Un agent IA a piraté l’IA de McKinsey, accédant à sa mémoire

Selon la startup de cybersécurité CodeWall, l’attaque s’est déroulée fin février 2026, mais n’a été rendue publique que le 9 mars, une fois les failles corrigées. L’objectif n’était pas de voler des données, mais de tester la robustesse des systèmes, dans le cadre d’un exercice de cybersécurité de type « red team ».

Fait notable : l’agent offensif développé par CodeWall aurait lui-même ciblé McKinsey, en s’appuyant sur deux indices repérés en ligne : la politique de divulgation responsable du cabinet – qui autorise ce type de tests – et des mises à jour récentes de la plateforme Lilli, susceptibles d’avoir introduit de nouvelles vulnérabilités.

Une plateforme d’AI interne lancée en 2023

Lilli permet aux consultants de rechercher des informations dans plus de 100 000 sources internes, d’analyser des documents et de générer des recommandations stratégiques. Plus de 70 % des quelque 43 000 employés du cabinet l’utilisent aujourd’hui, pour un total d’environ 500 000 requêtes chaque mois. Les conversations peuvent porter sur des fusions-acquisitions, des projets clients ou des données financières sensibles – autant d’infos critiques.

Parmi les usages précis revendiqués, la vérification du « tone of voice » McKinsey dans les documents destinés aux clients, et l’intégration de Lilli à l’un des entretiens de recrutement du cabinet. Les candidats sont ainsi invités à s’appuyer sur l’outil dans l’analyse de cas.

à lire aussi

Les clés pour réussir ses entretiens

Chez McKinsey, l’IA s’invite aux entretiens de recrutement

McKinsey expérimente un nouveau dispositif de recrutement pour mesurer la capacité des candidats à travailler avec l’IA et, plus encore, à la piloter.

Une intrusion fulgurante en 2 heures

Selon CodeWall, l’agent IA a commencé par cartographier automatiquement tout ce qui était accessible depuis Internet. Il a notamment découvert que la documentation technique de Lilli était publiquement exposée et répertoriait plus de 200 points d’accès à l’API du système. Parmi eux, 22 n’étaient pas protégés.

L’un de ces points d’entrée enregistrait les recherches des utilisateurs dans une base de données. En analysant la structure de cette requête, l’agent aurait identifié une faiblesse classique, mais redoutable : une faille d’injection SQL. Si les valeurs saisies par les utilisateurs étaient bien contrôlées, les noms des champs utilisés dans les requêtes, eux, étaient intégrés directement dans le code sans vérification.

En exploitant les messages d’erreur générés par la base de données, l’agent aurait progressivement reconstitué la structure du système et réussi à extraire des informations réelles.

Au terme de deux heures, CodeWall affirme avoir obtenu un accès complet en lecture et en écriture à la base de données de production. À savoir : 46,5 millions de messages de chat, 728 000 fichiers internes, 57 000 comptes utilisateurs et 95 prompts système contrôlant le comportement du chatbot.

La faille étant également exploitable en écriture, un attaquant aurait potentiellement pu modifier ces instructions. En pratique, cela aurait permis d’altérer les réponses générées par Lilli pour l’ensemble des consultants du cabinet – par exemple en manipulant les sources citées ou les garde-fous appliqués par l’IA.

McKinsey corrige… mais la menace plane

CodeWall a signalé ses découvertes à McKinsey le 1er mars. Toutes les vulnérabilités identifiées auraient été corrigées par McKinsey dès le lendemain. Le cabinet a également mis hors ligne l’environnement de développement de Lilli et retiré la documentation publique de son API. 

Dans une déclaration transmise aux médias, McKinsey affirme qu’aucune donnée client n’a été réellement consultée ni exfiltrée. 

Selon Paul Price, le directeur général de CodeWall, au média britannique en ligne The Register, « les pirates informatiques pourront utiliser la même technologie et les mêmes stratégies pour attaquer sans discernement » des milliers d’organisations en parallèle. Leurs motivations n’ayant, elles, rien de neuf : « Extorsion financière, vol de données, ransomware… ».