// CLUBIC — INTELLIGENZA ARTIFICIALE
Le scénario catastrophe d'une IA qui pirate un pays entier : "Techniquement, rien ne l'empêche", alerte le monde cyber
Une intelligence artificielle peut-elle mener seule une cyberattaque ? Depuis l'intrusion d'agents d'OpenAI chez Hugging Face, la question n'a plus rien de théorique. Six experts ont mesuré jusqu'où un agent IA peut déjà aller.
À force de prendre connaissance d'actualités toujours plus inquiétantes sur l'essor et les dérives de l'intelligence artificielle, beaucoup se demandent si une IA pourrait pirater seule une entreprise, voire faire tomber un pays entier ? D'autres, amateurs de Terminator, feront le parallèle avec Skynet. Nous avons profité de notre couverture des Assises de la cybersécurité de Monaco pour interroger directement ou recueillir le témoignage de responsables de Sekoia, Check Point, Illumio, KnowBe4, DataDome et SNCF Connect & Tech, à ce sujet. Le constat est plutôt partagé. Oui, l'IA a fait entrer les cyberattaques dans une autre dimension de vitesse, mais derrière les machines, on trouve encore le plus souvent un humain, toujours le facteur X.
Il y a quelques années encore, les entreprises avaient le temps de voir venir. En 2018, rappelle Adrien Merveille, directeur technique France de Check Point, il s'écoulait en moyenne un peu plus de deux ans entre la découverte d'une faille et les premières traces de son exploitation par des pirates. Aujourd'hui, l'attaque devance parfois la publication même de la faille. « On est en négatif dans le temps », résume-t-il assez justement. Selon lui, l'agence américaine de cybersécurité, la CISA, aurait même renoncé à référencer les failles les moins graves, faute de pouvoir suivre le rythme. Ce que l'IA a « fondamentalement changé », c'est donc « la vitesse d'exploitation des vulnérabilités ». La veille de notre entretien, le hacker éthique Clément Domingo en a fait la démonstration en direct. En vingt minutes, sans connaissances poussées en cyber ou en réseau pour son expérience, il a obtenu grâce à l'IA un chemin d'attaque qui fonctionne.
Même constat chez Francis Bergey, le RSSI de SNCF Connect & Tech. Lors d'une conférence donnée avec AWS, à laquelle nous avons pu assister, il a cité des piratages qui prenaient « avant trois semaines avec des équipes de Red Team », ces spécialistes chargés d'attaquer une entreprise pour éprouver ses défenses, et qui « peuvent se faire en une trentaine d'heures avec des agents IA », comme YesWeHack le montre régulièrement ces derniers temps. La machine, elle, ne sera jamais fatiguée. « Une IA va être extrêmement déterminée. On a besoin de fermer toutes les portes, toutes les fenêtres. » Le RSSI voit ici un défi pour la détection. Si l'intrusion n'est repérée qu'au bout de trois semaines, qu'elle ait duré trois semaines ou 30 heures, « ça ne va pas changer grand-chose ».
En plus, et c'est un peu l'extension du problème, l'intelligence artificielle ne se contente pas d'aller plus vite, elle orchestre. Le phishing artisanal, truffé de fautes d'orthographe et de logos approximatifs, c'est presque de l'histoire ancienne. Le directeur Europe du Sud de KnowBe4, Florian Malecki, décrit des attaques préparées à partir de tout ce que la cible a laissé traîner sur le web et les réseaux sociaux, puis menées sur plusieurs fronts, admettons un e-mail impeccable, un message WhatsApp, un appel vocal piégé, voire une vidéo truquée du PDG, le tout synchronisé pour mettre la victime sous pression. L'IA, prévient-il, « automatisera la constitution des attaques, et puis les attaques elles-mêmes ». Anthony Hervé, ingénieur avant-vente chez Illumio, voit surtout s'effondrer la barrière d'entrée. Il fallait autrefois « un groupe chevronné » pour exploiter une faille et s'introduire dans un réseau. Désormais, « il suffit d'une personne vraiment motivée », qui sait bien prompter, parler à l'IA.
Une IA peut-elle déjà frapper seule ? François Deruty, directeur des opérations de Sekoia et ancienne pointure de l'ANSSI, cite le cas Hugging Face, qui a secoué le secteur cet été. Si vous avez bonne mémoire, vous vous souvenez peut-être qu'en juillet, des modèles