On avait promis que l’intelligence artificielle allait nous aider à écrire nos mails, résumer nos réunions et expliquer pourquoi notre imprimante refuse obstinément de fonctionner le lundi matin. Elle vient visiblement de découvrir une autre carrière : hacker.
Et cette fois, ce n’est plus vraiment de la science-fiction. Deux affaires révélées cette semaine montrent que les agents d’IA commencent à être capables de mener des opérations informatiques suffisamment autonomes pour pénétrer de véritables systèmes.
Google vient de confirmer une histoire assez savoureuse : lors d’un test de cybersécurité réalisé en mai par la société Irregular, Gemini a réussi à accéder aux systèmes protégés de trois entreprises réelles.
Dans un cas, l’IA a tout simplement deviné des mots de passe. Dans deux autres, elle a trouvé des identifiants présents dans des dépôts accessibles publiquement. Le problème est que ces entreprises n’étaient pas censées être de véritables cibles : Gemini devait travailler dans un environnement de test.
Google explique que Gemini s’est arrêté lorsqu’il a compris qu’il avait affaire à de véritables organisations et affirme que les entreprises concernées ont été prévenues.
C’est rassurant, évidemment. Enfin, autant que puisse l’être une phrase contenant « notre intelligence artificielle vient de pirater trois entreprises, mais elle s’est arrêtée toute seule ».
Quelques jours auparavant, une équipe de chercheurs en cybersécurité avait utilisé Claude pour exploiter une vulnérabilité et atteindre l’environnement interne d’OpenAI.
Les chercheurs de Hacktron AI travaillaient dans le cadre du programme de bug bounty d’OpenAI. En combinant plusieurs failles, ils ont réussi à prendre le contrôle de comptes ChatGPT appartenant notamment à des employés d’OpenAI, puis à atteindre l’environnement logiciel de l’entreprise.
Le détail qui fait particulièrement réfléchir concerne la vitesse d’exécution. Une version précédente de Claude avait eu beaucoup de difficultés à produire un exploit fonctionnel. Après la sortie d’Opus 5, le même problème a été soumis au modèle et celui-ci a réussi en quelques heures.
Les chercheurs ont évidemment signalé les failles et OpenAI les a corrigées. Ils ont également reçu une récompense de 6.500 dollars.
Autrement dit, les hackers ont trouvé une faille chez OpenAI avec l’aide de l’IA d’un concurrent, puis OpenAI leur a donné de l’argent pour les remercier de l’avoir trouvée. Dans la Silicon Valley, même les cambriolages ressemblent désormais à des réunions commerciales.
Le plus inquiétant n’est finalement pas qu’une IA puisse trouver une faille. Les chercheurs en sécurité savent déjà faire cela depuis longtemps.
Ce qui change, c’est la quantité de travail que l’IA peut désormais effectuer seule.
Un agent peut analyser du code, rechercher des informations publiques, identifier des identifiants exposés, essayer différentes approches et enchaîner plusieurs opérations sans qu’un humain lui dicte chaque étape.
Anthropic indique d’ailleurs avoir observé une progression des usages malveillants de Claude dans plusieurs domaines, notamment les opérations cyber. L’entreprise explique que l’IA permet surtout aux attaquants d’aller plus vite, d’agir à plus grande échelle et avec moins de ressources.
Et c’est probablement là que se trouve le véritable changement de génération.
Imaginez un pirate qui ne doit plus comprendre parfaitement Linux, Python, les réseaux, les failles web et les systèmes d’authentification. Il lui suffit potentiellement de donner un objectif à un agent suffisamment capable et de le laisser chercher.
Le problème n’est donc plus seulement de savoir si l’IA sait pirater.
La question devient : combien de compétences faut-il encore posséder pour lui demander de le faire ?
Pour l’instant, ces affaires se sont déroulées dans des contextes contrôlés ou avec des chercheurs de sécurité, et les systèmes concernés ont été corrigés. Il ne s’agit donc pas d’une armée de robots qui parcourt Internet à la recherche de victimes.
Mais une frontière vient clairement de bouger. L’IA devait nous voler nos emplois. Elle commence finalement par vouloir voler nos identifiants. Et quelque part, le service informatique vient probablement de demander une augmentation.
Garmin propose énormément de montres de sport, de la plus simple à la plus complète.…
Il fallait bien que cela arrive un jour. Après avoir transformé le diesel en objet…
Il y a des phénomènes que les adultes regardent avec perplexité, un peu comme lorsqu’un…
Il y a des projets d’infrastructure dont on entend parler à la télévision, que l’on…
Apple avait déjà transformé l’iPhone 17 Pro en véritable machine de guerre, ce qui posait…
Après des années à regarder Samsung plier des smartphones dans tous les sens, Apple a…
