Cybersécurité : un pirate utilise l’IA pour attaquer 1 200 sites web, sans presque rien faire

Le pirate informatique qui travaille seul dans une pièce sombre, entouré de canettes de boissons énergisantes et de trois écrans couverts de lignes de code vertes, va peut-être devoir revoir son plan de carrière. Désormais, il peut déléguer une bonne partie du travail à une intelligence artificielle. Et visiblement, certains ont déjà compris comment transformer cette idée en véritable petite entreprise criminelle.

Une enquête publiée ce 19 octobre 2026 révèle qu’un pirate a utilisé des agents d’intelligence artificielle pour tenter de pénétrer plus de 1 200 sites web. Plus de 100 organisations auraient été compromises, parmi lesquelles des entreprises connues comme Deere, SharkNinja et Cummins. Le tout avec relativement peu d’interventions humaines. Le hacker n’a pas forcément besoin d’être un génie du clavier : il lui suffit de donner les bonnes instructions à ses assistants numériques et de les laisser travailler.

Des robots qui cherchent les failles pendant que leur patron prend un café

Le principe est différent de celui d’un chatbot classique. Une IA conversationnelle répond à une question. Un agent IA, lui, peut enchaîner plusieurs actions pour atteindre un objectif : examiner un site, rechercher des faiblesses, tester des pistes et adapter sa stratégie lorsque la première tentative échoue.

Dans cette affaire, les agents auraient notamment exploré des infrastructures associées aux sites visés, découvert des interfaces accessibles depuis Internet et exploité certaines vulnérabilités pour exécuter des commandes sur des serveurs.

Le chercheur en cybersécurité à l’origine de cette découverte estime que la campagne aurait coûté environ 5 000 dollars en utilisation de modèles d’IA, soit approximativement 50 dollars par intrusion réussie. Les tentatives les plus fructueuses auraient demandé autour de 23 heures de travail automatisé.

Attention toutefois aux raccourcis : les 1 200 sites correspondent aux cibles visées, pas à 1 200 piratages réussis. Et l’étendue des données éventuellement dérobées n’a pas pu être établie. Certaines entreprises ont indiqué avoir pris des mesures correctives, tandis que d’autres enquêtaient encore sur les faits rapportés.

Cela reste néanmoins préoccupant. Car l’IA ne se contente plus de proposer du code à un pirate qui sait exactement quoi en faire. Elle peut désormais contribuer à une chaîne d’actions relativement complexe, avec beaucoup moins de supervision qu’auparavant.

Après les frigos, les bornes et les données : voici les pirates assistés par IA

Sur Tinynews, nous avons déjà évoqué plusieurs visages de cette cybersécurité qui part parfois en sucette. Les frigos de supermarchés touchés par des attaques nous ont rappelé qu’un équipement apparemment banal peut devenir une cible. Nous avons aussi parlé de centaines de systèmes frigorifiques britanniques accessibles depuis Internet. Une nuance importante : être exposé en ligne ne signifie pas automatiquement avoir été piraté.

Même constat avec les bornes de recharge électrique. Derrière leur apparence relativement sage se cachent des logiciels, des connexions réseau et des systèmes de gestion qui peuvent présenter des failles. Et lorsqu’une vulnérabilité existe, le problème ne se limite pas nécessairement à un ordinateur posé sur un bureau.

Nous avons également abordé les risques liés aux invitations de calendrier piégées et les incidents concernant des systèmes d’IA, notamment l’affaire impliquant des agents d’OpenAI et la plateforme Hugging Face. Dans ce dernier cas, OpenAI a reconnu que des agents utilisés lors d’évaluations de cybersécurité avaient contourné certaines protections et compromis des systèmes internes ainsi que des systèmes de Hugging Face.

Ces situations sont différentes et ne doivent pas être confondues. Mais elles illustrent un même enjeu : des systèmes connectés, parfois complexes, peuvent être vulnérables lorsque leurs protections ne suivent pas le rythme des capacités techniques.

Le problème n’est pas que l’IA soit magique

Inutile d’imaginer une intelligence artificielle devenue soudainement omnipotente. Les agents ne découvrent pas systématiquement des failles, ne réussissent pas toutes leurs attaques et restent dépendants des outils, des accès et des systèmes qu’ils peuvent atteindre.

Par contre, ils peuvent permettre à un individu de multiplier les tentatives, d’explorer davantage de pistes et d’automatiser des opérations qui demandaient auparavant beaucoup de temps et de compétences. C’est précisément ce qui inquiète les spécialistes : une partie du travail nécessaire pour mener une attaque devient plus accessible et plus facile à industrialiser.

Pour les entreprises, la réponse reste assez terre à terre : corriger rapidement les vulnérabilités, limiter les accès, surveiller les activités inhabituelles et éviter de laisser des interfaces sensibles exposées sur Internet. L’IA peut aider les défenseurs à détecter des failles, mais elle peut aussi donner davantage de moyens à ceux qui cherchent à les exploiter.

Le véritable changement n’est donc pas que les pirates ont remplacé leur clavier par un robot. C’est qu’un seul pirate peut désormais disposer d’une petite équipe numérique capable de travailler pendant des heures, sans réclamer de salaire ni même une pause-café.

Et contrairement à votre collègue qui promet de terminer son dossier avant vendredi, ces assistants-là peuvent continuer à chercher des failles toute la nuit. C’est bien là le problème.