L’intelligence artificielle a commencé à exécuter des tâches directement dans de véritables intrusions : exploration de réseaux, génération de commandes, analyse d’informations volées. Le Rapport de Sécurité AI 2026 de Check Point Research documente ce basculement, où les modèles passent du rôle d’assistant de l’attaquant à celui d’agent connecté à des terminaux et des outils, capable de maintenir une opération active entre deux interventions humaines.

Ce qu’il faut retenir sur les cyberattaques pilotées par IA

• Un attaquant a utilisé Claude Code et GPT-4.1 lors d’une intrusion contre neuf organismes mexicains.
• Les agents ont généré 5 317 commandes sur 34 sessions, avec un opérateur qui gardait le contrôle.
• Les détections d’injections indirectes de prompts ont été multipliées par cinq entre mars et mai.
• Les prompts d’entreprise contenant des données sensibles sont passés de 2 % à 4 %.
• Check Point a repéré des failles dans 40 % des 10 000 serveurs MCP analysés.

Le rapport ne décrit pas une IA capable de choisir ses cibles et d’attaquer sans intervention humaine. Dans les incidents étudiés, un opérateur continue de fixer les priorités, fournir des identifiants ou valider des décisions. La différence technique tient au fait que cette personne n’a plus besoin d’intervenir manuellement à chaque étape : un agent reçoit un objectif, consulte des fichiers, utilise des outils, saisit des commandes dans une console, puis examine ses résultats avant de décider de la suite. Une seule personne peut ainsi mener plusieurs lignes d’attaque en parallèle, ce qui réduit d’autant le temps disponible pour détecter et contenir l’activité.

De la génération de code à l’opération en réseau compromis

Jusqu’ici, le principal risque lié à l’IA offensive tenait à sa capacité à rédiger des messages de phishing, traduire des campagnes ou aider à écrire des malwares. Check Point affirme qu’au cours de l’année écoulée, ces modèles sont entrés dans la chaîne d’attaque en temps réel.

L’un des cas les plus marquants du rapport concerne neuf organismes publics mexicains. Un seul attaquant aurait envoyé 1 088 instructions, générant 5 317 commandes via IA lors de 34 sessions. Selon Check Point, l’opération combinait Claude Code pour l’accès et la navigation dans le réseau, et GPT-4.1 pour analyser les données recueillies et préparer la suite. Les plus de mille instructions humaines montrent que l’opérateur gardait le contrôle de l’intrusion, mais le ratio entre ordres humains et commandes générées en dit long sur ce qu’on peut désormais déléguer.

Le rapport analyse aussi VoidLink, une plateforme de commandement et contrôle d’environ 88 000 lignes de code, apparemment créée par une seule personne en moins d’une semaine avec l’aide d’un environnement de programmation basé sur IA. Les chercheurs pensaient au départ avoir affaire à un projet collaboratif étalé sur plusieurs mois, un peu comme JadePuffer, où un agent LLM avait automatisé presque toute une campagne de ransomware sans supervision continue.

Ces exemples n’éliminent pas le besoin de compétences techniques. Un modèle peut générer du code vulnérable, mal interpréter une réponse ou perdre le contrôle d’une session. L’attaquant doit toujours comprendre l’environnement et corriger les erreurs. L’IA réduit la barrière à l’entrée, elle ne la supprime pas. Pour les défenses, cela veut dire des opérations connues mais plus rapides : si reconnaissance, génération d’outils et analyse de données tournent en parallèle, une intrusion peut avancer plus vite que les processus manuels de revue, d’escalade ou d’autorisation d’une entreprise.

Sites web, documents et MCP deviennent des surfaces d’attaque

La même capacité à utiliser des outils ouvre de nouvelles failles. Un modèle qui ne fournit que du texte a une portée limitée. Un agent connecté à la messagerie, aux dépôts, aux terminaux ou aux bases de données peut agir directement, avec des conséquences bien concrètes.

Le principal risque reste l’injection indirecte de prompts. L’attaquant insère des instructions dans une page web, un document, un email, ou dans les données renvoyées par une autre application. Quand un agent traite ce contenu, il peut confondre des instructions malveillantes avec une commande légitime. Check Point a enregistré une multiplication par cinq environ des détections de charges malicieuses étendues entre mars et mai 2026. Sur le dernier mois analysé, près de 1 % des prompts observés étaient suspects, un signal que la société interprète comme la preuve d’une présence croissante d’attaques indirectes et de flux d’agents malveillants, même si la longueur d’une instruction ne suffit jamais à elle seule à prouver sa nocivité.

