2FA : Des hackers ont utilisé une IA pour créer une attaque zero-day massive, révèle Google

Ce qu’il faut retenir :

• Le Google Threat Intelligence Group a identifié pour la première fois un groupe cybercriminel ayant utilisé l’IA pour découvrir et exploiter une faille zero-day dans un outil d’administration système largement répandu.
• L’exploit permettait de contourner l’authentification multifacteur pour accéder aux réseaux internes d’organisations, mais a été neutralisé avant tout déploiement.
• Google affirme avec une “haute confiance” que l’IA a servi à trouver et à armer la faille, mais précise que ni Mythos d’Anthropic ni Gemini n’ont été utilisés.

Les chercheurs en sécurité de Google ont détecté ce qu’ils considèrent comme le premier cas avéré d’utilisation de l’intelligence artificielle par un groupe cybercriminel pour créer un exploit zero-day, c’est-à-dire une attaque ciblant une faille logicielle inconnue du développeur. Le rapport, publié lundi, marque un tournant dans la menace que représente l’IA pour la cybersécurité mondiale.

Une faille zero-day générée par IA

Une vulnérabilité zero-day (littéralement “jour zéro”) est une faille logicielle que le développeur n’a pas encore découverte ni corrigée, laissant les défenseurs sans aucun délai pour se protéger. Jusqu’ici, la découverte de telles failles était principalement l’apanage de chercheurs hautement qualifiés ou de groupes étatiques disposant de ressources considérables.

Selon le Google Threat Intelligence Group, un groupe cybercriminel a utilisé un grand modèle de langage (LLM) pour identifier une faille inconnue dans un outil d’administration système utilisé par de nombreuses organisations. L’exploit permettait de contourner l’authentification multifacteur (MFA), une protection qui ajoute une couche de sécurité au-delà du simple mot de passe, pour accéder aux réseaux internes.

Google a alerté le développeur de l’outil, qui a corrigé la faille avant que les hackers ne puissent l’exploiter contre des utilisateurs. Google déclare avoir une “haute confiance” dans le fait que l’IA a été utilisée à la fois pour découvrir la vulnérabilité et pour la transformer en arme.

Ni Mythos, ni Gemini

Google n’a pas identifié publiquement le groupe criminel, le logiciel ciblé ni le modèle d’IA utilisé. Un porte-parole a toutefois précisé que les chercheurs ne pensaient pas que l’exploit avait été créé avec Mythos d’Anthropic ou Gemini de Google. La date exacte de la découverte n’a pas été communiquée au-delà de la mention “récente”.

La précision sur Mythos est significative. Anthropic avait annoncé en avril qu’il ne rendrait pas son modèle Mythos accessible au public en raison de ses capacités exceptionnelles en cybersécurité offensive. Le modèle avait identifié des milliers de failles zero-day dans les principaux systèmes d’exploitation et navigateurs, poussant Anthropic à lancer le Project Glasswing pour permettre à des entreprises de confiance de corriger ces vulnérabilités en priorité.

La menace IA en cybersécurité devient concrète

Le rapport de Google confirme ce que les experts redoutaient : l’utilisation offensive de l’IA pour la découverte de failles n’est plus un scénario théorique. Les outils d’administration web, qui servent à configurer et gérer des serveurs, des sites et des applications à distance, y compris les paramètres de sécurité et les permissions d’accès, constituent des cibles de choix.

La Maison-Blanche a pris des mesures pour encadrer l’utilisation malveillante des LLM. Des réunions d’urgence ont été organisées avec les dirigeants technologiques et industriels. La question de savoir comment empêcher des modèles d’IA commerciaux d’être détournés à des fins offensives est devenue un enjeu de sécurité nationale.

Ce qu’il faut surveiller

L’incident soulève une question fondamentale : si un groupe criminel a pu utiliser un LLM commercial pour créer un zero-day, la démocratisation de ces outils va mécaniquement multiplier le nombre d’acteurs capables de mener des attaques sophistiquées.

La course entre les capacités offensives et défensives de l’IA s’intensifie. La capacité des éditeurs de logiciels à corriger les failles plus vite que l’IA ne les découvre déterminera l’équilibre de la cybersécurité dans les années à venir. Le modèle d’IA utilisé par les hackers, que Google refuse d’identifier, reste un point aveugle préoccupant.