Maison
Claude a été utilisé pour créer des paquets npm malveillants : plus de 670 paquets compromis menacent l'open source
Un incident de cybersécurité récent met en lumière la manière dont les grands modèles linguistiques (LLM) sont détournés pour développer des logiciels malveillants. Le chercheur en sécurité Sibi Moosa a repéré un pirate utilisant le pseudonyme « mousie-5212-super-formatter » qui exploitait l'IA Claude d'Anthropic pour générer du code malveillant et contaminer l'écosystème des paquets npm. En très peu de temps, plus de 670 paquets malveillants ont été téléchargés sur le registre npm, ce qui a suscité des inquiétudes quant à la rapidité et à l'automatisation de ce type d'attaques.

Au cœur de cette attaque se trouve l'utilisation de l'IA pour réduire considérablement l'effort nécessaire à la création de code malveillant. Les paquets npm compromis ciblent les identifiants des développeurs, tels que les jetons npm et GitHub, ainsi que le code source provenant de dépôts GitHub privés. L'attaquant utilise Claude pour créer des scripts cohérents de vol de données et exfiltre les informations volées vers ses propres dépôts. Ce cas souligne comment l'IA générative, tout en augmentant la productivité, sert également de multiplicateur de force pour les attaquants, amplifiant à la fois l'efficacité et l'automatisation.
Les experts soulignent que l'empoisonnement automatisé de paquets et le vol de code via des modèles d'IA marquent une nouvelle étape, plus intelligente, dans les attaques de la chaîne d'approvisionnement. Les défenses traditionnelles basées sur les signatures sont mal équipées pour contrer les charges utiles malveillantes hautement variables et trompeuses que l'IA peut générer. Avec l'adoption croissante des assistants de codage IA, la prévention de leur utilisation abusive pour l'exploitation de vulnérabilités et la création de logiciels malveillants est devenue une priorité critique dans la gouvernance de la sécurité de l'IA.
Article connexe
Apple accepte un règlement de 250 millions de dollars concernant le report du déploiement de l’intelligence artificielle de Siri
Apple a convenu de verser 250 millions de dollars pour résoudre une action collective concernant sa commercialisation des fonctionnalités d’intelligence artificielle avant le lancement de l’iPhone 16, comme l’a rapporté en premier le Financial Times.
Ando lance une application de messagerie d’équipe qui fait le lien entre la collaboration humaine et l’intelligence artificielle
En 2025, alors que Sara Du aidait des entreprises à développer des serveurs MCP, une question récurrente émergeait : comment les équipes pourraient-elles exploiter des agents IA directement dans Slack ? Le chemin était obstrué par des barrières techn
Empirik, soutenue par Sequoia, lève 21 millions de dollars pour prévoir les pannes avant qu'elles ne se produisent
Avant de rejoindre Sequoia Capital en 2020 en tant que directeur numérique et de l'information, Avon Puri a passé plus d'une décennie à diriger les infrastructures chez Rubrik et VMware. Il y a trois
Recommandations de sujets spéciaux liés
commentaires (0)
Un incident de cybersécurité récent met en lumière la manière dont les grands modèles linguistiques (LLM) sont détournés pour développer des logiciels malveillants. Le chercheur en sécurité Sibi Moosa a repéré un pirate utilisant le pseudonyme « mousie-5212-super-formatter » qui exploitait l'IA Claude d'Anthropic pour générer du code malveillant et contaminer l'écosystème des paquets npm. En très peu de temps, plus de 670 paquets malveillants ont été téléchargés sur le registre npm, ce qui a suscité des inquiétudes quant à la rapidité et à l'automatisation de ce type d'attaques.

Au cœur de cette attaque se trouve l'utilisation de l'IA pour réduire considérablement l'effort nécessaire à la création de code malveillant. Les paquets npm compromis ciblent les identifiants des développeurs, tels que les jetons npm et GitHub, ainsi que le code source provenant de dépôts GitHub privés. L'attaquant utilise Claude pour créer des scripts cohérents de vol de données et exfiltre les informations volées vers ses propres dépôts. Ce cas souligne comment l'IA générative, tout en augmentant la productivité, sert également de multiplicateur de force pour les attaquants, amplifiant à la fois l'efficacité et l'automatisation.
Les experts soulignent que l'empoisonnement automatisé de paquets et le vol de code via des modèles d'IA marquent une nouvelle étape, plus intelligente, dans les attaques de la chaîne d'approvisionnement. Les défenses traditionnelles basées sur les signatures sont mal équipées pour contrer les charges utiles malveillantes hautement variables et trompeuses que l'IA peut générer. Avec l'adoption croissante des assistants de codage IA, la prévention de leur utilisation abusive pour l'exploitation de vulnérabilités et la création de logiciels malveillants est devenue une priorité critique dans la gouvernance de la sécurité de l'IA.
Apple accepte un règlement de 250 millions de dollars concernant le report du déploiement de l’intelligence artificielle de Siri
Apple a convenu de verser 250 millions de dollars pour résoudre une action collective concernant sa commercialisation des fonctionnalités d’intelligence artificielle avant le lancement de l’iPhone 16, comme l’a rapporté en premier le Financial Times.
Ando lance une application de messagerie d’équipe qui fait le lien entre la collaboration humaine et l’intelligence artificielle
En 2025, alors que Sara Du aidait des entreprises à développer des serveurs MCP, une question récurrente émergeait : comment les équipes pourraient-elles exploiter des agents IA directement dans Slack ? Le chemin était obstrué par des barrières techn
Empirik, soutenue par Sequoia, lève 21 millions de dollars pour prévoir les pannes avant qu'elles ne se produisent
Avant de rejoindre Sequoia Capital en 2020 en tant que directeur numérique et de l'information, Avon Puri a passé plus d'une décennie à diriger les infrastructures chez Rubrik et VMware. Il y a trois











