Comment les attaquants utilisent l’IA : de la CVE au zero-day

Depuis 2024, les fournisseurs d’IA (intelligence artificielle) publient des rapports sur l’usage malveillant de leurs modèles. C’est la meilleure source pour distinguer ce que les attaquants font de ce que les plaquettes commerciales leur prêtent. Le tableau est moins cinématographique que prévu et plus inquiétant sur la durée : l’IA a d’abord servi à faire plus vite ce que les attaquants savaient déjà faire, puis, à partir de 2025, à confier une part croissante du travail à des agents. Cette page suit ce fil, de la vulnérabilité publiée (une CVE, Common Vulnerabilities and Exposures) à la faille inconnue de tous (le zero-day). Faits arrêtés au 2 octobre 2026.

→ Lire l’explication complète de la marmotte

Un multiplicateur plutôt qu’un remplaçant

Premier constat, répété de rapport en rapport : l’IA a longtemps apporté aux attaquants un gain de productivité sur des tâches existantes, pas des capacités nouvelles. En janvier 2025, le GTIG (Google Threat Intelligence Group) écrivait que les acteurs étatiques observés sur Gemini en tiraient des gains de productivité sans capacités inédites, et échouaient à contourner les protections du modèle avec des techniques publiques et rudimentaires. En octobre 2025, OpenAI notait que les acteurs malveillants greffent l’IA sur leurs méthodes existantes plutôt que l’inverse, en combinant volontiers plusieurs modèles. En mars 2026, le rapport M-Trends 2026 de Mandiant estimait encore que 2025 n’avait pas été l’année des intrusions directement causées par l’IA, la plupart restant dues à des défaillances humaines et organisationnelles.

Ce constat a toutefois une date de péremption. Un multiplicateur appliqué à un débutant donne un débutant prolifique ; appliqué à une équipe compétente, une équipe qui mène dix opérations à la fois. Et quand le multiplicateur devient un agent qui enchaîne seul des étapes, la frontière entre « aider » et « faire » s’amincit. Anthropic écrivait en septembre 2026 que l’écart de compétences entre opérations étatiques bien dotées et opérateurs isolés s’était largement refermé dans les cas observés.

Ce qui est documenté

Février 2024, Microsoft et OpenAI. Les deux entreprises annoncent avoir fermé les comptes de cinq acteurs liés à des États : Charcoal Typhoon et Salmon Typhoon (Chine), Crimson Sandstorm (Iran), Emerald Sleet (Corée du Nord) et Forest Blizzard (Russie). Usages relevés : recherche d’informations publiques, traduction, correction de code, scripts simples, contenus d’ingénierie sociale. Rien qu’un moteur de recherche et un stagiaire patient n’auraient pu fournir, mais plus vite.

Janvier 2025, GTIG. Le rapport « Adversarial Misuse of Generative AI » décrit l’usage de Gemini par des groupes étatiques pour la reconnaissance, l’hameçonnage, la recherche sur des vulnérabilités publiques et le dépannage de code. Les acteurs iraniens y pèsent environ les trois quarts des usages malveillants identifiés.

Août 2025, Anthropic. Le rapport de renseignement sur les menaces décrit notamment une campagne d’extorsion de données où un seul opérateur a utilisé Claude Code contre au moins dix-sept organisations (services d’urgence et administrations, entre autres), le modèle prenant en charge reconnaissance, tri des données volées et rédaction des demandes de rançon. Le même rapport documente des informaticiens nord-coréens conservant des emplois à distance grâce à l’IA, et la vente de rançongiciels développés avec son aide par un acteur aux compétences limitées.

Octobre 2025, OpenAI. Le rapport « Disrupting malicious uses of AI » porte à plus de quarante le nombre de réseaux démantelés depuis février 2024. Il note que des réseaux d’escroquerie demandaient au modèle de supprimer les tirets longs de leurs textes, réputés trahir une rédaction par IA, et que ChatGPT servait environ trois fois plus souvent à détecter des arnaques qu’à en fabriquer. L’auteur de ces lignes, qui s’interdit le tiret long depuis toujours, décline toute complicité.

Novembre 2025, GTIG puis Anthropic. Le 5 novembre, le GTIG signale les premiers logiciels malveillants interrogeant un modèle de langage pendant leur exécution, la plupart encore expérimentaux, un marché clandestin d’outils d’IA vendus par abonnement, et des acteurs se faisant passer pour des étudiants ou des participants à des CTF (Capture The Flag, compétitions de sécurité offensive). Le 13 novembre, Anthropic publie le cas GTG-1002 : un groupe attribué avec un haut degré de confiance à un acteur étatique chinois a utilisé Claude Code, détecté à la mi-septembre 2025, contre une trentaine de cibles (technologie, finance, chimie, administrations). Selon Anthropic, l’agent a exécuté 80 à 90 % du travail, les humains n’intervenant que ponctuellement, et quelques intrusions ont réussi. Les opérateurs avaient découpé l’opération en tâches anodines présentées comme un test de sécurité autorisé. Détail instructif : l’agent a parfois inventé des identifiants ou présenté comme secrètes des informations publiques. L’attaquant doit encore tout vérifier, comme n’importe quel chef de projet.

