Google stoppe le premier zero-day conçu avec l'IA

Pour la première fois, Google a détecté une faille zero-day mise au point par des cybercriminels avec l'aide de l'intelligence artificielle. La menace était destinée à une cyberattaque massive et coordonnée, stoppée avant son déclenchement.

Une menace pour les administrateurs

Le Google Threat Intelligence Group (GTIG) a repéré une menace sérieuse émanant d'un groupe de cybercriminels qui comptaient exploiter une faille zero-day pour contourner l'authentification à deux facteurs. La cible : un outil open source d'administration de systèmes web, très répandu dans le secteur des entreprises. La faille aurait donné un accès complet aux systèmes des administrateurs de nombreuses organisations.

Les cybercriminels préparaient une attaque coordonnée qui aurait visé plusieurs cibles à la fois. Il ne s'agissait pas du simple développement d'un exploit, mais d'une opération complète visant une exploitation de masse. Selon le plan des attaquants, la rupture de la protection à deux facteurs aurait ouvert la porte à tous les systèmes d'administration des organisations touchées. Un tel scénario aurait pu compromettre des milliers d'entreprises.

Comment on a su que l'IA avait aidé

Dans le code source de l'exploit, les chercheurs de Google ont relevé des signes nets d'une création assistée par un réseau de neurones. L'analyse du script Python a mis au jour d'étranges artefacts, typiques des contenus générés par LLM :

• Scores CVSS hallucinés — des valeurs de gravité erronées, inventées, qui ne correspondent pas au danger réel
• Formatage structuré — le code était mis en forme comme dans un manuel, avec une régularité inhabituelle pour ce type d'exploit
• Style d'écriture étrange — une façon de commenter et de nommer les variables caractéristique des grands modèles de langage
• Logique inhabituelle — certains fragments du script contenaient une suite d'opérations bizarre, qui fonctionne mais paraît peu naturelle

Ces signes apparaissent quand un LLM génère du code pour des tâches spécialisées sans bien comprendre le contexte de sécurité ni les exigences des exploits. Un réseau de neurones peut suivre la syntaxe, mais ne saisit pas toujours la sémantique.

« Cela démontre une évolution dangereuse des cybermenaces.

Si l'IA aidait surtout auparavant dans des attaques de phishing de masse, elle aide désormais à créer des exploits sérieux et ciblés », relèvent les chercheurs de Google dans leur rapport.

Le danger d'une barrière d'entrée qui s'abaisse

C'est le premier cas documenté d'utilisation d'une IA générative pour développer un exploit zero-day. Auparavant, l'intelligence artificielle servait dans les cyberattaques, mais surtout pour automatiser les envois de phishing, créer de faux profils et faire de l'ingénierie sociale. Un exploit zero-day, c'est un tout autre niveau de danger.

La principale conséquence de cette découverte : la barrière d'entrée pour développer des cybermenaces sérieuses chute brutalement. Les cybercriminels n'ont plus besoin d'embaucher des développeurs expérimentés, connaissant l'architecture des applications web et les vulnérabilités. Il leur suffit de demander à ChatGPT, à Claude ou à un autre grand modèle de langage de les aider à écrire le code de l'exploit. Même si le code contient des erreurs (comme ces mêmes scores CVSS hallucinés), l'exploit restera fonctionnel et dangereux. Cela signifie que le nombre de cybermenaces peut augmenter fortement, car le développement devient plus accessible.

Ce que cela signifie pour les entreprises

La découverte de Google indique une accélération de tout le cycle de développement des cybermenaces. Les entreprises doivent désormais réagir encore plus vite aux nouvelles vulnérabilités et appliquer les correctifs de niveau critique. Retarder un correctif d'une semaine peut être dangereux.

Pour les grandes organisations, cela suppose d'investir non seulement dans la sécurité périmétrique, mais aussi dans la surveillance des anomalies, la détection rapide de trafic suspect à l'intérieur du réseau et la préparation aux incidents. Les exploits conçus par IA peuvent être moins sophistiqués, mais ils seront plus nombreux et apparaîtront plus vite.