Un pirate informatique chinois a utilisé trois agents d’intelligence artificielle en autonomie quasi complète pour dérober plus de 600 000 numéros de cartes bancaires sur 119 sites marchands, pour un coût total estimé entre 12 000 et 18 000 dollars. Une opération que les chercheurs en cybersécurité présentent comme la première cyberattaque véritablement industrielle pilotée par IA.
L’attaque reposait sur trois outils d’intelligence artificielle open source travaillant de concert : Strix pour la détection automatisée de vulnérabilités, Cairn pour leur exploitation technique, et Hermes pour l’orchestration générale de la campagne, réduisant au minimum l’intervention humaine directe du pirate.
Cent cinq attaques lancées en cinq jours
Selon la société de cybersécurité Gambit Security, à l’origine de la découverte, 105 projets d’attaque distincts ont été lancés en seulement cinq jours, entre le 10 et le 15 septembre 2026, avec 27 organisations dont la compromission a été formellement confirmée par les chercheurs.
Vingt-cinq dollars par cible réussie
Le coût de l’opération reste dérisoire au regard de son ampleur : environ 25,46 dollars par cible menée à son terme, pour un butin de 600 000 numéros de cartes, dont 488 000 appartenant à des clients américains, collectés via des scripts de captation de données bancaires directement injectés dans les sites marchands visés.
Un raté révélateur : la suppression accidentelle de données
Ironie de cette automatisation poussée à l’extrême, des processus de nettoyage informatique lancés par les IA elles-mêmes ont accidentellement supprimé certaines tables de bases de données des victimes, preuve que même une cyberattaque pilotée par intelligence artificielle n’est pas à l’abri de ses propres bugs.
Vingt-cinq dollars la cible, 600 000 cartes bancaires siphonnées, et des IA qui finissent par effacer leurs propres traces par erreur : la cybercriminalité vient de trouver son stagiaire parfait, à la fois redoutablement efficace et légèrement maladroit.