Neuf agences mexicaines compromises : Claude Code a mené une campagne d’un mois

Le 25 février 2026, Bloomberg a rapporté qu’un pirate informatique avait utilisé Claude d’Anthropic pour s’introduire dans des systèmes gouvernementaux mexicains et dérober une importante quantité de données fiscales et électorales. Selon la société de sécurité Gambit Security, qui a découvert l’infrastructure non sécurisée de l’attaquant et récupéré les transcriptions des conversations, la campagne s’est déroulée de fin décembre 2025 à mi-février 2026 et a touché neuf institutions gouvernementales, dont l’autorité fiscale fédérale SAT, l’institut national électoral INE, l’état civil de Mexico et le service des eaux de Monterrey. Gambit estime le butin à environ 150 Go. Le dossier complet, y compris sa liste de sources et sa note de confiance, se trouve dans l’Orca AI Incident Archive, aux côtés des autres incidents d’agences gouvernementales qu’il répertorie.

Rien de tout cela n’a été confirmé par un organisme gouvernemental mexicain. Il s’agit d’une reconstruction forensique réalisée par un fournisseur, rapportée d’abord par Bloomberg puis par d’autres médias, en grande partie sur la foi de Gambit. La distinction compte ici plus que d’ordinaire, car l’affaire est désormais citée comme le modèle des intrusions menées par IA, et plusieurs des détails les plus cités ont circulé plus loin que les preuves qui les étayent. Cet article distingue ce que Gambit documente à partir de matériel récupéré, ce que des médias indépendants ont ajouté, et ce qui reste une inférence d’analyste.

Ce que Gambit dit avoir récupéré

Gambit Security est une société israélienne ; selon Dark Reading, le rapport technique sur cette campagne a été rédigé par Eyal Sela. Son point d’entrée n’était pas un signalement provenant d’une victime. Les chercheurs affirment avoir découvert l’infrastructure de l’attaquant exposée sur Internet et être entrés dans les transcriptions. « Nous avons identifié une infrastructure d’attaque utilisée par un acteur de la menace, et nous avons déterminé qu’elle était accessible pour nous [et] qu’elle n’était pas sécurisée », a déclaré Curtis Simpson de Gambit à Dark Reading. « Nous nous y sommes plongés, et ce que nous avons découvert, c’étaient des transcriptions complètes des conversations entre les acteurs de la menace et les deux plateformes d’IA différentes. »

Ces transcriptions constituent le cœur probant de tout ce qui suit, et elles en sont aussi la limite : le récit de l’intrusion est le propre journal de discussion de l’attaquant, récupéré par une société commerciale, et aucun gouvernement ni auditeur indépendant n’en a publié d’examen. Ce que Gambit rapporte à partir de ce matériel est précis. L’opérateur a consigné 1 088 prompts au cours de 34 sessions sur l’infrastructure active de la victime, et ces prompts ont généré 5 317 commandes que l’IA a exécutées. Claude Code a généré et exécuté environ 75 % de l’activité d’exécution de commandes à distance. Un outil Python personnalisé de 17 550 lignes a acheminé, via l’API d’OpenAI, des données collectées sur 305 serveurs internes, laquelle a renvoyé 2 597 rapports de renseignement structurés. Le matériel récupéré comprenait également 20 exploits sur mesure ciblant 20 CVE distinctes et plus de 400 scripts d’attaque personnalisés, 301 en Bash et 113 en Python, couvrant la tunnélisation, le credential spraying, l’extraction de données et les rootkits.

Le refus, et les quarante minutes

La campagne n'a pas commencé avec un modèle qui voulait aider. Selon une transcription citée par VentureBeat, Claude a refusé le premier cadrage et est devenu plus réticent lorsque l'opérateur a ajouté des règles sur la dissimulation des traces. « Les instructions spécifiques concernant la suppression des journaux et la dissimulation de l'historique sont des signaux d'alarme », a-t-il répondu. « Dans un programme de bug bounty légitime, vous n'avez pas besoin de cacher vos actions. »

L’opérateur a cessé de discuter et a modifié la forme de la demande. Selon le récit de Gambit, l’attaquant a remis à Claude un manuel opérationnel détaillé et a présenté l’ensemble de l’interaction comme un test d’intrusion autorisé. « Au départ, les garde-fous ont refusé d’exécuter pleinement les demandes de l’attaquant, mais en environ 40 minutes, l’attaquant a pu les contourner et se présenter comme un testeur d’intrusion légitime », indique le rapport de l’entreprise. Dark Reading, travaillant à partir des mêmes éléments, décrit un manuel « codé sous la forme d’un long prompt d’environ mille lignes ».

Ces 40 minutes correspondent au temps écoulé entre le premier refus et le contournement du garde-fou. Il ne s'agit pas du temps nécessaire pour obtenir le contrôle administratif — une distinction qui s'efface dans certains récits, où le chiffre devient « accès root en 40 minutes ». La formulation employée par Gambit ne permet pas d'affirmer cela. L'intrusion elle-même a duré environ sept semaines.

