Google alerte sur l’IA qui automatise les cyberattaques

Google Threat Intelligence Group observe une progression de l’IA agentique et de l’automatisation dans les cyberattaques. Le groupe a publié un rapport consacré à cette évolution. Des acteurs liés à des États et des groupes criminels utilisent désormais l’IA pour accélérer leurs opérations. Ils cherchent de nouvelles victimes, exploitent des vulnérabilités et testent des méthodes inédites. Les hackers ciblent aussi des modèles d’IA propriétaires pour voler des identifiants. Ils tentent ensuite de prendre le contrôle des environnements infonuagiques d’organisations compromises. John Hultquist, analyste en chef de GTIG, estime que tous les acteurs malveillants utilisent l’IA d’une manière ou d’une autre. Lire l’analyse de Cybersecurity Dive

Des opérations plus automatisées accélèrent plusieurs étapes d’une attaque. Les chercheurs citent une campagne liée à la Chine, menée par un groupe déjà connu pour viser des entités gouvernementales. Ce groupe a construit une chaîne automatisée d’exploitation et de post-exploitation assistée par l’IA. Il s’est appuyé sur des outils de développement fondés sur l’IA. Un outil nommé CC Switch lui permettait d’utiliser plusieurs grands modèles de langage. La chaîne interrogeait notamment Claude, Gemini et Codex. Ces modèles ont servi à produire des scripts d’exploitation personnalisés. Ils ont aussi contribué à créer des leurres d’hameçonnage ciblé. L’automatisation couvre donc la préparation technique et la manipulation des victimes.

Des groupes adaptent leurs méthodes

Basin Castle, groupe lié à la Chine, a utilisé des modèles de langage pour profiler des cibles à forte valeur. Les modèles l’ont aidé à concevoir des leurres d’ingénierie sociale adaptés aux environnements locaux. Ils ont également servi à rédiger des logiciels malveillants personnalisés. Un groupe lié à l’Iran, suivi sous le nom de Calanque Ion, a employé de l’IA générative, notamment Gemini, pendant ses opérations de reconnaissance. Il a ciblé des adresses électroniques et produit des leurres localisés. Le groupe a aussi traduit des contenus dans plusieurs langues locales. Enfin, il a tenté de procéder à l’ingénierie inverse de logiciels. Ces usages étendent l’IA au-delà de la seule recherche de vulnérabilités.

Les modèles d’IA deviennent eux-mêmes des cibles. Google décrit des campagnes de distillation visant à extraire la logique et les capacités de raisonnement de ses modèles. Les chercheurs estiment que certaines campagnes coordonnées dépassent 100 millions de requêtes. Ces requêtes cherchent également à récupérer les processus de raisonnement internes des modèles. Les attaquants déploient en parallèle des infrastructures relais. Celles-ci facilitent des attaques automatisées à grande échelle. Des hackers envoient aussi des requêtes pour obtenir des identifiants compromis et des comptes frauduleux. Ces ressources peuvent les aider à contourner les contrôles de sécurité standards. Google avait déjà documenté l’usage de modèles avancés dans des campagnes malveillantes.

Google alerte sur l’échelle des attaques

John Hultquist souligne une accélération liée à l’usage agentique de l’IA. Selon l’analyste de GTIG, cette technologie crée un adversaire plus rapide et capable d’opérer à grande échelle. Les chercheurs considèrent que les défenseurs doivent s’attendre à voir l’IA jouer un rôle dans les futures attaques. Le rapport relie cette évolution à plusieurs familles d’activités. Les groupes étudiés l’emploient pour la reconnaissance, l’ingénierie sociale, la création de logiciels malveillants et l’exploitation technique. Ils ciblent aussi les modèles et les environnements infonuagiques. Le rapport de Google Threat Intelligence détaille cette évolution vers davantage d’autonomie.