Septembre 2026, Anthropic. Le rapport « Detecting and countering misuse of AI » (décembre 2025 à août 2026) décrit un espionnage automatisé attribué à un acteur russe, des criminels attaquant plusieurs victimes en parallèle et des chaînes de recherche de vulnérabilités largement autonomes. Il note que des cadres d’agents offensifs librement téléchargeables reproduisent une bonne partie de cette architecture.

Le volet vocal de la fraude est traité dans la fraude à la voix clonée.

Des CVE aux correctifs : le délai qui fond

Le terrain où l’IA pèse le plus n’est probablement pas la découverte de failles inédites, mais l’exploitation des failles déjà publiées, dites n-day. Comprendre ce qu’un correctif a changé ou adapter une preuve de concept publique relève de l’analyse de code, ce que les modèles font bien.

Les délais sont mesurés, leur lien avec l’IA beaucoup moins :

Mandiant mesurait un délai moyen d’exploitation par rapport au correctif (time-to-exploit) de 63 jours en 2018-2019, 32 jours en 2021-2022 et 5 jours pour les vulnérabilités divulguées en 2023 (analyse d’octobre 2024).
Le rapport M-Trends 2026 (mars 2026) estime ce délai à moins sept jours pour 2025 : en moyenne, l’exploitation commence une semaine avant la disponibilité du correctif.
Selon VulnCheck, 28,9 % des vulnérabilités de son catalogue d’exploitations connues l’étaient au plus tard le jour de publication de leur CVE en 2025, et 23,4 % au premier semestre 2026 (rapport de juillet 2026).
Le GTIG (30 septembre 2026) observe que les vulnérabilités exploitées sont passées d’environ 10,5 par mois en 2025 à 18 par mois de janvier à août 2026, quand les zero-days ne progressaient que de 8 à 11. La hausse vient donc surtout de l’exploitation rapide de failles publiées. Le GTIG juge plausible que l’IA serve à automatiser l’analyse des correctifs et des preuves de concept, sans l’établir.

Prudence : ces mesures reposent sur des méthodologies différentes, et la chute du délai a commencé bien avant les grands modèles de langage. L’IA accélère une tendance qu’elle n’a pas créée.

La recherche de zero-days assistée par IA

Big Sleep. Le 1er novembre 2024, Google Project Zero et Google DeepMind annoncent que leur agent Big Sleep a trouvé une faille mémoire exploitable dans SQLite, corrigée le jour même, avant toute version publiée. En juillet 2025, Google indique que Big Sleep a trouvé une autre faille de SQLite (CVE-2025-6965) connue seulement d’acteurs malveillants qui risquaient de l’exploiter, et y voit la première fois qu’un agent d’IA déjoue directement une exploitation.

AIxCC. La finale de l’AIxCC (AI Cyber Challenge), organisée par la DARPA (Defense Advanced Research Projects Agency), s’est tenue à la DEF CON le 8 août 2025. Selon la DARPA, les systèmes finalistes ont trouvé 54 des 63 vulnérabilités artificiellement insérées, en ont corrigé 43 et ont mis au jour 18 vulnérabilités réelles. Team Atlanta a remporté 4 millions de dollars, devant Trail of Bits et Theori, et plusieurs systèmes ont été publiés en source ouverte.

Les modèles de 2026. Le 7 avril 2026, Anthropic lance Project Glasswing, qui réserve à une douzaine d’organisations (dont Amazon Web Services, Apple, Google, Microsoft et la Linux Foundation) un modèle non diffusé publiquement, Claude Mythos Preview, qui a trouvé selon l’entreprise des milliers de vulnérabilités graves, dont une faille de 27 ans dans OpenBSD. La raison de cette réserve est explicite : des adversaires chercheront à exploiter les mêmes capacités. Côté attaque, le GTIG décrit le 11 mai 2026 ce qu’il considère comme le premier exploit zero-day développé avec l’aide de l’IA par un groupe criminel ; selon Google, sa découverte a peut-être empêché l’exploitation de masse envisagée.

La même capacité sert donc aux deux camps, et l’avantage va à celui qui l’industrialise le premier sur le code qui compte. Le GTIG relève d’ailleurs que les failles trouvées avec l’IA sont en proportion plus graves que les autres. Contrepoint de VulnCheck : sur 1 061 vulnérabilités attribuées à une découverte assistée par IA, 14 seulement (1,3 %) étaient confirmées exploitées à la mi-2026. Trouver n’est pas exploiter, et corriger reste l’étape lente : les mainteneurs de logiciels libres absorbent mal l’afflux de rapports.

Limites actuelles et garde-fous des fournisseurs

Les fournisseurs disposent de plusieurs leviers : refus appris par le modèle, classificateurs repérant les requêtes offensives, détection des comportements suspects à l’échelle du compte, fermeture des comptes, partage d’indicateurs. Chaque cas publié prouve que la détection fonctionne, et qu’elle arrive souvent après coup.

