# Google détaille comment TeamPCP vole des identifiants avec l’IA > Google observe des attaques accélérées par l’IA, dont une campagne de vol d’identifiants menée par TeamPCP en moins de six heures. Type : Actualité IA · Catégorie : Tendances · Publié le 2026-09-10 · Signal IA - Order & Chaos · Secteur : Cybersécurité Source : https://www.orderchaos.eu/signal-ia/actu/google-alerte-teampcp-vole-des-identifiants-avec-lia Tags : cybersécurité, ia, menaces, logiciels libres, google, gemini --- ## En résumé - TeamPCP a mené une campagne massive de vol d’identifiants en moins de six heures. - Google suit l’usage offensif de l’IA par des groupes criminels et étatiques. - Les attaques ciblent aussi PyPI, npm, Docker Hub et les outils d’IA. **Le signal :** TeamPCP a conçu et exécuté une campagne massive de vol d’identifiants en moins de six heures avec un agent conversationnel de codage. **[Google](/signal-ia/actu/google-chrome-lia-gemini-automate-les-formulaires) alerte** sur l’accélération des attaques assistées par l’intelligence artificielle. Le groupe Google Threat Intelligence Group affirme que des acteurs criminels et étatiques automatisent désormais leurs opérations. TeamPCP, aussi appelé UNC6780, illustre cette évolution. Selon les chercheurs de Google, ce groupe a utilisé un agent conversationnel de codage, une instruction et des consignes d’agent. Il a ainsi planifié, construit et exécuté une campagne massive de vol d’identifiants en moins de six heures. Cette vitesse permet à des groupes moins dotés d’opérer à une échelle habituellement associée à des organisations mieux financées, notamment celles liées à des États. Google décrit cette dynamique comme une boucle continue entre offensives et défenses automatisées. **Une boucle offensive** s’est installée autour des systèmes d’IA d’entreprise. Les premières attaques reposaient notamment sur l’injection d’instructions adverses dans ces systèmes. Les attaquants développent maintenant leurs propres outils d’IA. Les entreprises ajoutent aussi des défenses fondées sur l’IA, ce qui élargit leur surface d’attaque. TeamPCP combine cette évolution avec des cibles de la chaîne logicielle ouverte. Depuis mars 2026, le groupe a compromis des cibles comprenant PyPI, npm et Docker Hub. Il a employé plus d’une demi-douzaine de méthodes pour viser ou exploiter les outils d’IA et les pratiques de développement logiciel. Certaines méthodes sont intégrées à son logiciel voleur d’identifiants Dustmaker. ## TeamPCP accélère les compromissions **Des outils publics** renforcent la capacité de reproduction des attaques. TeamPCP a développé Shai-Hulud et Miasma, tous deux accessibles publiquement. Le groupe Google Threat Intelligence estime que la publicité autour de ces opérations, leur réussite apparente et la diffusion de leurs logiciels malveillants pourraient encourager d’autres acteurs à reproduire ces tactiques. Le cas TeamPCP ne constitue pas un exemple isolé dans le suivi de Google. Le groupe indique que de nombreux acteurs utilisent l’IA comme multiplicateur de force. Cette utilisation réduit le temps nécessaire à certaines étapes, depuis la reconnaissance jusqu’au développement de capacités offensives. Elle associe donc automatisation, vitesse accrue et déploiement à plus grande échelle. **Des groupes étatiques** utilisent également l’IA durant plusieurs phases d’attaque. En juin 2026, Google a décrit une campagne d’espionnage pluriannuelle attribuée à UNC6508, un acteur lié à la Chine. Cette campagne visait des institutions universitaires, médicales et de [recherche](/signal-ia/actu/barret-zoph-devient-vice-president-de-la-recherche-chez-google) militaire en Amérique du Nord. Le groupe chinois Basin Castle interroge des modèles de langage pour profiler des cibles prioritaires. Il les utilise aussi pour rédiger et traduire des leurres d’ingénierie sociale localisés. Le groupe peut enfin produire des logiciels malveillants personnalisés obfusqués et résoudre des commandes post-compromission. Calanque Ion, aussi appelé APT42, a utilisé l’IA générative, dont Gemini, pour identifier des adresses électroniques et conduire des recherches en sources ouvertes. ## Google renforce ses défenses **D’autres usages** apparaissent chez plusieurs acteurs suivis par Google. Ravine Castle, aussi appelé APT24, utilise [Gemini](/signal-ia/actu/gemini-36-flash-lia-boostee-sans-parametres-classiques) durant la collecte de renseignements, le développement de capacités d’attaque et les opérations d’influence. Le groupe s’en est également servi pour générer de la propagande politiquement chargée. Il a recherché des méthodes pour anonymiser des fuites de données avant leur diffusion à des journalistes et influenceurs. Midnight Neptune, aussi appelé UNC1069, est lié à la Corée du Nord. Google observe que cet acteur intègre progressivement l’IA dans ses cycles opérationnels pour soutenir des vols de cryptomonnaies. Ces cas montrent des usages distincts, mais répartis sur plusieurs étapes des opérations offensives. **Google bloque** les projets et comptes associés aux opérations adverses lorsqu’il les identifie. L’entreprise renforce aussi ses modèles contre les usages abusifs. Face aux attaques dites de distillation, elle a déployé des défenses en temps réel. Ces mécanismes cherchent à dégrader les performances de modèles « étudiants » non autorisés et à détecter les tentatives de clonage d’une logique propriétaire. Google considère toutefois que la recherche de vulnérabilités et la création de logiciels malveillants restent des capacités centrales de l’IA offensive. Les vulnérabilités corrigées sont remplacées par d’autres dans de nouveaux logiciels. Les groupes ciblés peuvent donc se déplacer, adapter leurs méthodes et poursuivre leurs opérations. [Lire l’analyse de Google](https://cloud.google.com/blog/topics/threat-intelligence/from-prompting-to-autonomy-the-evolution-of-adversarial-ai) et [le rapport de SecurityWeek](https://www.securityweek.com/ai-is-giving-lesser-resourced-attackers-nation-state-level-reach-google-warns/).