Dans son analyse d’octobre 2026, Lumen Black Lotus Labs décrit PoeLLM, une campagne suivie depuis avril qui compromet des services d’IA et d’autres applications accessibles depuis Internet. Les opérateurs installent des mineurs de cryptomonnaie; le logiciel malveillant déduit l’adresse IP de son serveur de commande et de contrôle à partir de mots d’un poème publié sur GitHub.
Des services exposés comme point d’entrée
Selon Lumen, les opérateurs recherchent des services de génération ou d’inférence accessibles sans protection suffisante. La campagne vise aussi des outils comme Gotenberg et Gitea. L’exposition d’un service ne prouve pas à elle seule une compromission : les journaux et l’activité des processus doivent être examinés.
Une charge orientée vers le minage
L’analyse de Lumen décrit le déploiement de mineurs et des mécanismes de persistance. Le trafic de commande peut être encodé ou rendu moins visible; les indicateurs techniques publiés par le chercheur sont donc plus utiles qu’une simple recherche de noms de fichiers. Les médias secondaires reprennent cette analyse et ne constituent pas une mesure indépendante du nombre de victimes.
Réduire l’exposition des interfaces IA
Inventoriez les API et consoles d’administration, retirez les interfaces inutilisées d’Internet et imposez une authentification forte et des règles réseau. Mettez à jour les composants exposés et limitez les droits des comptes de service. Une passerelle ne remplace pas une isolation réseau.
Chercher des signes de compromission
Contrôlez les processus de minage inattendus, les tâches planifiées, les connexions sortantes inhabituelles et les modifications de conteneurs. Préservez les journaux avant toute remédiation et comparez les indicateurs aux publications de Lumen. Si un accès non autorisé est confirmé, faites tourner les secrets accessibles depuis l’hôte après avoir contenu l’incident.
Le lien avec Soclyde
Pour les équipes qui administrent des services IA, Soclyde peut aider à protéger les identifiants d’API et à les partager avec les personnes autorisées. Il ne surveille pas les hôtes ni les charges de minage. Voir notre guide sur les mots de passe uniques et contactez notre équipe.
À retenir
Inventoriez les interfaces accessibles et contrôlez les processus et connexions sortantes; les chiffres de victimes publiés par Lumen ne sont pas cohérents entre les sections de son analyse. Pour les comptes de service, voir notre guide des mots de passe uniques.