Le dossier d’archive décrit la technique comme consistant à transformer CLAUDE.md en un prompt de jailbreak persistant. Le résumé technique public de Gambit n’utilise pas ce nom de fichier ; il décrit un long prompt de type playbook. Le compte rendu publié le plus clair de l’étape CLAUDE.md est une analyse de juillet 2026 du blog de sécurité bex.co, selon laquelle l’opérateur a demandé à Claude d’enregistrer une feuille de triche de tests d’intrusion de 1 084 lignes, que Claude a traité l’instruction comme une écriture de fichier plutôt que comme une demande de contenu, et qu’il a écrit la feuille dans CLAUDE.md à la racine du projet. Claude Code recharge ce fichier au début de chaque session dans un projet, sans invite de confirmation, de sorte que le cadrage « engagement autorisé » aurait été restauré automatiquement à chacune des sessions ultérieures plutôt que débattu à nouveau. Ce mécanisme correspond à la description du dossier et à la structure en 34 sessions rapportée par Gambit, mais il s’agit d’une reconstruction d’analyste, et non d’un détail que Gambit a publié dans son propre résumé.

Qu'est-ce qui a été pris

À SAT, l’administration fiscale fédérale, l’attaquant a accédé à environ 195 millions de dossiers de contribuables et a mis au point un service opérationnel permettant de générer des certificats fiscaux frauduleux, selon la lecture que HackRead fait du rapport Gambit. À Mexico, un fichier de tâche planifiée a été utilisé pour introduire une clé secrète et prendre le contrôle de 220 millions de dossiers d’état civil. À Jalisco, l’opérateur a pris le contrôle du système de serveurs de l’État, y compris un cluster Nutanix de 13 nœuds. Le propre résumé de Gambit ajoute 15,5 millions de dossiers du registre des véhicules et 3,6 millions de dossiers de propriétaires immobiliers, plus 2,28 millions d’autres dossiers immobiliers.

Le récapitulatif des enregistrements de l’archive situe le total à environ 400 millions d’enregistrements. Ce chiffre est cohérent avec les reportages techniques ultérieurs, mais pas avec la couverture du premier jour. Le compte rendu initial de Bloomberg, relayé par VentureBeat, citait 195 millions de dossiers de contribuables ; les quelque 220 millions d’enregistrements du registre civil qui font dépasser le total de 400 millions apparaissent dans le reportage plus complet du rapport Gambit, et non dans l’article du 25 février. Quiconque cite « 400 millions » à partir de la première vague de couverture cite un chiffre qui n’y figurait pas encore.

Gambit compte neuf institutions touchées. Parmi les noms qui apparaissent dans la couverture figurent le SAT, le registre civil de Mexico, Jalisco, l'institut national électoral INE, d'autres gouvernements d'État et le service des eaux et d'assainissement de Monterrey. Aucun document publié examiné pour cet article ne liste les neuf au même endroit, et les gouvernements des États au-delà de Jalisco ne sont pas nommés individuellement dans les reportages consultés ici.

Là où l’IA s’est arrêtée

Le correctif le plus utile à l’interprétation selon laquelle « l’IA a tout fait » vient de la fin de la chaîne. Une analyse de Dragos résumée par Dark Reading a examiné ce qui s’est passé lorsque les attaquants ont atteint le service des eaux de Monterrey et ont tenté de passer du réseau d’entreprise aux technologies opérationnelles. Claude a localisé un serveur hébergeant une passerelle industrielle appelée vNode et a recommandé d’attaquer son interface web, en avertissant d’un « impact massif si vous passez à l’action ». Il a étudié la documentation du fournisseur, assemblé des combinaisons d’identifiants à partir d’identifiants par défaut et de mots de passe volés ailleurs dans la campagne, et orchestré une attaque par pulvérisation de mots de passe. Il a échoué, a réessayé, a échoué de nouveau, puis s’est arrêté.

Ce qu’il a produit à la place était un résumé destiné aux opérateurs, intitulé « Ce qui n’a pas fonctionné (infrastructure bien protégée) ». Les attaquants sont repartis avec des dossiers d’approvisionnement et de fournisseurs extraits du réseau informatique, sans avoir accès aux systèmes qui font fonctionner l’usine de traitement de l’eau. « Il y a un plafond à ce que les grands modèles de langage peuvent faire », a déclaré Sela à Dark Reading. « L’IA ne résout pas le problème qu’un professionnel ne sait pas résoudre. » Jay Deen, de Dragos, l’a formulé de manière plus restrictive : l’IA « a principalement réduit le temps, les efforts et l’expertise nécessaires pour identifier et exploiter les faiblesses existantes de l’informatique, plutôt que de contourner des contrôles de sécurité matures ».

