Selon Unit 42, des attaquants sinophones ont mené 25 intrusions avec le framework d'agents IA Cairn
D'août à septembre 2026, les attaquants ont associé le framework open source de test d'intrusion Cairn aux modèles Zhipu GLM et DeepSeek contre au moins 19 organisations, obtenant un accès ou des données chez 10, selon Unit 42 de Palo Alto Networks.
Pourquoi c’est important
Le rapport décrit des opérateurs qui ne donnaient aux agents qu'une cible et un objectif ; Cairn planifiait, exécutait et consignait ensuite chaque étape, avec des opérations de 20 minutes à plus de 50 heures. Les cibles comprenaient des fabricants de semi-conducteurs avancés, des groupes de politique de défense américains et la société civile. Unit 42 suit le groupe sous le nom CL-STA-1238 et le relie avec une confiance modérée à une collecte de renseignement liée à la Chine, sur la base d'indices linguistiques, du choix des modèles et des cibles, sans preuve d'un parrain étatique. À suivre : les réactions des mainteneurs de Cairn et des fournisseurs de modèles.
Faits clés
- 25 opérations autonomes contre au moins 19 organisations
- Activité d'août à septembre 2026
- 10 organisations ont subi un accès non autorisé ou une récupération de données
- Plus d'un million de données personnelles exposées dans une organisation
- Modèles utilisés : Zhipu GLM 5.2 et DeepSeek V4 Flash/Pro
- Suivi sous CL-STA-1238, lien avec la Chine en confiance modérée