Un acteur de la menace a lancé 44 agents IA contre des organisations japonaises ce mois-ci. Pas 44 personnes. Un opérateur, une plateforme, quarante-quatre travailleurs délégués qui ont fait la reconnaissance, validé les vulnérabilités, les ont exploitées, tenu le commandement et contrôle, exfiltré des données, puis rédigé le rapport à la fin.
C'est cette dernière partie qui doit vous arrêter. Le rapport n'était pas un résumé tapé par un humain à deux heures du matin. Les chercheurs de TrendAI ont trouvé des rapports uniformes, sur gabarit, avec un index de preuves derrière chacun, sur au moins 19 organisations identifiables, dont au moins 16 au Japon. C'étaient les sorties d'un processus structuré exécuté par la plateforme, et non des notes improvisées par un opérateur, a écrit la division sécurité entreprise de Trend Micro dans une note de recherche approfondie publiée le 27 octobre 2026.
L'outil au centre est CyberStrikeAI, un framework de pentest open source discrètement détourné pour de vraies intrusions, dont une campagne antérieure contre des appliances Fortinet FortiGate. Il a aussi généré des formulaires en japonais et de fausses pages de connexion dans la même exécution. Pas du contenu machine mal traduit. Des assets de phishing corrects localement, produits dans le même flux de travail.
Relisez cela et regardez ensuite votre plan de recrutement en ingénierie de détection pour ce trimestre.
Trois attaques, trois niveaux d'autonomie
TrendAI a analysé trois environnements serveurs exposés utilisés par des opérateurs ciblant le Japon, et l'éventail est la partie utile de l'histoire.
Le premier est la plateforme d'agents complète : automatisation de bout en bout du cycle d'attaque, au tempo machine, avec un pipeline reproductible et une couche de reporting. L'opérateur derrière figure aussi dans des listes de cibles pour Taïwan et Hong Kong.
Le deuxième était piloté par des humains avec un LLM comme accélérateur de planification et de développement d'outils. Il a duré 24 jours entre août et septembre 2026 et a commencé par un serveur SIG laissé avec des identifiants par défaut, emportant registres cadastraux, registres commerciaux, identifiants Windows et courriels. Le même opérateur cherchait des plateformes de workflows IA et des services d'inférence, apparemment pour voler de la capacité d'inférence bon marché.
Le troisième est le plus conservateur : l'IA uniquement pour écrire les scripts de l'opérateur. Cet acteur a tout de même mené au moins six campagnes entre janvier et octobre 2026 contre des équipements VPN exposés et des serveurs WebLogic, et ses listes de découverte ont atteint le Royaume-Uni, la France, l'Italie, le Qatar et la Colombie.
Trois niveaux de maturité, une conclusion. Vous n'avez pas besoin d'un modèle de pointe pour être visé par un intrus agentique. Vous avez besoin d'être joignable et lent.
La fenêtre entre divulgation et exploitation s'est effondrée
Le diagnostic de TrendAI est direct et, honnêtement, rafraîchissant : l'IA a augmenté la main-d'œuvre des attaquants, mais le travail consiste toujours à chercher des portes non verrouillées. Le type de portes n'a pas changé. Ce qui a changé, c'est la capacité d'en essayer des milliers d'un coup, de s'adapter à la langue du pays cible et de continuer sans fatigue.
Le Digital Defense Report 2026 de Microsoft chiffre cette compression. Le délai médian entre la découverte d'une vulnérabilité et son armement est aujourd'hui très inférieur à 24 heures. Votre fenêtre de patch se mesurait en semaines et se justifiait par des comités de gel des changements. Elle se mesure désormais face à un pipeline qui ne dort pas et n'attend pas de fenêtre de maintenance.
Ce n'est pas une histoire japonaise
Il y a deux semaines, Microsoft a signalé Storm-0940, un acteur aligné sur l'État chinois, compromettant une application de sauvegarde cloud ConnectWise et utilisant le framework agentique ARTEX pour se connecter à plus de 2 250 tenants Microsoft 365. La majorité des tentatives ont échoué, et c'est justement le point : le volume est devenu bon marché. Les autorités sud-coréennes ont identifié sept suspects liés à des intrusions dans plus de 90 organisations, la plupart avec ARTEX, avec des demandes de rançon de 360 millions de wons dans 38 d'entre elles et plus de 8,2 millions d'enregistrements dérobés.
