Relu par Fitia, Rédactrice en chef
Une cyberattaque contre Flowise révèle les risques liés aux plateformes qui pilotent les agents IA en entreprise. Les chercheurs de Sekoia ont suivi un pirate qui cherchait à voler des identifiants, modifier des workflows et détourner une intelligence artificielle.
Les agents IA accèdent parfois aux bases de données, aux applications métiers et aux outils internes des entreprises. Une connexion pratique, mais qui peut aussi ouvrir des portes aux pirates. Pour comprendre leurs méthodes, Sekoia a installé un serveur leurre qui reproduit la plateforme open source Flowise. L’expérience a permis de suivre une véritable tentative d’intrusion, depuis les premiers repérages jusqu’aux manipulations de l’agent conversationnel.
Flowise, une cible intéressante pour les cybercriminels
Flowise permet de créer et de piloter des applications d’IA générative grâce à une interface visuelle. Les utilisateurs peuvent connecter différents modèles de langage, bases de données et outils externes.
Cette centralisation intéresse les attaquants. Une instance mal protégée peut exposer des clés API, des identifiants et des accès à des ressources internes. Fin août 2026, les chercheurs de Sekoia ont ainsi observé une attaque contre leur serveur leurre. Celui-ci reproduisait une instance Flowise 2.2.8, avec des interfaces accessibles sans authentification.
Le pirate a commencé par identifier le service et sa version. Il a ensuite exploré les workflows et récupéré des identifiants fictifs, notamment des clés API et des accès à une base PostgreSQL. Cette première phase a duré environ trois minutes. Après une interruption de deux heures, l’attaquant est revenu explorer davantage de fonctionnalités.
Des workflows modifiés pour détourner l’agent IA
L’intrus a ensuite tenté de modifier les workflows existants. Il a notamment cherché à renommer un flux « Customer Support v2 ». Autre manipulation : la création d’un workflow baptisé « System Status ». Celui-ci contenait une requête HTTP vers un serveur contrôlé par l’attaquant.
L’objectif probable était d’établir une communication sortante depuis l’infrastructure ciblée. Le pirate s’est également intéressé à l’agent conversationnel. Ses instructions visaient à obtenir son prompt système, contourner ses restrictions et accéder aux conversations précédentes.
Il a aussi tenté d’exploiter les connexions de l’agent pour récupérer des données financières. Les chercheurs ont notamment relevé des requêtes présentées comme des audits de sécurité autorisés.
L’intelligence artificielle utilisée pour préparer d’autres attaques
L’enquête révèle un autre usage de l’IA. Le pirate a soumis à l’agent des informations techniques provenant d’une infrastructure extérieure. Ces données concernaient notamment Redis et Nightingale, un outil de supervision informatique. L’attaquant cherchait à identifier des vulnérabilités et des possibilités de déplacement vers d’autres systèmes.
Selon Sekoia, plusieurs indices orientent vers un acteur sinophone intéressé par les plateformes de jeux d’argent en ligne, particulièrement à Hong Kong et Taïwan. Son identité reste inconnue. L’expérience montre surtout que les risques ne concernent pas uniquement les modèles IA. Les identifiants, les autorisations accordées aux agents et les connexions réseau constituent également des points sensibles.
Sekoia recommande notamment de renforcer l’authentification, de limiter les permissions et de surveiller les communications sortantes des plateformes d’orchestration. L’attaque a été observée sur un serveur leurre : les tentatives de détournement ne constituent pas la preuve d’une compromission réelle de données d’entreprise.
Article basé sur un communiqué de presse reçu par la rédaction.
