28 minutes et 6 dollars : quand l’intelligence artificielle facilite le piratage des équipements industriels

La cyberattaque qui a frappé les systèmes de réfrigération de centaines de supermarchés français dans la nuit du 11 au 12 octobre 2026 vient de prendre une nouvelle dimension. Une expérimentation réalisée par l’entreprise de cybersécurité Claroty démontre qu’une intelligence artificielle accessible commercialement peut reproduire rapidement des vulnérabilités connues sur des équipements industriels.

Le test a été réalisé avec Claude Sonnet 4.6, développé par Anthropic, sur un contrôleur de réfrigération Danfoss AK-SM 800A. En seulement 28 minutes, pour un coût d’environ six dollars d’utilisation de l’IA, les chercheurs ont obtenu un accès permettant d’exécuter des commandes avec les privilèges les plus élevés sur un équipement de laboratoire.

Cette démonstration intervient alors que plusieurs centaines de supermarchés français ont subi une manipulation à distance de leurs installations frigorifiques. Les systèmes de dégivrage ont notamment été détournés, provoquant des hausses importantes de température, la destruction de denrées alimentaires et des pertes financières considérables.

Une distinction reste néanmoins essentielle. Le test de Claroty n’établit pas que les cybercriminels responsables de ces attaques ont utilisé une IA. Leur identité et leur méthode exacte d’intrusion n’ont pas été déterminées. L’expérience démontre surtout qu’une partie des opérations techniques nécessaires pour compromettre un contrôleur industriel peut désormais être largement automatisée.

Des vulnérabilités industrielles exploitables en quelques minutes

L’expérimentation s’appuie sur des failles de sécurité découvertes et documentées par Claroty en août 2026. Trois vulnérabilités avaient alors été identifiées dans l’interface de gestion des contrôleurs Danfoss AK-SM 800A.

La première concernait un mécanisme d’authentification alternatif permettant, dans certaines conditions, de contourner l’identification habituelle. La deuxième autorisait l’injection de commandes dans le système d’exploitation. La troisième pouvait permettre de modifier la configuration du serveur web embarqué et de provoquer une interruption de service.

Pour reproduire ces vulnérabilités, Claude a été utilisé au sein de l’environnement de programmation Cursor. L’IA disposait du micrologiciel publiquement téléchargeable, des références des vulnérabilités connues et d’outils d’analyse.

L’expérimentation a toutefois nécessité une intervention humaine. Après avoir correctement identifié deux failles, Claude s’est engagé dans une mauvaise piste concernant le contournement de l’authentification. Les chercheurs ont dû réorienter son analyse et lui fournir un outil de rétro-ingénierie adapté. L’IA a finalement pu combiner deux vulnérabilités pour obtenir un accès administrateur complet au système testé.

Cette précision relativise la notion de piratage entièrement autonome. La démonstration ne correspond ni à la découverte spontanée de nouvelles failles ni à une attaque réalisée sans assistance humaine. Elle confirme néanmoins une réduction spectaculaire du temps nécessaire pour reproduire des vulnérabilités déjà documentées.

Une menace qui dépasse les équipements frigorifiques

Le principal enseignement concerne l’exposition des équipements industriels à Internet. Les recherches de Claroty avaient identifié plusieurs milliers d’interfaces de gestion Danfoss accessibles en ligne. Ces connexions facilitent la supervision et la maintenance à distance des installations, mais elles deviennent des points d’entrée potentiels lorsqu’elles ne sont pas suffisamment sécurisées.

Le problème dépasse désormais un seul fabricant. Dans une alerte publiée le 12 octobre et actualisée le 13 octobre, le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques (CERT-FR) confirme des compromissions touchant également les équipements Copeland xweb et Dixell xweb, ainsi que plusieurs séries de contrôleurs Danfoss.

Les recommandations portent notamment sur la suppression des accès directs depuis Internet, le rétablissement des connexions au moyen de VPN, la modification des mots de passe par défaut et la mise à jour des micrologiciels. Pour les équipements déjà compromis, une réinitialisation peut s’avérer insuffisante si les vulnérabilités initiales restent exploitables.

L’enjeu concerne plus largement les technologies opérationnelles, qui assurent la commande et la supervision des procédés physiques dans les usines, les entrepôts ou les infrastructures techniques.

Les travaux publiés par Claroty le 13 octobre soulignent ainsi un changement important dans la cybersécurité industrielle. Des outils d’IA peuvent désormais accélérer considérablement l’analyse de micrologiciels et la reproduction d’attaques connues, avec des ressources financières limitées. Cette évolution réduit potentiellement le délai dont disposent les exploitants pour appliquer les correctifs après la divulgation d’une vulnérabilité. La protection des installations industrielles ne repose donc plus uniquement sur la robustesse des équipements. Elle dépend également de leur configuration, de leur maintenance logicielle et de la maîtrise des accès distants. Des exigences devenues d’autant plus importantes que l’intelligence artificielle rend certaines techniques d’intrusion plus rapides et plus accessibles.