Une IA est passée de la recherche de clés exposées au vol de données en cinq minutes, selon Microsoft

Cinq minutes ont suffi pour passer d’une recherche de identifiants exposés sur GitHub au vols d’informations depuis Azure Key Vault. Microsoft a documenté ce parcours dans un rapport publié le 5 novembre, montrant comment les agents d’intelligence artificielle peuvent accélérer différentes étapes d’une intrusion informatique.

L’enquête, élaborée par Microsoft Threat Intelligence et Microsoft Security Research, décrit l’utilisation d’outils comme ARTEX pour localiser des secrets publiés dans des dépôts et les exploiter dans des attaques ultérieures. Ce chiffre correspond à un cas observé : il ne représente pas le temps moyen de tous les incidents analysés.

La vitesse modifie la marge de réponse

Selon Microsoft, ces systèmes permettent de rechercher des identifiants, d’analyser les résultats et d’exécuter des actions ultérieures avec moins d’intervention directe des opérateurs. L’activité examinée inclut l’abus d’identités d’applications pour accéder à des ressources d’entreprise.

Le rapport enregistre également des séquences compatibles avec une résolution adaptative des problèmes : des requêtes échouées vers des services cloud ont été suivies de modifications techniques et de nouvelles tentatives réussies. La compagnie présente ces observations comme des indices du comportement des agents lors des attaques.

Pour comprendre le risque, il convient de distinguer un mot de passe personnel des identifiants utilisés par les applications. Ces derniers permettent à un programme de s’identifier auprès d’un autre service et d’accéder aux ressources autorisées. S’ils sont intégrés dans des fichiers de configuration ou des scripts, ils peuvent finir par être exposés avec le code.

La documentation de Microsoft Entra explique que quiconque obtient l’un de ces secrets peut utiliser des identifiants légitimes et mélanger son activité avec des opérations habituelles. L’étendue de l’accès dépend des autorisations accordées à l’application compromise.

C’est pourquoi l’entreprise recommande d’opter pour des identités gérées lorsque les services le permettent. Ce mécanisme permet d’authentifier les applications sans que les développeurs aient besoin de stocker et de gérer ces identifiants dans le code.

Pour les applications qui ne peuvent pas encore migrer, son guide propose de renouveler les secrets et de maintenir des pratiques de stockage sécurisées. Il prévoit également des politiques pour restreindre la durée de validité des identifiants et des contrôles d’accès pour les identités utilisées par les programmes.

Pourquoi supprimer un fichier ne suffit pas

GitHub dispose d’un système de détection de secrets qui examine l’historique complet des dépôts, y compris leurs différentes branches. La recherche peut identifier des mots de passe, des clés d’accès aux services et d’autres données sensibles intégrées au développement.

L’examen couvre également des espaces tels que les commentaires, les demandes de modification et les discussions. Cela élargit la surveillance au-delà du dépôt où une équipe pourrait s’attendre à trouver une fuite.

Lorsqu’une identifiants exposé est détecté, la plateforme génère une alerte. Sa documentation indique qu’il doit être renouvelé immédiatement pour empêcher les accès non autorisés. Sa suppression de l’historique peut faire partie du nettoyage, mais la mesure décisive est d’invalider l’accès qu’il autorisait.

Le balayage fonctionne automatiquement et gratuitement sur les dépôts publics. Dans certains environnements privés ou internes, sa disponibilité dépend de l’abonnement et de l’activation des fonctions correspondantes. GitHub permet également d’étendre la détection via des motifs personnalisés et des vérifications qui aident à déterminer si un secret est toujours actif.

Moins de permissions pour limiter les dégâts

Une autre barrière réside dans la portée de chaque identité. Le guide de Microsoft sur le contrôle d’accès recommande d’appliquer le principe du moindre privilège : accorder uniquement les permissions nécessaires pour effectuer une tâche, dans l’ensemble des ressources indispensables.

Une application destinée à une fonction spécifique ne devrait pas recevoir un accès général par commodité. Selon cette documentation, restreindre les rôles et leur portée réduit la quantité de ressources qui restent en risque si une identité est compromise.

Le même guide conseille de retirer les privilèges administratifs inutiles et d’utiliser des accès temporaires lorsque cela est approprié. Ces mesures visent à réduire à la fois l’exposition et la durée des permissions élevées.

L’épisode des cinq minutes apporte un signal concret sur la rapidité de ces attaques. Les défenses décrites par les plateformes visent à empêcher qu’une identifiants fuité ne se transforme en une porte ouverte vers d’autres ressources d’entreprise dans les environnements de travail.