LightSpy et DeepSeek : deux opérations liées à la Chine révèlent un nouveau cap dans la sophistication des cybermenaces

Pris ensemble, ces deux cas témoignent d’un changement d’échelle : les outils sont plus polyvalents, leur diffusion est plus large et certaines opérations peuvent désormais fonctionner avec très peu d’intervention humaine.

LightSpy : d’un outil d’espionnage pour iPhone à une plateforme mondiale

Une offre de surveillance structurée

Selon les recherches publiées par Arctic Wolf Networks le 5 août 2026, LightSpy, documenté pour la première fois en 2020 dans des attaques visant des utilisateurs d’iPhone à Hong Kong, a évolué en un outil de surveillance beaucoup plus complet, utilisé dans plus de 13 pays.

La plateforme fonctionnerait comme un service de surveillance payant, avec plusieurs niveaux de tarification, un système de facturation et un environnement de démonstration. Ses clients comprennent des entreprises chinoises, des organismes publics, des organisations militaires et des établissements d’enseignement.

LightSpy peut notamment récupérer :

• des données de localisation extrêmement précises ;
• des enregistrements audio ;
• des historiques de conversations ;
• les flux de caméra et les vidéos ;
• des captures ou enregistrements d’écran ;
• et, à distance, effacer entièrement le contenu d’un appareil.

Une infrastructure qui dépasse les terminaux mobiles

L’infrastructure associée à LightSpy compterait désormais 117 serveurs. Des logiciels malveillants ont également été installés sur des routeurs en Europe et en Afrique, ce qui permettrait d’intercepter et de transmettre des données directement depuis des équipements situés au niveau du réseau.

Le logiciel ne se limite plus à iOS : il cible également Android et Windows. Sa version la plus récente disposerait de plus de 100 commandes et de 28 modules, ou « plugins », permettant d’étendre ses fonctions de collecte et de contrôle.

L’évolution de LightSpy est donc double. L’outil est devenu multiplateforme, mais aussi « productisé » : il ne s’agit plus seulement d’un logiciel utilisé dans une opération ciblée, mais d’une solution de surveillance susceptible d’être proposée à différents clients. Les chercheurs le relient à des acteurs soutenus par l’État chinois, ce qui suggère une commercialisation et une mise à l’échelle de logiciels espions alignés sur des intérêts étatiques.

DeepSeek : une campagne d’attaque pilotée presque de bout en bout par l’IA

Une seule instruction initiale

Le 30 juillet 2026, Unit 42 a documenté l’activité d’un acteur sinophone utilisant les pseudonymes « knaithe » et « KnYuan ». Celui-ci avait relié le modèle DeepSeek au framework open source Hermes Agent afin d’en faire un opérateur offensif autonome.

L’opérateur a envoyé une instruction initiale via Telegram. Ensuite, l’agent a pu effectuer de manière autonome la reconnaissance, repérer des systèmes accessibles depuis Internet, rechercher des exploits publics sur GitHub, sélectionner des cibles et lancer des tentatives d’attaque, sans nouvelle intervention humaine.

La campagne a visé plus de 460 systèmes en Asie et a abouti à 14 compromissions réussies.

Unit 42 estime que l’acteur se trouvait à Zhuhai, dans le sud de la Chine. Les chercheurs indiquent par ailleurs qu’il avait essayé de solliciter les modèles Claude et OpenAI pour accomplir la même tâche, mais que ceux-ci avaient refusé en raison de leurs mécanismes de sécurité. DeepSeek, lui, ne l’a pas fait.

Une première documentation publique

Unit 42 présente cette affaire comme le premier cas documenté publiquement d’un acteur malveillant détournant un modèle d’IA pour mener à grande échelle une campagne d’attaque « agentique » de bout en bout.

Un chercheur de l’équipe a résumé le phénomène ainsi : « Un acteur humain animé d’une intention malveillante a délibérément militarisé un modèle d’IA pour mener une campagne d’attaque agentique de bout en bout. »

Le terme « agentique » désigne ici une IA capable d’enchaîner des étapes et d’agir sur son environnement — rechercher, décider, exécuter — plutôt que de se limiter à produire du texte ou des recommandations.

Ce que ces deux affaires changent pour la cybersécurité

De l’opération manuelle à la chaîne d’attaque autonome

La campagne utilisant DeepSeek montre comment une IA peut relier plusieurs étapes autrefois prises en charge par des opérateurs humains : reconnaissance, recherche de vulnérabilités, sélection d’exploits et tentative de compromission.

Cela ne signifie pas que toutes les attaques sont désormais entièrement autonomes : certaines opérations observées combinaient automatisation et exploitation manuelle. Mais le seuil d’entrée diminue et une petite équipe peut potentiellement couvrir davantage de cibles, plus rapidement.

Du logiciel espion spécialisé à la plateforme multiplateforme

LightSpy illustre une autre trajectoire. D’abord associé à l’espionnage d’utilisateurs d’iPhone, le logiciel s’est étendu à Windows et Android et repose sur une architecture modulaire. Sa diffusion dans plus de 13 pays et son implantation sur des routeurs montrent que la surface de surveillance ne se limite plus aux téléphones des victimes.

La commercialisation élargit le cercle des adversaires

La tarification par niveaux, la facturation et l’existence d’un environnement de démonstration donnent à LightSpy les caractéristiques d’un service commercial. Si des outils de surveillance associés à des acteurs étatiques sont vendus à des entreprises, des organismes publics ou des institutions militaires, le nombre d’utilisateurs potentiels — et donc d’adversaires — augmente.

Les garde-fous de l’IA deviennent un enjeu stratégique

Le choix de DeepSeek après le refus de Claude et des modèles d’OpenAI souligne une faiblesse potentielle de l’écosystème : des modèles plus permissifs peuvent offrir un avantage opérationnel aux attaquants. La question ne porte donc pas seulement sur les capacités des modèles, mais aussi sur la cohérence et l’efficacité de leurs contrôles de sécurité.

Défendre les réseaux à la vitesse des machines

Une campagne agentique peut sonder et tester des systèmes plus vite qu’une équipe humaine ne peut les examiner. Les organisations doivent donc renforcer la détection automatisée, la gestion des correctifs et les mécanismes de réponse capables d’interrompre rapidement une chaîne d’exploitation.

L’affaire LightSpy ajoute une autre leçon : lorsqu’un logiciel espion peut s’installer sur des routeurs, les équipements situés à la périphérie du réseau ne peuvent plus être considérés comme fiables par défaut.

Ces deux opérations ne relèvent pas du même mode opératoire. L’une montre la transformation d’un logiciel espion en service de surveillance mondial ; l’autre, l’utilisation d’un modèle d’IA pour automatiser une campagne offensive. Leur proximité dans le temps révèle toutefois une même tendance : les cybermenaces liées à la Chine deviennent à la fois plus accessibles, plus distribuées géographiquement et plus rapides à déployer.