Points clés à retenir sur le lien entre l'IA et la cybercriminalité

• CrowdStrike met en garde : l’IA est à la fois une cible et une arme.
• LLMJacking a effectué près de 200 000 appels API en deux minutes.
• L’IA malveillante exploite les failles plus rapidement que les défenseurs ne peuvent les corriger.

L'intelligence artificielle devient de plus en plus « un outil et une cible pour les attaquants », ont déclaré les chercheurs de CrowdStrike, obligeant les entreprises à repenser leurs stratégies défensives face à des signaux d'attaque qui dépassent largement ce que les experts en cybersécurité peuvent gérer manuellement.

Selon le rapport 2026 Threat Hunting Report de CrowdStrike, les mêmes modèles d’IA, outils et flux de travail qui offrent aux entreprises des opportunités de croissance et de productivité sont massivement détournés à des fins malveillantes par les cybercriminels.

À mesure que les réseaux d’entreprise s’étendent, que de nouveaux terminaux sont ajoutés et que de nouveaux modèles linguistiques à grande échelle (LLM) sont déployés pour gérer diverses charges de travail, les organisations créent également, sans le savoir, des surfaces d’attaque « non protégées » plus vastes qui peuvent être exploitées pour voler des données, obtenir l’accès à des modèles d’IA, mener des activités de surveillance et, potentiellement, même détourner de la puissance de calcul à leurs propres fins.

« L’IA n’est pas seulement l’outil ou l’arme utilisée, c’est aussi la surface d’attaque », a commenté Adam Meyers, responsable du renseignement sur les menaces chez CrowdStrike. « Nous constatons que les acteurs malveillants adoptent réellement l’IA au même rythme que tout le monde. »

Le rapport de CrowdStrike indique que l’adoption généralisée de l’intelligence artificielle (en grande partie nouvelle et non éprouvée) augmente considérablement le volume de signaux que les défenseurs doivent analyser.

Les chasseurs de menaces de l’entreprise doivent désormais examiner 2,5 fois plus de pistes générées par des agents d’IA que de pistes identifiées manuellement, ce qui, selon CrowdStrike, « rend plus difficile pour les défenseurs de distinguer les activités malveillantes des comportements attendus liés à l’IA ».

Les alertes et signaux suspects mettent en évidence l’activité pilotée par l’IA dans le monde criminel — ainsi que la rapidité avec laquelle les attaques sont désormais menées.

CrowdStrike a donné plusieurs exemples, notamment :

Un groupe lié à la République populaire démocratique de Corée (RPDC) utilise une IA de confiance pour tenter de s’introduire dans des entreprises actives dans le domaine des cryptomonnaies et de la blockchain, en utilisant tous les moyens possibles, des CV générés par l’IA aux entretiens de recrutement « deepfake ».

Ces groupes recourent au vishing pour exfiltrer des données depuis des applications SaaS et compromettre des comptes à authentification unique.

Dans un cas documenté par les chercheurs, une attaque est passée du piratage de compte au vol de données en moins de cinq minutes.

le LLMJacking se produit lorsqu’un acteur malveillant accède aux clés ou aux identifiants utilisés pour accéder aux modèles d’IA d’une entreprise. Grâce à cet accès à ces LLM — qui sont généralement hébergés dans le cloud —, les acteurs malveillants peuvent alors voler des données et semer le chaos, par exemple en forçant le modèle à effectuer des tâches malveillantes ou nécessitant une puissance de calcul élevée, ce qui engendre des factures colossales pour la victime.

Par exemple, CrowdStrike a indiqué que, lors d’une campagne, le LLM de la victime avait été utilisé pour générer près de 200 000 requêtes API en deux minutes, « entraînant des répercussions financières et opérationnelles à grande échelle ».

Aujourd’hui, l’IA est principalement utilisée par les cybercriminels pour générer du contenu de phishing et de vishing, des charges utiles et des commandes, ce qui rationalise leurs chaînes d’attaque et leur permet potentiellement de créer des stratagèmes de phishing plus convaincants destinés à obtenir un accès initial. M. Meyers a déclaré que ces créations devenaient de plus en plus sur mesure, avec des outils personnalisés générés par l’IA et les LLM pour gérer différents scénarios de défense.

Une autre tendance préoccupante mise en évidence dans le rapport est le rétrécissement de la fenêtre dont disposent les défenseurs humains — et leurs outils — pour réagir entre la découverte d’une vulnérabilité et son exploitation.

De janvier à juin 2026, 88 % des exploits détectés par CrowdStrike ont été lancés dans les 48 heures suivant la publication d’un code de preuve de concept (PoC) public.

Certains groupes malveillants, tels que les groupes chinois Vault Panda et Genesis Panda, surveillent de très près les nouveaux bugs : ils ont développé des exploits fonctionnels pour une vulnérabilité critique dans une application web (React2Shell) dans la journée suivant sa divulgation.

Dans ces situations, l’IA joue un rôle à double tranchant. Deux des trois exploits LPE récemment divulgués, CopyFail et Fragnesia (Dirty Frag étant le troisième), ont été découverts grâce à des recherches assistées par l’IA, et le rapport indique que « les acteurs malveillants n’ont pas perdu de temps pour les intégrer à leurs opérations en cours ».

Qu'est-ce que cela signifie pour les entreprises et leurs équipes de cybersécurité ? Selon CrowdStrike, les délais de réponse vont devenir de plus en plus courts — sans doute en partie à cause de l'utilisation de l'IA à des fins malveillantes.

« Bien que cette tendance soit antérieure à l’émergence des modèles d’IA de pointe, la mise en œuvre de ces systèmes est susceptible de réduire les délais d’exploitation des vulnérabilités en accélérant leur découverte et le développement des exploits », ont déclaré les chercheurs. « Cela pourrait, à son tour, accroître la pression sur les défenseurs qui peinent déjà à suivre le rythme. »

L’IA peut servir de bouclier, mais comme l’a révélé l’étude de CrowdStrike, elle peut également être une arme.

Face à la pression exercée par l’IA, les défenseurs auront du mal à garder le contrôle et à sécuriser les réseaux et les terminaux dont ils ont la charge. L’équipe a donc recommandé aux entreprises d’adopter les pratiques suivantes :

L’IA étant désormais intégrée dans de nombreux environnements d’entreprise, les sociétés doivent appliquer les principes du « privilège minimal », protéger les identifiants liés à l’IA et surveiller toute utilisation suspecte des LLM ou toute hausse soudaine des coûts afin de réduire les risques commerciaux et opérationnels émergents.

Ce problème existait déjà avant l’IA, mais aujourd’hui, la sécurisation et la vérification des identités revêtent une importance encore plus grande.

Les organisations doivent mettre en place une authentification multifactorielle résistante au phishing, surveiller l’accès aux ressources de l’entreprise et appliquer le principe du privilège minimal aux comptes humains et non humains.

Les angles morts numériques dans la chaîne d’approvisionnement et au sein de vos propres réseaux peuvent être exploités.

La télémétrie, les logiciels de détection et d’analyse comportementale, les cycles de correctifs fréquents et les renseignements sur les menaces peuvent réduire le risque de compromission.

L’utilisation de l’IA à des fins malveillantes, qui évolue à une vitesse que nous ne pouvons égaler, oblige désormais les organisations à passer d’une approche réactive à une approche proactive en matière de sécurité.

Les investissements, le triage des menaces et la résolution des problèmes de sécurité hérités qui menacent les réseaux actuels doivent tous être traités rapidement.

En réduisant la surface d’attaque, vous donnerez à vos équipes le répit nécessaire pour rester à la page.