Des cybercriminels utilisent désormais l’intelligence artificielle pour coordonner des intrusions contre des établissements éducatifs en Afrique et en Amérique latine. Kaspersky a observé entre septembre et octobre 2026 l’emploi de CyberStrikeAI, un framework open source qui automatise plusieurs étapes d’une attaque.
Comment fonctionne CyberStrikeAI ?
Le framework associe une infrastructure de commande et de contrôle à un grand modèle de langage. L’opérateur fixe un objectif ; l’IA sélectionne des outils, génère des commandes, analyse les résultats et propose l’étape suivante. Le modèle fonctionne sur le serveur des attaquants, tandis qu’un implant exécute les commandes dans le réseau victime.
Des attaques beaucoup plus rapides
Dans un cas reconstitué, les pirates sont d’abord entrés par un serveur SQL compromis. Après deux semaines d’inactivité, ils ont déployé CyberStrikeAI. Ils ont obtenu des comptes administrateurs de domaine en trois à quatre jours, puis réalisé déplacement latéral, vol d’identifiants et export de données en moins d’une heure.
L’IA coordonne des techniques déjà connues
La nouveauté réside surtout dans l’orchestration. Les techniques restent familières : reconnaissance, credential dumping, tâches planifiées malveillantes, exploration du domaine et exfiltration. Des outils EDR bien configurés peuvent donc toujours détecter ces comportements.
Pourquoi les établissements éducatifs sont exposés
Les universités et écoles gèrent de nombreux comptes, appareils, bases de données et accès ouverts, souvent avec des équipes de sécurité limitées. Un compte administrateur compromis peut exposer les informations des étudiants, la recherche et les systèmes financiers.
Les protections prioritaires
- Déployer une détection et réponse sur les endpoints.
- Surveiller les communications réseau et les requêtes inhabituelles.
- Protéger les comptes privilégiés avec la MFA.
- Intégrer le renseignement sur les menaces aux investigations.
- Maintenir une surveillance 24 h/24, en interne ou via un service MDR.
Des commentaires en chinois ont été trouvés dans certains scripts, mais Kaspersky précise qu’ils ne suffisent pas à attribuer les attaques à un pays ou à un groupe connu.
