurs malveillants peuvent désormais utiliser des systèmes d'IA agentique pendant de longues périodes pour faire le travail d'équipes entières de hackers expérimentés : analyser des systèmes cibles, produire du code d'exploitation et passer au crible d'immenses volumes de données volées plus efficacement que n'importe quel opérateur humain. » Anthropic, dans son rapport sur la campagne

Comment Anthropic a détecté et stoppé l'attaque

Dans les 10 jours suivant la détection de l'activité, Anthropic en a établi l'ampleur et la nature, puis l'a interrompue. L'entreprise a banni les comptes identifiés, prévenu les organisations visées et les autorités compétentes, et partagé ses renseignements avec ses partenaires.

Elle indique aussi avoir renforcé ses capacités de détection et mettre au point des prototypes de systèmes de détection précoce des cyberattaques autonomes. Elle reconnaît que le modèle a permis aux attaquants de passer sous les radars assez longtemps pour lancer la campagne.

Pourquoi des chercheurs en sécurité ont douté du rapport

Ces affirmations ont suscité du scepticisme. Anthropic n'a publié aucun indicateur de compromission, et BleepingComputer affirme que ses demandes de détails techniques sont restées sans réponse. Le chercheur Kevin Beaumont estime que l'impact opérationnel devrait sans doute être nul, car les détections existantes couvrent déjà les outils open source.

Ce que cela change pour les équipes de sécurité des entreprises

Pour une entreprise, la leçon porte sur la vitesse et les outils. L'attaque reposait surtout sur des outils open source plutôt que sur un logiciel malveillant sur mesure, et un seul agent IA a fait un travail qui demanderait normalement une équipe. Un défenseur ne peut plus compter sur une intrusion lente, au rythme d'un humain.

La deuxième leçon concerne les entreprises qui déploient elles-mêmes des agents IA. Les garde-fous ont été contournés par le jeu de rôle et le découpage des tâches : les contrôles sur ce qu'un agent peut toucher comptent donc autant que ce qu'on lui dit.

Questions et réponses

Quelle part de l'attaque Claude a-t-il effectuée ?

Selon Anthropic, l'IA a réalisé 80 à 90 % de la campagne, des humains n'étant nécessaires qu'à peut-être 4 à 6 moments de décision par campagne.

Combien d'organisations ont été visées ?

Une trentaine d'entités ont été visées, dont des entreprises technologiques, des institutions financières, des fabricants de produits chimiques et des agences gouvernementales. Anthropic indique qu'un petit nombre ont été compromises.

Qu'a fait Anthropic après avoir détecté la campagne ?

L'entreprise a cartographié l'activité en 10 jours, banni les comptes, prévenu les organisations touchées et les autorités, et renforcé sa détection.