Le piratage alimenté par l'IA est devenu une menace à l'échelle industrielle, selon Google

En seulement trois mois, le piratage alimenté par l'IA est passé d'un problème naissant à une menace à l'échelle industrielle, selon un rapport de Google.

Les conclusions du groupe de renseignement sur les menaces de Google s'ajoutent à une discussion mondiale de plus en plus intense sur la manière dont les modèles d'IA les plus récents sont extrêmement doués pour le codage – et deviennent des outils extrêmement puissants pour exploiter les vulnérabilités dans un large éventail de systèmes logiciels.

Il constate que les groupes criminels, ainsi que les acteurs liés à des États de Chine, de Corée du Nord et de Russie, semblent utiliser largement des modèles commerciaux – y compris Gemini, Claude et des outils d'OpenAI – pour affiner et intensifier les attaques.

« Il y a une idée fausse selon laquelle la course aux vulnérabilités de l'IA est imminente. La réalité est qu'elle a déjà commencé », a déclaré John Hultquist, analyste principal du groupe.

« Les acteurs de la menace utilisent l'IA pour augmenter la vitesse, l'échelle et la sophistication de leurs attaques. Cela leur permet de tester leurs opérations, de persister contre les cibles, de construire de meilleurs malwares et d'apporter de nombreuses autres améliorations. »

Le mois dernier, la société d'IA Anthropic a refusé de publier l'un de ses modèles les plus récents, Mythos, après avoir affirmé qu'il possédait des capacités extrêmement puissantes et représentait une menace pour les gouvernements, les institutions financières et le monde en général s'il tombait entre de mauvaises mains.

Plus précisément, Anthropic a déclaré que Mythos avait trouvé des vulnérabilités zero-day dans « tous les principaux systèmes d'exploitation et tous les principaux navigateurs Web » – le terme désignant une faille dans un produit inconnue auparavant de ses développeurs.

La société a déclaré que ces découvertes nécessitaient « une action défensive coordonnée substantielle dans toute l'industrie ».

Le rapport de Google a cependant révélé qu'un groupe criminel était récemment sur le point d'exploiter une vulnérabilité zero-day pour mener une campagne de « masse exploitation » – et que ce groupe semblait utiliser un grand modèle linguistique d'IA (LLM) qui n'était pas Mythos.

Le rapport a également révélé que des groupes « expérimentaient » avec OpenClaw, un outil d'IA devenu viral en février pour offrir à ses utilisateurs la possibilité de confier de gros morceaux de leur vie à un agent d'IA sans garde-fous et avec une tendance malheureuse à supprimer massivement les boîtes de réception d'e-mails.

Steven Murdoch, professeur d'ingénierie de la sécurité à l'University College London, a déclaré que l'outil d'IA pourrait aider le côté défensif en cybersécurité – ainsi que les pirates.

« C'est pourquoi je ne panique pas. En général, nous avons atteint un stade où l'ancienne méthode de découverte de bugs a disparu, et tout sera désormais assisté par LLM. Il faudra un peu de temps avant que les conséquences de cela ne soient dissipées », a-t-il déclaré.

Cependant, si l'IA aide les hackers ambitieux à atteindre leurs objectifs de productivité, des doutes subsistent quant à savoir si elle stimule l'économie au sens large.

L'Ada Lovelace Institute (ALI), un organisme indépendant de recherche sur l'IA, a mis en garde contre les hypothèses d'un coup de pouce de plusieurs milliards de livres à la productivité du secteur public grâce à l'IA. Le gouvernement britannique a estimé un gain de 45 milliards de livres en économies et en avantages de productivité grâce à l'investissement du secteur public dans les outils numériques et l'IA.

Dans un rapport publié lundi, l'ALI a déclaré que la plupart des études sur les augmentations de productivité liées à l'IA faisaient référence à des gains de temps ou à des réductions de coûts, mais n'examinaient pas les résultats tels que de meilleurs services ou un bien-être accru des travailleurs.

D'autres aspects problématiques de ces recherches incluent : la question de savoir si les projections d'efficacité liées à l'IA dans un lieu de travail réussissent réellement dans le monde réel ; les chiffres principaux masquant des résultats variables pour l'utilisation de l'IA dans différentes tâches ; et le fait de ne pas tenir compte de l'impact sur l'emploi dans le secteur public et la prestation de services.

« Les estimations de productivité qui façonnent les décisions gouvernementales majeures concernant l'IA reposent parfois sur des hypothèses non testées et s'appuient sur des méthodologies dont les limites ne sont pas toujours appréciées par ceux qui utilisent les chiffres dans la pratique », indique le rapport de l'ALI.

« Le résultat est un décalage entre la confiance avec laquelle les affirmations de productivité sont présentées et la solidité des preuves qui les sous-tendent. »

Les recommandations du rapport incluent : encourager les futures études à refléter l'incertitude quant à l'impact de la technologie ; s'assurer que les ministères mesurent l'impact des programmes d'IA « dès le départ » ; et soutenir des études à plus long terme qui mesurent les gains de productivité sur des années plutôt que sur des semaines.