L’IA peut désormais alimenter chaque étape d’une cyberattaque

Il y a à peine deux ans, les pirates informatiques exploitaient l’intelligence artificielle générative pour sonder des cibles, traduire du matériel technique et dépanner les codes malveillants. La technologie a accéléré certains éléments clés d’une cyber-opération, mais d’autres étapes sont restées uniquement entre les mains de l’homme.

Cette ligne commence maintenant à s’estomper. Dans une série de cyberattaques observées au cours de l’année écoulée, les systèmes d’IA ont généré des commandes, testé des vulnérabilités et aidé les pirates informatiques à se déplacer dans les réseaux des victimes, exécutant parfois des milliers de commandes avec moins de direction humaine que ce que les chercheurs avaient vu auparavant, selon une étude publiée lundi soir par la société de cybersécurité Check Point.

Cela signifie que l’IA est désormais utilisée sous une forme ou une autre à chaque étape d’une cyberattaque, de l’identification des cibles à l’exploitation des vulnérabilités en passant par le vol de données, pour aider les pirates informatiques à atteindre leurs objectifs.

Ce changement ne signifie pas encore un piratage totalement autonome, a déclaré un haut dirigeant de l’entreprise. Nextgov/FCWmais cela montre que l’IA passe d’une aide occasionnelle à une aide supplémentaire tout au long du processus d’intrusion. Les résultats mettent également en évidence la rapidité avec laquelle le cyberécosystème mondial a adopté l’IA, la technologie étant désormais intégrée à chaque partie d’une opération offensive plutôt que confinée à des tâches isolées.

« Nous avons vu des groupes criminels pirater des agences gouvernementales à grande échelle, en utilisant l’IA comme opérateur principal plutôt que comme assistant en arrière-plan », indique le rapport de Check Point. Dans la plupart des cas, le rôle du modèle d’IA a été révélé par les propres erreurs de l’attaquant ou par la surveillance du fournisseur d’IA, plutôt que par les outils ou les mesures de protection déployés par l’organisation victime.

Pour ces activités basées sur l’IA, les pirates ont utilisé des modèles open source et des outils d’IA malveillants spécialement conçus et vendus sur le dark web, mais les principaux fournisseurs commerciaux restent leur premier choix, a déclaré Sergey Shykevich, responsable du renseignement sur les menaces de l’entreprise, dans une interview.

L’étude cite le groupe de ransomware Gentlemen comme un exemple de la façon dont l’IA est intégrée aux opérations criminelles de routine. Les membres ont comparé les modèles commerciaux traditionnels en se basant en grande partie sur ceux qui imposaient le moins de restrictions et utilisaient l’IA pour aider à créer des outils internes, notamment une plateforme de gestion développée en trois jours.

Les résultats mettent également en lumière VoidLink, une boîte à outils sophistiquée permettant de contrôler à distance les ordinateurs infectés, dont la construction, selon les chercheurs, avait pris plusieurs mois à une équipe. Check Point a découvert plus tard qu’un seul développeur avait produit environ 88 000 lignes de code fonctionnel en moins d’une semaine à l’aide d’un outil de codage d’IA commercial.

Les pirates ont tendance à choisir d’abord les modèles d’IA américains comme ChatGPT ou Claude parce que leurs réponses sont généralement considérées comme de meilleure qualité, mais ils ont plus de mal à exploiter ces familles de modèles en raison de garde-fous plus solides conçus pour empêcher l’utilisation malveillante des outils, a déclaré Shykevich. Lorsque ces tentatives échouent, ils se tournent alors vers des plates-formes d’IA fabriquées en Chine et dotées de garde-fous plus bas.

« Ils essaient de jailbreaker ces modèles (occidentaux), mais lorsqu’ils n’y parviennent pas, ils se tournent simplement vers DeepSeek, Qwen et Trae », a-t-il déclaré, faisant référence à un trio de modèles et de plates-formes d’IA originaires de Chine. Qwen est une suite d’IA et de grands modèles de langage développés par Alibaba, tandis que Trae est un éditeur de code et une plate-forme de programmation basés sur l’IA et construits par ByteDance. Les gangs de ransomwares se sont fortement appuyés sur ces modèles chinois pour les aider à générer du code pour leurs exploits, a-t-il noté.

Les modèles d’IA chinois sont récemment devenus plus performants et largement utilisés pour les tâches de codage. Pékin a envisagé de restreindre l’accès à l’étranger à certains modèles avancés, soulignant leur valeur croissante en matière de sécurité nationale et leur attrait pour les cybercriminels à la recherche d’outils pour les aider dans leurs exploits.

Lorsqu’on lui a demandé comment ces nouvelles dynamiques impliquent de cibler le gouvernement américain et les organisations d’infrastructures critiques, Shykevich a répondu qu’il y avait certainement des niveaux de tentatives d’exploitation plus élevés et plus rapides, bien qu’il ait estimé que cela était dû à une combinaison de vitesse permise par l’IA et de tensions géopolitiques.

Il a déclaré que, dans un monde idéal, les failles de sécurité devraient désormais être corrigées quelques heures après leur découverte, même s’il a immédiatement reconnu que cela serait pratiquement impossible. La Cybersecurity and Infrastructure Security Agency a récemment réorganisé ses directives sur le calendrier de remédiation, allant de trois jours pour les failles les plus risquées à 60 jours pour les problèmes moins prioritaires.

Cette décision fait partie de la réponse de la CISA « au paysage actuel des menaces, dans lequel les services logiciels d’IA peuvent aider les acteurs malveillants à trouver et à exploiter les vulnérabilités », a déclaré l’agence le mois dernier.

Ces résultats interviennent alors que la dernière tranche de modèles d’IA de pointe montre des progrès considérables dans leur capacité à effectuer des tâches de cybersécurité. OpenAI a publié la semaine dernière GPT-5.6, qu’il a qualifié de modèle de cybersécurité le plus puissant à ce jour, faisant état de gains substantiels par rapport à son prédécesseur en matière de tests de référence, de développement d’exploits et de génération de preuves de concept.

L’administration Trump, quant à elle, a donné à la National Security Agency, à la CISA et à d’autres responsables fédéraux jusqu’au 1er août pour développer un processus classifié permettant d’évaluer les cybercapacités avancées des modèles d’IA frontaliers et de déterminer quels systèmes nécessitent un examen plus approfondi du gouvernement.

« Le changement le plus significatif documenté par ce rapport n’est pas une nouvelle technique. C’est le rythme », indique le rapport Check Point. « Une vulnérabilité devient désormais un exploit fonctionnel quelques heures après sa divulgation. Les campagnes de phishing se déroulent avec une qualité et un volume qu’aucune équipe humaine ne peut égaler. Les intrusions couvrent des dizaines de cibles simultanément, l’IA gérant le travail opérationnel entre les enregistrements. Les équipes de sécurité travaillant à vitesse humaine ne peuvent pas suivre cette cadence. «