Pour comprendre cette affaire, il faut d’abord saisir comment on « booste » un agent IA.
Contrairement à un simple chatbot, un agent IA a pour rôle d’agir de manière autonome : naviguer sur le web, exécuter du code, gérer des fichiers ou interagir avec des services externes. Et pour décupler ces capacités, on peut le doter de « skills », des modules complémentaires comparables aux extensions d’un navigateur. Une fois installés, ils lui permettent d’accomplir de nouvelles tâches.
Ces skills sont distribués via des registres, à l’image de bibliothèques de code comme npm. Dans l’écosystème OpenClaw, la principale plateforme s’appelle ClawHub. N’importe qui peut y publier des outils, avec une offre très large : gestionnaires de tâches planifiées, configurateurs d’environnement, kits de démarrage pour agents… Autant d’utilitaires que beaucoup installent sans réelle vigilance.
C’est précisément pour pallier ce manque de prudence que les chercheurs de Manifold, une société spécialisée dans la sécurité des systèmes IA, ont décidé de fouiller les différents skills présents sur ClawHub. Parmi les milliers de capacités disponibles, ils ont identifié 30 outils publiés par un même auteur, totalisant près de 10 000 téléchargements, tous liés à une campagne baptisée ClawSwarm.
Ce que fait vraiment ClawSwarm
La campagne ClawSwarm repose sur un procédé relativement simple. Lorsqu’un agent installe l’une des skills piégées, une mécanique invisible s’enclenche : il se connecte automatiquement à un serveur externe et lui transmet son identité, ses capacités ainsi que la liste des outils installés. Des identifiants sont alors générés et stockés localement. Toutes les quatre heures, l’agent recontacte ce serveur pour vérifier s’il a de nouvelles tâches à exécuter.
Vient ensuite la phase d’exploitation. Si plusieurs de ces skills sont présents simultanément, l’agent génère un portefeuille en cryptomonnaie Hedera, puis en transmet la clé privée au serveur distant. L’utilisateur ne valide rien, et n’est même pas informé de l’opération.
Ce qui rend cette campagne particulièrement insidieuse, c’est l’absence totale de malware au sens classique. Pas de code obfusqué ni de charge malveillante dissimulée : les communications réseau reposent sur de simples requêtes HTTPS, et les outils utilisés pour générer les portefeuilles crypto sont ceux fournis officiellement par Hedera. Résultat, les antivirus ne détectent rien, et même une lecture attentive du code source ne révèle pas d’élément manifestement malveillant.
Un botnet sans malware, une arnaque sans infraction
Mais alors, pourquoi faire tout cela ? D’après les recherches de Manifold, l’infrastructure renvoie en réalité vers une communauté crypto gravitant autour d’un token baptisé $FLY, avec un groupe Telegram, un projet open source sur GitHub et une licence Apache.
L’objectif apparent serait donc de « bootstrapper » un réseau d’agents capables d’effectuer des tâches rémunérées en crypto, en utilisant l’installation de skills comme vecteur de recrutement. Autrement dit, les agents recrutés servent de carburant de départ pour faire émerger, puis grossir, l’économie $FLY.
Ax Sharma, le chercheur à l’origine de la découverte, résume l’enjeu de cette manière : « Que ce soit une expérience légitime en économie d’agents ou un outil de recrutement pour la crypto spéculative, le résultat pour l’utilisateur est identique : son agent fait des choses qu’il n’a pas demandées, pour quelqu’un qu’il ne connaît pas, avec des clés qu’il n’a pas autorisées. »
Les mainteneurs de ClawHub se retrouvent aussi dans une position inconfortable. Aucune règle explicite n’a été violée, il n’y a pas de faille évidente à corriger, ni de code malveillant à retirer. La réponse ne peut donc pas venir d’un simple scanner de code : elle supposerait soit d’imposer aux éditeurs de déclarer leurs connexions réseau dans les métadonnées de leurs outils, soit de surveiller en temps réel le comportement des agents une fois les skills installées. Autant de mesures qui, au fond, fragilisent les promesses d’autonomie de ces systèmes.
Vous avez lu 0 articles sur Numerama ce mois-ci
Tout le monde n'a pas les moyens de payer pour l'information.
C'est pourquoi nous maintenons notre journalisme ouvert à tous.
Mais si vous le pouvez,
voici trois bonnes raisons de soutenir notre travail :
- 1 Numerama+ contribue à offrir une expérience gratuite à tous les lecteurs de Numerama.
- 2 Vous profiterez d'une lecture sans publicité, de nombreuses fonctions avancées de lecture et des contenus exclusifs.
- 3 Aider Numerama dans sa mission : comprendre le présent pour anticiper l'avenir.
Si vous croyez en un web gratuit et à une information de qualité accessible au plus grand nombre, rejoignez Numerama+.
Toute l'actu tech en un clin d'œil
Ajoutez Numerama à votre écran d'accueil et restez connectés au futur !
Tous nos articles sont aussi sur notre profil Google : suivez-nous pour ne rien manquer !