Bitsight : un outil d'attaque vendu sur un forum criminel tourne avec des clés d'API OpenAI, Anthropic et Google volées, aux frais de leur propriétaire

Le 15 octobre, la société de notation en cybersécurité Bitsight a publié une analyse de milliers de messages échangés entre février et août 2026 sur 16 forums criminels. Elle y décrit MONST3R-AI, un outil d’intrusion automatisée vendu sur un forum à accès restreint : le vendeur n’héberge aucun modèle, l’acheteur colle des clés d’API (l’accès programmatique à un service d’IA, identifié par une clé secrète) OpenAI, Anthropic ou Google volées, fixe un budget et lance l’agent sur une liste de cibles, et « la facture atterrit chez la victime à qui la clé a été volée » ; le vendeur revendique 1 072 failles trouvées sur 199 serveurs, chiffre que Bitsight n’a pas pu vérifier. Sur la période, les discussions sur les agents IA, le protocole MCP (qui relie un assistant IA à des outils et à des données) et l’injection de consignes ont progressé de 67 %, tandis que les mentions de rançongiciels reculaient de 49 %. Nous signalions le 16 octobre le plafond de dépenses imposé par Accenture sur Claude ; la nouveauté est qu’une clé qui fuit peut faire payer à votre entreprise des attaques menées contre des tiers. Ce que cela change pour vous : demandez à votre prestataire ou à votre équipe la liste des clés d’API OpenAI, Anthropic, Google ou Mistral en service et l’endroit où elles sont stockées (jamais dans un fichier partagé ni dans un dépôt de code), fixez un plafond de dépense et une alerte chez chaque fournisseur, et traitez une clé exposée comme un mot de passe administrateur, à révoquer immédiatement.