Le Model Context Protocol mérite une attention particulière puisqu’il connecte modèles, données et outils, une maturation déjà discutée dans notre analyse sur la discipline d’architecture qu’exige désormais le MCP. Check Point dit avoir repéré des failles de sécurité dans 40 % des 10 000 serveurs MCP analysés, avec des vulnérabilités de degrés divers, sans que toutes soient exploitées immédiatement. L’étude a aussi trouvé des fichiers de configuration de Claude Code rendus publics par erreur dans 428 des 46 500 paquets examinés, environ une fiche sur treize contenant des identifiants encore actifs, comme des clés pour des dépôts ou des services de développement.

Le risque grimpe dès qu’un agent dispose de permissions étendues pour simplifier l’accès. Une instruction manipulée peut paraître anodine sur un chatbot isolé, mais entraîner la lecture de fichiers, l’installation de logiciels ou l’envoi d’informations dès que le modèle dispose d’outils intégrés. C’est pourquoi la sécurité des agents ne peut pas se limiter à filtrer les questions : elle doit aussi couvrir les identités, les permissions, les connecteurs, les journaux d’activité et les actions autorisées. Chaque outil supplémentaire augmente autant la capacité du système que le potentiel de dégâts en cas d’usage malveillant.

La fuite quotidienne de données pèse plus lourd que les attaques sophistiquées

Le rapport souligne qu’une bonne part de l’exposition des entreprises ne vient pas d’intrusions, mais de l’usage quotidien des applications génératives. Les employés partagent du contexte pour obtenir des réponses plus précises, parfois avec du code source, des identifiants, des données personnelles ou des documents internes, une tendance déjà repérée dans notre suivi de la professionnalisation de la cybercriminalité en Espagne alimentée par l’IA.

Entre octobre 2025 et mai 2026, les organisations analysées ont utilisé en moyenne dix applications IA par mois. Le nombre de prompts par utilisateur est passé de 56 en décembre 2025 à 70 en mai 2026, et entre 87 % et 93 % des entreprises ont enregistré au moins une interaction à haut risque chaque mois.

La part de prompts jugés à haut risque a doublé, de 2 % à 4 %. En pratique, on passe d’une interaction problématique sur 50 à une sur 25. Les secteurs les plus exposés étaient les services aux entreprises (5,91 %), la distribution en gros (5,47 %), les télécommunications (4,06 %) et le logiciel (3,52 %), des chiffres issus de la télémétrie de Check Point qui ne représentent pas nécessairement l’ensemble de ces secteurs.

L’identité perd aussi de sa fiabilité comme seul moyen de contrôle. Une étude a montré que des évaluateurs entraînés reconnaissaient correctement environ 41 % des visages générés par IA, contre 30 % pour des non-entraînés. Une simple reconnaissance faciale, vocale ou vidéo ne suffit donc plus comme preuve autonome d’identité.

Perspectives

Pour les équipes techniques, le changement le plus immédiat n’est pas l’apparition d’un attaquant totalement autonome, mais la convergence de trois tendances : des opérations offensives plus rapides, des agents d’entreprise avec accès à des outils, et un volume croissant de données partagées avec des services externes. Check Point recommande de protéger les systèmes d’IA en priorité, d’utiliser l’IA pour répondre à la vitesse de la machine, et de mieux gérer les applications employées par les équipes. Une approche qui colle évidemment à son offre commerciale, mais qu’il vaut mieux distinguer des données techniques brutes du rapport.

Questions fréquentes

Une IA peut-elle mener une cyberattaque entièrement seule ?

Les cas documentés impliquent toujours une supervision humaine. L’IA peut exécuter de nombreuses étapes entre deux interventions, mais elle a encore besoin d’objectifs, d’accès et de supervision.

Qu’est-ce qu’une injection indirecte de prompts ?

L’insertion d’instructions malveillantes dans un contenu que l’agent consulte, comme une page web, un email ou un document. Le modèle peut l’interpréter comme une commande légitime et utiliser ses outils pour l’exécuter.

Pourquoi MCP augmente-t-il la surface d’attaque ?

MCP connecte modèles, fichiers, services et applications. Une mauvaise configuration ou des permissions excessives peuvent laisser une instruction manipulée atteindre des systèmes externes.

Quel est le risque le plus fréquent pour une entreprise ?

L’usage quotidien des outils IA. Le rapport note une hausse des prompts contenant des données d’entreprise, personnelles ou réglementées, souvent sans qu’il y ait eu d’attaque directe.

Via : Open Security