Opération Snowball : un agent d'IA passe deux semaines chez un opérateur télécom européen

Comment c'est arrivé

Selon Malbear Labs, un cadre d'agents sur mesure tournant sur DeepSeek Flash, avec un agent principal qui délègue à des agents exécutants et un prompt système d'environ 78 000 caractères adapté d'un modèle public de contournement, a scanné ses cibles avec un catalogue d'exploits connus. Les chercheurs indiquent que les CVE-2013-2165 et CVE-2020-7961 (Liferay) ont été exploitées avec succès, tandis qu'une tentative PwnKit (CVE-2021-4034) a été bloquée par Trend Micro. L'accès était maintenu avec l'outil de commande et contrôle Sliver. Selon le rapport, le point d'entrée dans le réseau de l'opérateur était la CVE-2026-20320, une faille XXE (entité externe XML) sans authentification dans l'analyseur XML OCI de son serveur Cisco BroadWorks XSP (version 23.0.1.1075, port 2208), qui permettait à l'agent de lire des fichiers sur le serveur. Cisco avait publié un correctif pour cette faille le 19 août 2026.[1][3][2] Vérifié le 11 nov. 2026

Ce qui a été volé

Des dizaines de jeux d'identifiants et des milliers de lignes de données de facturation et d'équipements d'abonnés issues de la plateforme de facturation de l'opérateur, d'après la lecture des transcriptions de l'agent par les chercheurs. D'autres affirmations reprises dans la presse n'ont pas été vérifiées de façon indépendante.[1][2] Vérifié le 10 nov. 2026

Qui est touché

Un opérateur télécom européen non nommé et treize organisations hébergées dans ses centres de données et son cloud, que l'agent avait lui-même listées comme cibles. Malbear Labs ne publie pas l'adresse du répertoire pour protéger les victimes. Aucune victime ne s'est exprimée.[1][2] Vérifié le 10 nov. 2026

Acteur

Non attribué. Inconnu. Malbear Labs estime que la campagne était dirigée par un opérateur sinophone, d'après la langue des instructions et des miroirs Alibaba Cloud dans l'historique des commandes ; GBHackers rappelle que cela n'établit ni une nationalité ni un soutien étatique.

CVE

CVE-2026-20320, CVE-2013-2165, CVE-2020-7961, CVE-2021-4034

Chronologie

1. 8 nov. 2026Malbear Labs publie son rapport, « Operation Snowball » : un répertoire ouvert contenait environ 70 transcriptions de sessions, des résultats de reconnaissance, des caches d'identifiants et des extractions de bases de données d'un outil d'intrusion piloté par IA, actif pendant plus de deux semaines. Il ne publie pas l'adresse du répertoire, pour protéger les organisations touchées. [1][2]
2. 9 nov. 2026GBHackers relaie la campagne et souligne que les résultats viennent de la lecture des transcriptions par les chercheurs et n'ont pas été vérifiés de façon indépendante. [2]
3. 10 nov. 2026La CISA ajoute la faille BroadWorks CVE-2026-20320 à son catalogue des vulnérabilités exploitées, avec une échéance de correction au 24 novembre 2026 pour les agences fédérales américaines, selon The Hacker News, qui relie cette exploitation à la campagne. L'avis de Cisco, inchangé depuis août, indiquait toujours que son équipe sécurité n'avait connaissance d'aucune utilisation malveillante. [4][3]