Trois angles morts demeurent. Le découpage : une opération fragmentée en petites tâches d’apparence légitime échappe aux contrôles qui jugent chaque requête isolément. Le prétexte : le chercheur, l’étudiant ou le prestataire de test autorisé sont des récits invérifiables pour le modèle. Enfin, hors de portée des fournisseurs, les modèles à poids ouverts exécutés localement ne passent par aucun service et n’ont d’autres limites que celles que leur utilisateur veut bien conserver. Les rapports décrivent ce que les attaquants font chez les fournisseurs qui surveillent, pas tout ce qu’ils font : on cherche ses clés sous le lampadaire.

Ce que doivent faire les défenseurs

Réduire le délai de correction. Avec un délai d’exploitation négatif, un cycle mensuel de correctifs ne protège que contre les attaquants courtois. Les équipements exposés à Internet (passerelles VPN (Virtual Private Network), pare-feu, outils d’administration) se corrigent en jours, avec des mesures d’atténuation prêtes quand le correctif n’existe pas encore. Voir le guide de gestion des vulnérabilités.
Inventorier et prioriser. Le catalogue KEV (Known Exploited Vulnerabilities) de la CISA (Cybersecurity and Infrastructure Security Agency) recense les failles exploitées ; l’EPSS (Exploit Prediction Scoring System), maintenu par le FIRST (Forum of Incident Response and Security Teams), estime la probabilité qu’une CVE soit exploitée dans les 30 jours. Croisés avec l’exposition réelle de chaque actif, ils évitent de traiter des milliers de failles par ordre alphabétique.
Surveiller en partant du principe que la faille sera exploitée avant le correctif. Journalisation exploitable des équipements de bordure et recherche de compromission après chaque vulnérabilité critique publiée, et pas seulement correction.
Utiliser l’IA en défense. Revue de code assistée avant publication (voir la revue de sécurité du code généré), tri des alertes dans le SOC (Security Operations Center), analyse des bulletins pour savoir en quelques minutes si un produit touché est dans le parc.
Former contre l’hameçonnage généré par IA. Les fautes d’orthographe ne sont plus un signal. La formation porte sur le contexte (urgence, changement de coordonnées bancaires, demande inhabituelle), sur la vérification par un autre canal et, pour les développeurs, sur l’hallucination de paquets.
Préparer les procédures aux deepfakes. En février 2024, la police de Hong Kong a révélé qu’un employé du groupe Arup avait viré environ 200 millions de dollars de Hong Kong (près de 25 millions de dollars américains) après une visioconférence dont les autres participants étaient générés. La parade n’est pas technique : un virement se confirme par un canal connu à l’avance, quelle que soit la qualité de la vidéo.

🐝 Ce qui arrive si on s’en passe

Une organisation qui ignore ces évolutions garde un rythme de correction calé sur un attaquant qui lit les bulletins à la main, alors que l’exploitation précède désormais en moyenne le correctif. Ses priorités suivent le score de gravité plutôt que l’exploitation réelle, et ses employés cherchent des fautes d’orthographe dans des courriels qui n’en contiennent plus. Elle découvre l’usage de l’IA par ses adversaires dans un rapport d’incident : le sien. À l’inverse, celle qui panique à chaque annonce achète des solutions « anti-IA » sans inventaire de ses actifs. Le danger vient moins de l’IA que de l’écart entre la vitesse des attaquants (voir l’économie des courtiers d’accès) et la lenteur des défenseurs.

🦫 Explication de la marmotte 🍫

Les assistants d’intelligence artificielle comme ChatGPT, Gemini ou Claude servent à tout le monde, y compris aux pirates. Les entreprises qui les fabriquent surveillent les abus et publient des rapports. On y voit que les pirates s’en servent surtout pour aller plus vite : écrire des faux messages sans fautes, traduire, se renseigner sur une entreprise, corriger leurs programmes. Depuis 2025, certains confient même une grande partie d’une attaque à un assistant qui travaille seul, sous leur contrôle.

Quand un logiciel a une faille, son éditeur publie une correction. Avant, les pirates mettaient des semaines à profiter de ces failles connues ; aujourd’hui, ils attaquent souvent avant même que la correction existe. L’IA peut les aider à comprendre plus vite ce que la correction a changé. Mais l’IA aide aussi les défenseurs : des programmes de Google ou d’Anthropic trouvent des failles inconnues pour qu’on les répare avant que les pirates ne les découvrent.

Pour se protéger, il faut donc installer les mises à jour très vite, savoir quels logiciels on utilise, se méfier des messages trop bien écrits qui demandent de l’argent en urgence, et vérifier par téléphone, auprès d’un numéro connu, quand un chef demande un virement en visioconférence. Même si c’est vraiment lui.

Pages voisines

La citent

Comment les attaquants utilisent l'IA : de la CVE au zero-day

Elle cite