Des serveurs Alibaba Cloud utilisés pour des attaques via l'IA AntiFox

Des serveurs d'Alibaba Cloud faisant tourner AntiFox, une plateforme autonome de tests d'intrusion basée sur l'IA, ont été impliqués dans des intrusions visant des services web exposés publiquement et des environnements AWS, selon un rapport d'Arctic Wolf Labs relayé par The Hacker News le 11 novembre 2026.

AntiFox est téléchargeable depuis GitHub. Le projet est construit comme un système multi-agents, avec un planificateur, des agents d'exécution et un agent principal, et compte 251 forks et 474 étoiles.

Dans certaines attaques, le point d'entrée initial était des applications web IIS exposées publiquement : les attaquants créaient un webshell ASPX via le processus de travail IIS et exécutaient des commandes système. Ils ont utilisé des fichiers de configuration et des sauvegardes pour lire les paramètres applicatifs et les chaînes de connexion aux bases de données, et ont tenté de joindre une base de données opérationnelle interne. Aucune vulnérabilité permettant d'exécuter du code sur le serveur IIS n'a été identifiée.

Dans d'autres attaques, les intrus sont partis d'identifiants AWS valides, dont l'origine n'a pas été divulguée, et ont sondé des dizaines de services, dont IAM, EC2, S3, Lambda, Secrets Manager et Amazon Bedrock. La plupart des requêtes API se sont soldées par des erreurs d'accès refusé, mais certaines explorations et certains accès à des secrets ont abouti, dont une requête ayant récupéré des valeurs de secrets de production.

Un comportement d'agents déjà observé

Check Point Research indique que, lors de l'exploitation de l'outil de pentest IA ARTEX, les opérateurs se contentent souvent de fixer un objectif et de déléguer les tâches aux agents.