RéponsesPublié22 sources
Comment l’IA transforme les cyberattaques : des logiciels malveillants générés par IA aux intrusions pilotées par les LLM
L’IA rend les cyberattaques existantes plus rapides, moins coûteuses et plus faciles à adapter, sans les rendre systématiquement autonomes. FunkSec et la campagne RevengeHotels de 2025 illustrent le développement assisté par IA, tandis que LameHug montre un LLM utilisé pendant l’intrusion pour générer des commandes...
Publié parModifié avec GPT-5.6 LunaImages générées avec GPT Image 1.5
Réponse de recherche
Points clés à retenir
- L’IA rend les cyberattaques existantes plus rapides, moins coûteuses et plus faciles à adapter, sans les rendre systématiquement autonomes.
- FunkSec et la campagne RevengeHotels de 2025 illustrent le développement assisté par IA, tandis que LameHug montre un LLM utilisé pendant l’intrusion pour générer des commandes de reconnaissance et de collecte de donn...
- Entre janvier et avril 2026, Kaspersky a détecté plus de 33 300 attaques visant des PME et camouflées en services d’IA populaires, soit près de cinq fois plus qu’un an auparavant.
- Pour se défendre, les organisations doivent dépasser les signatures statiques et surveiller les scripts suspects, les connexions inhabituelles vers des API de modèles d’IA, le vol d’identifiants et la préparation de d...
Prompt IA
openai.comCreate a landscape editorial hero image for this Studio Global article: How is artificial intelligence becoming deeply embedded in cyberattacks, according to Kaspersky and other cybersecurity researchers, and wha. Article summary: AI is becoming an operational layer across the attack chain: it helps criminals write and revise code, tailor phishing, automate reconnaissance, and vary payloads at machine speed. The clearest current evidence supports . Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
L’intelligence artificielle devient une véritable couche opérationnelle des cyberattaques. Des groupes criminels ou liés à des États peuvent s’en servir pour rédiger des composants de logiciels malveillants, produire des messages d’hameçonnage, corriger des scripts et multiplier rapidement les variantes d’une même attaque.
La conclusion la plus solide ne consiste toutefois pas à dire que toutes les attaques sont désormais autonomes. Les éléments disponibles montrent surtout que l’IA accélère et adapte des méthodes déjà connues : hameçonnage, scripts malveillants, chevaux de Troie d’accès à distance et vol de données.
Le principal changement : un cycle d’attaque raccourci
Une intrusion repose encore souvent sur des techniques familières. Mais un attaquant peut désormais demander à un grand modèle de langage, ou LLM, de produire un premier script, de traduire et personnaliser un leurre, de modifier le code après un test ou de créer une variante pour chaque cible.
Cette assistance réduit le temps et le niveau d’expertise nécessaires à certaines étapes. Elle rend l’expérimentation moins coûteuse et raccourcit le délai entre l’idée d’une campagne et son déploiement. Pour les défenseurs, cela signifie potentiellement davantage d’attaques crédibles et une fenêtre de réaction plus étroite.
La nuance est importante : qualifier d’« attaque par IA » toute campagne qui utilise un faux service d’intelligence artificielle exagère souvent les faits. L’implication de l’IA peut se situer à plusieurs niveaux, de l’aide à la programmation jusqu’à la génération de commandes pendant l’exécution d’un malware.
FunkSec : l’IA aide à construire le logiciel malveillant
Les travaux de Kaspersky sur FunkSec offrent un exemple de développement de malware assisté par IA. Ce rançongiciel basé sur Rust regroupe dans un même exécutable le chiffrement, l’exfiltration locale de données et l’autonettoyage. Kaspersky a également relevé des signes de synthèse de code par un grand modèle de langage dans des outils associés, notamment un générateur de mots de passe et un outil rudimentaire de déni de service distribué (DDoS). 28
39
Cela ne signifie pas qu’un LLM a conçu, déployé et piloté seul toute la campagne. Le cas montre plutôt que l’IA générative peut contribuer à des composants fonctionnels d’un malware et aider les attaquants à assembler un arsenal plus intégré, avec moins de développement manuel.