Il y a aussi CARLIY0S de CyberCartel, un essaim de quatre modèles Claude spécialisés par rôle qui débattent chaque cible, s'en remettent à un arbitre et confient la décision à un orchestrateur avant d'agir contre des banques et des prestataires de paiement d'Amérique latine. Et BUGSTER, un opérateur à motivation financière qui a branché Hermes Agent sur DeepSeek V4 avec Cursor en outil secondaire, contrôles de sécurité désactivés, menant des campagnes de force brute et d'énumération qui ont extrait les données personnelles de milliers d'étudiants d'universités indiennes.
Il existe désormais un marché : des jetons de session volés à des fournisseurs d'IA et des outils offensifs packagés vendus sous des noms comme APEX AI, MessiahGPT et DarkGPT. La barrière à l'entrée est un abonnement, pas une compétence.
Le résumé de Trend Micro est celui à retenir : l'IA n'est plus une capacité expérimentale pour les groupes APT ; c'est un composant opérationnel intégré directement aux campagnes.
Ce qui tient réellement
Rien ici ne réécrit les fondamentaux de la sécurité. Cela réécrit leur vitesse requise et change ce qui compte comme preuve.
Éliminez la classe des identifiants par défaut. Un serveur SIG avec des identifiants par défaut a coûté à une victime 24 jours d'exposition et un jeu de données que personne ne peut dé-fuiter. Inventoriez d'abord les plans de gestion exposés à Internet, puis fermez-les.
Patchez la périphérie sur un cycle de 24 heures. Cisco, Citrix, F5, Yamaha, FortiGate, WebLogic. Ils apparaissent dans toutes ces campagnes parce qu'ils sont joignables et rarement touchés. Si votre cycle de patch périmétrique est trimestriel, vous êtes la porte non verrouillée.
Chassez les signaux au tempo machine. Un opérateur qui sonde 19 organisations en peu de temps laisse une forme : des rafales de scan depuis des plages cloud, une validation rapide des vulnérabilités, des motifs de user-agent et de timing qui ressemblent à du logiciel plutôt qu'à un humain. Construisez des détections de vélocité, pas seulement de payloads connus. Un pipeline qui sonde des milliers produit des milliers d'occasions d'être vu.
Traitez le trafic IA sortant comme une surface d'attaque. Capacité d'inférence volée, frameworks d'agents appelant des API de modèles depuis des segments qui ne devraient jamais le faire, et jetons de session rejoués depuis de nouvelles géographies. Si un serveur qui n'a rien à voir avec un fournisseur de LLM se met à lui parler, vous voulez un ticket, pas un mystère.
Gardez l'humain dans la boucle là où les dégâts atterrissent. La reconnaissance automatisée est une nuisance. L'exfiltration automatisée et les changements de paiement automatisés ne le sont pas. Des barrières déterministes sur le volume de sortie de données et sur tout agent capable de déplacer de l'argent ou des permissions vous achètent encore les minutes qui comptent.
La conclusion aratech
Tous ces incidents partagent une racine ennuyeuse : une infrastructure joignable, non patchée et faiblement identifiée, désormais travaillée par un logiciel qui ne se fatigue jamais. Les défenseurs qui traverseront 2027 intacts ne seront pas ceux qui ont le modèle le plus impressionnant. Ce seront ceux dont la périphérie est patchée, dont les identités expirent, dont les sorties sont profilées et dont les logs sont assez bon marché pour être conservés les 24 heures qui décident de l'issue.
Si vous voulez une réponse franche sur votre exposition face à un attaquant agentique, nous menons cette évaluation en cinq jours, preuves d'abord, et vous remettons la liste par ordre de priorité. Commencez par la conversation, pas par l'achat. Parlez à aratech.