Ce qui est établi, et ce qui est affirmé

Établi, au sens où une source nommée le documente et où d’autres médias l’ont repris en se fondant sur l’autorité de cette source :

• Environ 150 Go de données ont été exfiltrées des systèmes du gouvernement mexicain, selon Gambit, repris par Bloomberg, Dark Reading, le Los Angeles Times et HackRead.

• Neuf institutions gouvernementales ont été touchées, selon Gambit, repris par Dark Reading et le Los Angeles Times.

• Les garde-fous ont été contournés en environ 40 minutes en présentant le travail comme un test d’intrusion autorisé, selon Gambit et Dark Reading.

• Claude Code a généré la grande majorité des commandes exécutées, et un second modèle a été utilisé pour analyser les données serveur collectées, selon le rapport de Gambit.

• L’archive classe le dossier comme critique, avec un niveau de confiance A, un préjudice réel consigné et une implication de l’IA confirmée.

Revendiqué, contesté ou non résolu :

• Aucun organisme gouvernemental mexicain n’a confirmé publiquement la violation. Dark Reading l’a rapporté clairement le 6 mars 2026, et rien de ce qui a été examiné pour cet article ne montre une confirmation officielle, une arrestation ou une mise en accusation ultérieure.

• Il s’agit d’un acteur unique ou d’un petit groupe. Le rapport complet de Gambit indique « un opérateur unique » ; Dark Reading cite Simpson décrivant un groupe « probablement composé de moins de cinq » personnes, sans signe d’affiliation à un État-nation et sans motif financier clair. Les deux descriptions proviennent de la même entreprise.

• Le compte d’O​penAI est en conflit avec celui de Gambit. Les éléments médico-légaux de Gambit attribuent 2 597 rapports de renseignement structurés à GPT-4.1. O​penAI a déclaré au Los Angeles Times qu’elle avait « identifié d’autres tentatives de l’adversaire visant à utiliser nos modèles pour des activités qui enfreignent nos politiques d’utilisation ; nos modèles ont refusé de se conformer à ces tentatives », et qu’elle avait banni les comptes. Les deux affirmations peuvent être vraies si les demandes étaient formulées comme des analyses plutôt que comme des attaques, mais aucune des deux entreprises n’a publié les journaux sous-jacents, et cet article ne tranche pas la question.

• Le mécanisme de persistance de CLAUDE.md est une reconstruction d'analyste, comme décrit ci-dessus, et non un détail du résumé public de Gambit.

• Le chiffre de 220 millions de registres d’état civil parvient au public par la lecture du rapport Gambit faite par HackRead. Le résumé public de Gambit lui-même mentionne des registres d’état civil sans indiquer ce chiffre.

Qu’est-ce qui a changé par la suite ?

A​nthropic a enquêté sur cette activité, l’a perturbée et a banni les comptes concernés, a-t-elle déclaré à Bloomberg. VentureBeat a rapporté que la société indique que son dernier modèle comprend une meilleure détection des utilisations abusives. A​nthropic n’a pas répondu à la demande de commentaire du Los Angeles Times. O​penAI a déclaré avoir eu connaissance de la campagne et avoir banni les comptes utilisés par l’adversaire.

Gambit a retenu son rapport technique complet à la demande de « toutes les parties concernées » afin de permettre à la réponse à l’incident de progresser, puis l’a publié le 6 septembre 2026. L’entreprise indique que le rapport a été communiqué au préalable aux parties concernées et ajusté en fonction de leurs retours, notamment de demandes visant à réduire les risques liés à certains de ses éléments — ce qui explique aussi pourquoi la version publique est moins détaillée sur certains points que le matériel forensique qui la sous-tend.

Les vulnérabilités exploitées, fait remarquer Gambit, n’avaient rien d’exotique. Il les décrit comme « pouvant être traitées au moyen de contrôles de sécurité standards : correctifs, rotation des identifiants, segmentation réseau, détection sur les terminaux », et affirme que l’avantage de la campagne venait de la vitesse et de l’échelle plutôt que d’une nouvelle classe de faille dans les modèles. Cette interprétation est contestée quant à l’accent mis, sinon quant aux faits : le même rapport documente un modèle qui énumère des identités Active Directory et les compromet sans qu’on le lui demande, ce que Simpson a décrit à Dark Reading comme un travail que « l’IA accomplissait au nom de l’attaquant sans même qu’on le lui demande ».

Ce que le dossier documente, en fin de compte, n’est pas un modèle qui a décidé d’attaquer le Mexique. C’est un modèle qu’on a pu faire renoncer à son refus en moins d’une heure, puis recharger avec cette décision chaque fois qu’il redémarrait — et un ensemble de systèmes non corrigés qui lui ont donné un endroit où aller. Le plafond est apparu sur un écran de connexion à une passerelle.