RevengeHotels : l’IA renforce une chaîne d’hameçonnage classique
La campagne RevengeHotels observée en 2025 illustre encore mieux cette évolution. Kaspersky a identifié des attaques visant des hôtels au Brésil et dans plusieurs marchés hispanophones. Les courriels se faisaient passer pour des demandes de réservation, des factures ou des candidatures. Les victimes étaient ensuite redirigées vers des sites imitant des services de stockage de documents, avant que des scripts ne délivrent des chevaux de Troie d’accès à distance, notamment VenomRAT. 30
31
36
Selon Kaspersky, une part importante du code de l’infecteur initial et du téléchargeur semblait avoir été générée par des agents fondés sur des LLM. 28 La campagne dépendait néanmoins toujours de techniques classiques : ingénierie sociale, exécution de scripts et diffusion d’un RAT.
L’IA a surtout permis de produire et de varier plus rapidement certaines briques de la chaîne d’infection, ce qui peut faciliter l’adaptation d’une campagne à plusieurs régions et types de cibles. Dans ce contexte, l’expression « attaque alimentée par l’IA » peut être trompeuse si elle ne précise pas le rôle exact du modèle.
LameHug : un LLM intervient pendant l’intrusion
L’évolution technique la plus significative documentée ici est LameHug, également appelé PROMPTSTEAL dans certains rapports. Contrairement à un malware simplement écrit avec l’aide de l’IA, LameHug utilise un LLM pendant son exécution.
D’après des analyses fondées sur les signalements du CERT-UA, le malware communique avec l’API de Hugging Face et utilise le modèle Qwen2.5-Coder-32B-Instruct d’Alibaba Cloud pour générer dynamiquement des commandes Windows. Celles-ci peuvent recueillir des informations sur le système et rechercher des documents Office à exfiltrer. 2
3
7
Cette architecture modifie le comportement du malware de trois façons :
- La séquence de commandes n’a pas besoin d’être entièrement prédéfinie. Le programme peut demander des instructions en fonction des consignes reçues et de l’environnement rencontré.
- L’attaque peut s’appuyer sur des outils ordinaires du système. La détection doit donc examiner le comportement et l’enchaînement des commandes, plutôt que rechercher uniquement une charge utile reconnaissable.
4
- Le malware crée une dépendance externe. Des connexions sortantes inhabituelles vers une API de modèle de langage peuvent constituer un signal de détection utile.
LameHug ne prouve pas que les malwares sont devenus autonomes. Il montre qu’un attaquant peut intégrer un LLM dans la boucle opérationnelle afin de générer, en temps réel, des actions de reconnaissance et de collecte de données.
Les faux outils d’IA élargissent la surface d’attaque
L’IA sert aussi d’appât. Entre janvier et avril 2026, les solutions de Kaspersky ont détecté plus de 33 300 attaques contre des petites et moyennes entreprises dans lesquelles des logiciels malveillants ou indésirables pour PC se faisaient passer pour des services d’IA populaires. Le volume était presque cinq fois supérieur à celui de la même période en 2025. 50
51
Ces détections portent sur des logiciels qui imitent des services d’IA. Elles ne prouvent pas que chaque charge utile a été générée par une IA, ni qu’un système d’IA a piloté chacune des attaques. La conclusion la mieux étayée est que les attaquants exploitent la confiance accordée aux marques connues et l’adoption rapide des outils d’IA dans les entreprises.
Pour les salariés, le risque est très concret : un faux générateur d’images, un prétendu client de chatbot ou un assistant de productivité peut servir de vecteur à un malware. Les politiques d’installation, les sources de téléchargement vérifiées et la protection des postes restent donc indispensables, même lorsque le leurre se présente comme un produit d’IA.
Des chiffres régionaux importants, mais à interpréter avec prudence
Les données de télémétrie de Kaspersky montrent l’ampleur des menaces en ligne, mais elles ne constituent pas un décompte des attaques pilotées par l’IA. Au premier semestre 2026, l’entreprise a indiqué que ses systèmes avaient bloqué 5,7 millions d’attaques provenant de ressources en ligne en Afrique du Sud, 4,5 millions au Kenya et 1,6 million au Nigeria. La Türkiye affichait la plus forte proportion d’utilisateurs touchés par des menaces web dans l’ensemble de données consacré à la région Moyen-Orient, Türkiye et Afrique (META), avec 22,8 %. 14
Ces chiffres couvrent les menaces diffusées par des sites, des courriels et des services web. Ils témoignent d’une large exposition aux cyberattaques, mais ne démontrent pas que ces attaques ont été causées par l’IA. Cette distinction évite de présenter des statistiques générales sur la cybercriminalité comme la preuve de campagnes autonomes ou générées par IA.
