Des agents d'IA ont volé des clés cloud en cinq minutes, selon Microsoft.

En seulement cinq minutes, un agent d'IA est passé de l'analyse de GitHub public à la recherche de secrets divulgués à la copie de données depuis Azure Key Vault, selon Microsoft Threat Intelligence. L'entreprise a observé des acteurs malveillants utiliser ARTEX, un framework offensif d'IA, pour dénicher des identifiants, des connexions d'applications et des clés d'API d'IA présents sur le site de partage de code public, puis les exploiter contre Azure et Microsoft Entra.

Microsoft exposer les conclusions Dans un rapport du 5 novembre, il est indiqué que Key Vault est le service où les applications cloud stockent les mots de passe et les clés. Auparavant, la recherche de mots de passe résiduels dans le code public nécessitait qu'une personne trouve, lise et teste chaque clé. ARTEX permet aux attaquants d'effectuer des analyses plus rapides et de laisser l'agent exécuter les étapes suivantes sans intervention humaine.

D'une analyse GitHub à un coffre-fort de clés

Microsoft a déclaré que les acteurs avaient commencé à envoyer un grand nombre de requêtes GitHub pour obtenir des secrets dès août 2026, en mentionnant souvent une organisation cible ainsi que des mots-clés relatifs aux secrets, aux services cloud ou à un autre fournisseur d'IA.

Connexions supplémentaires à partir du 28 octobre

À partir du 28 octobre 2026 environ, Microsoft a constaté des connexions réussies à des principaux de service (l'identité de connexion utilisée par une application dans le cloud) depuis l'adresse IP 199.19.77.84 et des adresses similaires, grâce à des identifiants d'application divulgués mais toujours valides, sur plusieurs locataires. Dans certains cas, un identifiant d'application multilocataire appartenant à un fournisseur a été compromis à la source et utilisé pour atteindre des clients en aval. Les attaquants ont utilisé ces connexions pour cartographier les ressources cloud, voler davantage d'identifiants et de données dans les coffres de clés et les comptes de stockage, et exploiter les services d'IA d'Azure.

Supprimer le secret ne suffit pas

Microsoft recommande aux organisations d'analyser leur code GitHub à la recherche de secrets et de considérer tout secret trouvé comme compromis. Supprimer un secret d'un dépôt ne résout pas le problème, car l'identifiant reste utilisable jusqu'à sa révocation ou son renouvellement. L'entreprise recommande de remplacer les secrets clients stockés dans le code par des identités gérées.

GitHub analyse automatiquement les dépôts publics à la recherche de secrets, et les organisations peuvent activer la surveillance publique pour détecter les fuites de données autres que celles qu'elles contrôlent. Microsoft recommande également aux équipes de sécurité d'utiliser GitHub Advanced Security pour Azure DevOps et Microsoft Defender pour le cloud.

Cette campagne diffère du cas récent dans lequel D'après Google, les clés API d'IA volées ont engendré des factures s'élevant à 1 million de dollars.. Ici, les secrets divulgués ont servi de porte d'entrée vers Azure même.

Pourquoi c'est important

Les outils d'analyse automatisée permettent désormais de réduire à quelques minutes la recherche, autrefois manuelle, d'identifiants cloud divulgués. De plus, une clé secrète laissée dans un référentiel public reste active jusqu'à son renouvellement. Les équipes qui stockent encore des secrets d'application à longue durée de vie dans leur code sont exposées à cette rapidité, même après la suppression du fichier incriminé.