Les agents de codage IA passent leur temps à faire ce qu’on interdit formellement à un humain sur une machine d’entreprise. Sophos a passé au crible le comportement de plusieurs assistants de développement autonomes et le verdict est cocasse : Claude Code, Cursor et Codex déclenchent des règles de sécurité conçues à l’origine pour épingler les attaquants.
Points clés
- Claude Code, Cursor et Codex déclenchent des règles de détection Windows selon Sophos.
- Les comportements flagués : accès aux identifiants, téléchargements via LOLBin et mécanismes de persistance.
- Le risque principal est un flot de faux positifs qui pourrait désensibiliser les équipes de sécurité.
Un comportement qui coche toutes les cases suspectes
Selon l’éditeur, ces agents ont activé des règles de détection sur les postes Windows dans trois catégories peu rassurantes : accès à des identifiants (credential access), téléchargement via des LOLBin (ces binaires légitimes de Windows détournés par les attaquants pour passer sous les radars) et mécanismes de persistance. Autrement dit, exactement le genre de gestes qu’un logiciel de sécurité est payé pour flaguer.
Le problème n’est pas que ces outils soient malveillants. C’est qu’un agent autonome, lâché sur une machine avec pour mission de coder, de configurer et d’automatiser, adopte naturellement des raccourcis techniques indiscernables de ceux d’un intrus. Récupérer des secrets stockés, télécharger un composant avec un utilitaire système, s’inscrire pour redémarrer au boot : pour l’IA, c’est de la productivité. Pour l’EDR, c’est une alerte rouge.
Le casse-tête des faux positifs à grande échelle
La conséquence directe est un déluge potentiel de faux positifs. Les équipes de sécurité qui déploient ces assistants sur des postes de développeurs risquent de voir leurs consoles se remplir d’alertes légitimes… provoquées par des logiciels qu’elles ont elles-mêmes installés. Et à force de crier au loup, le risque est bien connu : on finit par baisser la garde, ou par assouplir les règles au point de laisser passer un vrai attaquant qui saurait se fondre dans le bruit.
La frontière entre l’automatisation légitime et l’activité offensive n’a jamais été aussi floue. Un agent IA dispose des mêmes privilèges qu’un développeur humain, agit plus vite que lui et ne s’embarrasse pas des conventions défensives que l’on inculque aux équipes depuis des années.
Une surface d’attaque qui s’invite par la grande porte
Au-delà des faux positifs, l’affaire pose une question de fond sur la confiance accordée à ces outils. Un agent capable d’accéder à des identifiants et d’installer des mécanismes de persistance devient une cible de choix : compromettre l’assistant ou détourner ses instructions revient à disposer d’un opérateur légitime déjà installé au cœur du système, avec toutes les autorisations qui vont avec.
La leçon est limpide. Déployer un agent de codage autonome sur un poste sensible sans repenser les règles de détection revient à ouvrir grand la porte tout en gardant l’alarme branchée : elle sonnera, mais plus personne n’écoutera.
