CrowdStrike : l'IA, arme et cible des cyberattaques

L'IA, un double tranchant pour la cybersécurité

L'intelligence artificielle (IA) est désormais perçue comme un outil à double usage dans le domaine de la cybersécurité : elle est à la fois une arme puissante pour les cybercriminels et une cible de choix pour leurs attaques. Cette dualité oblige les entreprises à repenser leurs stratégies de défense pour faire face à des menaces de plus en plus sophistiquées et difficiles à gérer manuellement.

Selon le récent Rapport de chasse aux menaces 2026 de CrowdStrike, publié ce lundi, les mêmes technologies d'IA qui promettent d'améliorer la productivité des entreprises sont également exploitées par des cybercriminels à grande échelle. Ces derniers utilisent ces outils pour mener des attaques plus efficaces et plus rapides.

Avec l'expansion continue des réseaux d'entreprise, l'ajout de dispositifs de point de terminaison et le déploiement de nouveaux modèles de langage de grande taille (LLM), les organisations créent sans le vouloir des surfaces d'attaque plus vastes. Ces surfaces peuvent être exploitées pour voler des données, accéder aux modèles d'IA, mener des opérations de surveillance et même détourner des ressources informatiques pour des fins malveillantes.

L'IA : Une arme et une cible

Adam Meyers, responsable de l'intelligence des menaces chez CrowdStrike, souligne que l'IA n'est pas seulement un outil ou une arme, mais aussi une surface d'attaque en elle-même. Les acteurs malveillants adoptent l'IA aussi rapidement que les entreprises, ce qui complique la tâche des défenseurs.

Le rapport indique que l'adoption massive de l'IA, souvent nouvelle et non éprouvée, augmente considérablement le volume de signaux que les équipes de sécurité doivent analyser. Il y a désormais 2,5 fois plus de pistes générées par des agents d'IA que par des méthodes manuelles, rendant plus difficile la distinction entre activité malveillante et comportement normal alimenté par l'IA.

Les alertes et signaux suspects mettent en lumière l'utilisation de l'IA dans le monde criminel, où les attaques sont menées à une vitesse impressionnante. CrowdStrike cite plusieurs exemples :

• Famous Chollima : Ce groupe, lié à la Corée du Nord, utilise des environnements et outils d'IA de confiance pour cibler les entreprises de cryptomonnaies et de blockchain, en recourant à des CV générés par IA et des entretiens en deepfake.

• Cordial Spider et Snarky Spider : Ces groupes utilisent le vishing pour extraire des données d'applications SaaS et compromettre des comptes à authentification unique. Une attaque documentée a permis de passer de la prise de contrôle de compte au vol de données en moins de cinq minutes.

• LLMJacking : Ce terme désigne l'accès non autorisé à des clés ou identifiants permettant d'accéder aux modèles d'IA d'une entreprise. Les cybercriminels peuvent alors voler des données ou forcer le modèle à exécuter des tâches coûteuses, entraînant des factures élevées pour la victime. Par exemple, une campagne a utilisé le LLM de la victime pour générer près de 200 000 requêtes API en deux minutes, causant un impact financier et opérationnel majeur.

Réduction des fenêtres de vulnérabilité

Le rapport met également en évidence une tendance inquiétante : la réduction du temps dont disposent les défenseurs pour réagir entre la découverte d'une vulnérabilité et son exploitation. De janvier à juin 2026, 88 % des exploits détectés par CrowdStrike ont été lancés dans les 48 heures suivant la publication d'un code de preuve de concept (PoC).

Certains groupes de menaces, tels que Vault Panda et Genesis Panda de Chine, surveillent de près les nouvelles failles. Ils ont développé des exploits fonctionnels pour une vulnérabilité critique dans une application web (React2Shell) en seulement 24 heures après sa divulgation.

Dans ces cas, l'IA joue un rôle crucial. Deux exploits récemment découverts, CopyFail et Fragnesia (avec Dirty Frag comme troisième), ont été identifiés grâce à des recherches assistées par IA. Le rapport souligne que les cybercriminels n'ont pas tardé à les intégrer dans leurs opérations.

Conséquences pour les entreprises et leurs équipes de cybersécurité

CrowdStrike prévient que les délais de réponse vont continuer à se raccourcir, en grande partie à cause de la weaponization de l'IA. Les chercheurs estiment que l'implémentation de systèmes d'IA avancés pourrait accélérer la découverte de vulnérabilités et le développement d'exploits, augmentant ainsi la pression sur les défenseurs déjà surchargés.

Mesures à prendre

Bien que l'IA puisse agir comme un bouclier, elle peut également être utilisée comme une arme, comme le montre la recherche de CrowdStrike. Face à la pression croissante exercée par l'IA, les défenseurs doivent redoubler d'efforts pour sécuriser les réseaux et les points de terminaison.

CrowdStrike recommande aux entreprises d'adopter les pratiques suivantes :

• Sécuriser les applications d'IA et les LLM : Avec l'IA intégrée dans de nombreux environnements d'entreprise, il est crucial d'appliquer des principes de moindre privilège, de protéger les identifiants liés à l'IA et de surveiller l'utilisation suspecte des LLM ou les pics de coûts pour réduire les risques.

• L'identité comme surface d'attaque principale : Bien que ce problème ait précédé l'IA, sécuriser et vérifier les identités est désormais plus important que jamais. Les organisations doivent mettre en place une authentification multifactorielle résistante au phishing, surveiller l'accès aux ressources d'entreprise et appliquer le moindre privilège aux comptes humains et non humains.

• Traiter les angles morts interdomaines et sécuriser la chaîne d'approvisionnement logicielle : Les angles morts numériques dans la chaîne d'approvisionnement et au sein des réseaux peuvent être exploités. La télémétrie, la détection comportementale et les logiciels d'analyse, des cycles de patch fréquents et l'intelligence des menaces peuvent réduire le risque de compromission.

• Adopter une approche proactive : La weaponization de l'IA, se déplaçant à une vitesse que nous ne pouvons pas suivre, oblige les organisations à passer d'une posture de sécurité réactive à une posture proactive. L'investissement, le triage des menaces et la résolution des problèmes de sécurité hérités doivent être traités rapidement pour réduire la surface d'attaque et donner aux équipes l'espace nécessaire pour suivre le rythme.