Voulez-vous échanger ce week-end? Les indices synthétiques sont toujours actifs → Explorer les options.
Espace sponsorisé
Le Google Threat Intelligence Group a documenté le 11 mai le premier cas confirmé dans lequel un groupe criminel a utilisé un modèle d'intelligence artificielle pour découvrir et développer un exploit zero-day. L’attaque a été interceptée avant d’être exécutée, mais le seuil est déjà franchi : l’IA n’est plus seulement un outil défensif en cybersécurité.
Cette découverte fait partie du rapport trimestriel GTIG, publié sur le blog officiel de Google Cloud, qui analyse l'utilisation contradictoire des modèles de langage dans le cycle complet d'attaque. Ce qui change dans ce cas, ce n’est pas la sophistication de l’exploit lui-même. Ce qui change, c'est qui l'a trouvé.
Comment fonctionne l’avantage des LLM dans la chasse aux vulnérabilités
La vulnérabilité exploitée était un bug de logique sémantique de haut niveau : un développeur avait codé une exception de confiance dans le flux d'authentification en deux étapes d'un outil d'administration Web open source populaire.
Le code a fonctionné correctement en termes techniques. Il n’y a eu aucun crash, aucune corruption de mémoire. Les scanners et fuzzers traditionnels, conçus pour détecter les défauts d’implémentation, ne l’auraient pas trouvé.
Les modèles de langage le peuvent. Selon le GTIG, les LLM frontières ont une capacité croissante de raisonnement contextuel qui leur permet de lire l'intention du développeur et de corréler la logique d'authentification avec les contradictions de leurs exceptions codées.
En apparence, le code semble correct. Sémantiquement, c’est cassé. C’est exactement le type de panne qu’une IA entraînée sur de gros volumes de code identifie avant tout outil automatisé conventionnel.
L’exploit qui en a résulté était un script Python conçu pour contourner 2FA une fois que l’attaquant disposait d’informations d’identification valides.
Le plan était de lancer une campagne d’exploitation massive contre tous les serveurs du monde utilisant cet outil. Google a travaillé avec le fabricant pour corriger la vulnérabilité avant que l'opération puisse être exécutée.
Les traces du code généré par l'IA
L'attribution était possible précisément parce que le code révélait son origine. Le script comprenait des documents pédagogiques dans chaque fonction, un score CVSS fou qui ne correspondait à aucune base de données publique, des menus d'aide détaillés et une structure Python de manuel caractéristique de la sortie des LLM.
Un attaquant humain expérimenté n’écrit pas comme ça. Les chercheurs du GTIG ont conclu avec une grande confiance qu'un modèle de langage avait été utilisé pour découvrir et assembler l'exploit. Google a exclu Gemini, mais également Mythos, le modèle Anthropic que l'entreprise a retenu précisément en raison de ses capacités d'analyse de vulnérabilité.
Le contexte qui amplifie la menace
Le jour zéro documenté n’est pas un cas isolé. Le même rapport précise que le groupe nord-coréen APT45 envoie des milliers d'invites automatisées qui analysent les CVE connus et valident les exploits en série.
Les opérateurs liés à la Chine utilisent un plugin Claude appelé « wooyun-legacy » qui intègre une base de données de plus de 85 000 vulnérabilités réelles collectées par la plateforme chinoise WooYun entre 2010 et 2016, dans le but que le modèle raisonne comme un expert en sécurité expérimenté plutôt que comme un réviseur de code générique.
Le GTIG a également documenté un malware Android autonome, PROMPTSPY, qui utilise l'API Gemini pour naviguer dans les interfaces utilisateur en temps réel et exécuter des actions sans supervision humaine.
Les données les plus pertinentes pour comprendre l'ampleur du problème proviennent de M-Trends 2026, le rapport annuel de Mandiant : le temps moyen d'exploitation des vulnérabilités est de moins sept jours. Autrement dit, les attaques se produisent en moyenne une semaine avant l’apparition du correctif.
La course qui a déjà commencé
Google n'a pas publié ce rapport uniquement pour documenter une menace. Il a également présenté sa réponse. Big Sleep, l'agent développé par Google DeepMind et Project Zero, recherche de manière proactive les vulnérabilités avant que les attaquants ne les trouvent, et c'est précisément son analyse qui a permis d'identifier l'activité du groupe criminel derrière ce zero-day.
CodeMender, encore en phase expérimentale, utilise les capacités de raisonnement de Gemini pour générer automatiquement le patch correspondant à chaque vulnérabilité détectée.
John Hultquist, analyste en chef chez GTIG, a été direct : « L’ère de la vulnérabilité et de l’exploitation basées sur l’IA est arrivée. »
Ce que le rapport ne répond pas, c'est si la vitesse à laquelle l'IA intensifie les attaques peut être comparée à la vitesse à laquelle elle intensifie les défenses. Cette course vient de commencer et le premier marqueur vient d'apparaître sur le plateau.
-Nyrie