Sophos : un lab IA teste l'évasion EDR avec Claude Opus 4.5

Les faits

Le 2 juin 2026, Sophos publiait un rapport intitulé « Pointing a Cursor at evading detection », révélant la découverte d'un laboratoire de développement malveillant entièrement orchestré par intelligence artificielle. Les chercheurs de Sophos X-Ops ont mis la main sur un dépôt Git contenant les composants d'un système automatisé chargé de développer, tester et optimiser des outils capables de contourner les solutions EDR du marché. Au cœur de cette chaîne d'attaque expérimentale, un agent Claude Opus 4.5 piloté via l'éditeur Cursor générait puis affinait des charges utiles jusqu'à échapper à la détection comportementale. Cette découverte matérialise une bascule redoutée par les défenseurs : l'évasion EDR intelligence artificielle ransomware n'est plus une hypothèse de laboratoire académique, mais une capacité opérationnelle industrialisable, accessible à des acteurs criminels dont le niveau technique initial reste modeste.

Au cœur du dispositif : Claude Opus 4.5, le modèle d'Anthropic, utilisé comme agent coordinateur principal. Selon le rapport Sophos, cet agent « fixait les règles et orchestrait les autres agents » spécialisés dans des tâches précises — test EDR, durcissement OPSEC, documentation technique, stress-test des proxies, déploiement de machines virtuelles. L'IDE Cursor, conçu nativement pour l'assistance IA au développement, servait à l'écriture et la révision du code malveillant. Des agents supplémentaires surveillaient les publications de recherche en sécurité pour intégrer proactivement les techniques de bypass documentées publiquement.

Le laboratoire s'appuyait sur Ludus, une plateforme open source conçue pour les exercices de red team légitimes, permettant de déployer et gérer rapidement des environnements de test virtualisés. L'attaquant avait configuré quatre machines virtuelles : une VM Windows Server 2022 dédiée au test d'évasion du module Sophos, une seconde pour CrowdStrike Falcon, une VM contrôle sans aucun agent EDR installé, et un serveur Ubuntu faisant tourner le framework post-exploitation Sliver comme serveur C2.

Le processus de développement suivait un cycle itératif : l'IA générait un outil d'évasion, la soumettait aux VMs de test, analysait les résultats de détection, identifiait précisément les signatures comportementales ou statiques déclenchées, puis générait une version améliorée. Ce cycle « build-test-refine » reproduit exactement les méthodes des équipes red team professionnelles, compressé dans le temps grâce à l'automatisation IA. Ce qui prenait des jours à un opérateur humain peut désormais être accompli en quelques heures.

L'arsenal technique inclus dans le dépôt Git est sophistiqué. Des profils Cobalt Strike personnalisés font passer le trafic beacon pour du trafic HTTPS légitime vers des domaines de confiance — technique de Living-off-the-Land appliquée au trafic réseau. Un canal C2 basé sur l'API Telegram Bot route les communications via l'infrastructure Telegram, exploitant la confiance accordée aux domaines Telegram dans de nombreuses organisations. Des outils d'injection de shellcode et un Cloudflare Worker servant de couche d'obfuscation pour masquer l'infrastructure backend complètent le dispositif.

Le panneau de découverte Active Directory automatisé constitue l'un des éléments les plus préoccupants. La reconnaissance AD — identification des contrôleurs de domaine, des comptes privilégiés Kerberoastables, des Group Policy Objects, des chemins de latéralisation — est traditionnellement chronophage et bruyante pour les attaquants. Automatiser cette phase avec précision et discrétion accélère considérablement la progression vers les actifs critiques et l'exfiltration avant le chiffrement ransomware.

Sophos précise un point important : le workflow reste humain-dépendant. Aucune IA n'est embarquée dans les charges utiles déployées chez les victimes, et chaque cycle de test nécessite une validation humaine. L'IA agit comme un accélérateur du cycle de développement, non comme un acteur autonome. Cette nuance est importante pour calibrer la menace : nous ne sommes pas face à une IA qui attaque de manière indépendante, mais face à une IA qui multiplie la productivité d'un attaquant humain expérimenté par un facteur significatif.

L'identité du groupe responsable n'a pas été divulguée, l'enquête étant toujours active au moment de la publication. Le niveau de sophistication technique, la qualité des profils Cobalt Strike et l'attention portée à l'OPSEC suggèrent un acteur expérimenté. La découverte de Sophos n'est pas isolée : en mai 2026, le Google Threat Intelligence Group (GTIG) avait documenté des usages similaires d'IA dans le développement d'exploits. La tendance est structurelle.

Impact et exposition

Cette découverte n'implique pas de CVE spécifique ni de patch à déployer. Son impact est systémique : elle valide empiriquement que des acteurs malveillants utilisent l'IA pour accélérer le développement d'outils capables de contourner les EDR commerciaux les plus répandus. Les organisations qui comptent uniquement sur leurs solutions EDR comme dernier rempart défensif doivent reconsidérer leur modèle. Le fait que le laboratoire ait testé ses outils contre les trois acteurs dominants du marché EDR — Sophos, CrowdStrike, Microsoft Defender — signifie que les techniques développées ciblent directement les solutions que la majorité des entreprises françaises ont déployées.

Recommandations

• Ne pas considérer l'EDR comme une défense ultime — intégrer des contrôles complémentaires (NDR, SIEM avec règles comportementales, honeypots, UEBA)
• Activer la détection des outils de post-exploitation légitimes détournés — Cobalt Strike, Sliver, Brute Ratel C4 — dans vos règles SIEM et EDR
• Surveiller les connexions sortantes vers api.telegram.org depuis les postes et serveurs — signal fort d'un C2 Telegram
• Renforcer la détection des activités de reconnaissance Active Directory anormales : requêtes LDAP massives, énumération des SPN (Kerberoasting), accès inhabituels aux GPO
• Auditer les accès à des plateformes de virtualisation comme Proxmox ou Ludus depuis le réseau corporate — usage non-autorisé peut signaler une compromission