Google Threat Intelligence a publié son rapport AI Threat Tracker : Advances in threat actor usage of IA tools, mettant en lumière la manière dont les acteurs étatiques et les cybercriminels exploitent et expérimentent l’IA tout au long du cycle d’attaque, de la phase de reconnaissance jusqu’à l’exfiltration des données.
Tribune – Les équipes de recherche révèlent également une évolution majeure du paysage des menaces et ont identifié un changement significatif survenu au cours de l’année écoulée : les adversaires ne se contentent plus d’utiliser l’intelligence artificielle (IA) pour accroître leur productivité, ils déploient désormais de nouveaux logiciels malveillants alimentés par l’IA dans des opérations actives. Cette tendance marque une nouvelle phase opérationnelle dans l’abus de l’IA, caractérisée par l’émergence d’outils capables d’adapter leur comportement en cours d’exécution.
Vous trouverez ci-dessous les principales conclusions de cette analyse. N’hésitez pas à revenir vers nous si vous souhaitez approfondir le sujet et échanger avec un expert Google Cloud Security.
-
Première utilisation de l’IA « Just-in-Time » dans les logiciels malveillants : Pour la première fois, le GTIG a mis au jour des familles de malwares, notamment PROMPTFLUX et PROMPTSTEAL, qui sollicitent des modèles de langage (LLM) en cours d’exécution. Ces outils génèrent à la volée des scripts malveillants, obscurcissent leur propre code pour échapper aux dispositifs de détection et recourent à l’IA pour fabriquer à la demande des fonctions malveillantes, au lieu de les intégrer en dur dans le binaire. Si cette approche en est encore à ses débuts, elle constitue déjà une avancée majeure vers des malwares plus autonomes et adaptatifs.
-
Contournement des garde-fous par l’ingénierie sociale : Les acteurs malveillants peaufinent leurs requêtes en adoptant des prétextes d’ingénierie sociale visant à outrepasser les mécanismes de sécurité des IA. Les équipes GTIG ont observé des individus se faisant passer pour des étudiants en compétition « capture-the-flag » ou pour des chercheurs en cybersécurité afin de manipuler Gemini et obtenir des informations normalement bloquées, une tactique qui facilite la mise au point d’outils malveillants.
-
Maturité croissante du marché noir des outils IA : En 2025, le marché clandestin des outils d’IA illicites a clairement mûri. Les équipes du GTIG ont identifié de nombreuses offres d’outils multifonctionnels, destinés au phishing, à la création de malwares et à la recherche de vulnérabilités, qui abaissent significativement la barrière d’entrée pour des acteurs moins sophistiqués.
-
Renforcement continu du cycle d’attaque : Des acteurs soutenus par des États, notamment la Corée du Nord, l’Iran et la République populaire de Chine (RPC), détournent toujours Gemini pour optimiser l’ensemble de leurs opérations. Ils exploitent l’IA de la phase de reconnaissance et de la création d’appâts de phishing jusqu’au développement des infrastructures de commande et contrôle (C2) et à l’exfiltration de données.