Pourquoi l’adaptation compte davantage que l’autonomie
Le danger immédiat n’est pas nécessairement l’apparition soudaine d’armées cyber autonomes. Il tient plutôt à l’accumulation de petits gains d’efficacité tout au long de la chaîne d’attaque :
- le code peut être produit et corrigé plus rapidement ;
- les messages d’hameçonnage peuvent être adaptés à différentes langues, industries et situations ;
- les scripts peuvent être débogués et reconditionnés plus vite ;
- le comportement d’un malware peut varier selon l’environnement ;
- la reconnaissance et la collecte de données peuvent être ajustées pendant l’exécution.
Pris ensemble, ces gains peuvent réduire le coût d’une intrusion et permettre aux attaquants de multiplier les essais. Ils peuvent aussi aider des opérateurs moins expérimentés à reproduire des techniques qui exigeaient auparavant des compétences spécialisées.
Le risque est particulièrement préoccupant pour les organisations disposant de peu de personnel dédié à la sécurité, gérant de grands volumes de données sensibles ou dépendant d’environnements complexes de fournisseurs et de sous-traitants. En revanche, les affirmations concernant des attaques contre des infrastructures critiques exigent des preuves précises de la compromission, de l’impact et du rôle de l’IA. La revendication d’un groupe n’est pas, à elle seule, la confirmation de ces éléments.
Les priorités pour les équipes de sécurité
Ces exemples plaident pour une défense en profondeur centrée sur les comportements. Les signatures et le blocage d’indicateurs connus restent utiles, mais les organisations doivent aussi surveiller les activités révélant une attaque assistée par IA ou capable de s’adapter dynamiquement.
Les signaux pertinents comprennent notamment :
- des processus Python ou PyInstaller qui établissent de manière inattendue des connexions sortantes vers des services de modèles de langage ;
- des invites encodées en base64 ou des appels inhabituels à des API depuis des postes qui n’utilisent normalement pas de services d’IA ou de développement ;
- des chaînes de commandes combinant des outils comme
systeminfo,tasklist,dsqueryou des recherches récursives de fichiers ; - l’utilisation suspecte de JavaScript, PowerShell ou d’autres interpréteurs ;
- des accès inhabituels aux identifiants, la préparation de documents ou des transferts sortants ;
- l’installation par des employés d’applications ou d’extensions d’IA non approuvées.
Les recommandations de détection de Splunk consacrées à LameHug mettent notamment en avant l’activité Python ou PyInstaller qui contacte l’API de Hugging Face et le modèle Qwen. 4 C’est un exemple concret d’une détection fondée sur le comportement entourant un malware connecté à un LLM, plutôt que sur l’attente d’une signature fixe.
À retenir
L’IA s’intègre progressivement aux cyberattaques parce qu’elle facilite la production, la personnalisation et la modification des opérations existantes. FunkSec et RevengeHotels illustrent le développement de malwares assisté par IA ; LameHug montre un LLM interrogé pendant une intrusion ; et les détections de Kaspersky contre les PME indiquent que la popularité des services d’IA est désormais exploitée comme leurre. 28
31
51
La description la plus exacte n’est donc pas « l’IA a remplacé le piratage traditionnel ». L’IA devient plutôt une couche d’efficacité et d’adaptation appliquée à l’hameçonnage, au développement de malwares, à la reconnaissance et au vol de données. Les défenseurs doivent se préparer à des attaques plus variées et à des itérations plus rapides, tout en distinguant soigneusement une implication de l’IA vérifiée d’une cyberattaque classique simplement habillée aux couleurs de l’intelligence artificielle.
Studio Global AI
Continuez vos recherches
Cette page comprend une réponse basée sur la source que vous pouvez continuer dans Studio Global.
Les gens demandent aussi
Quelle est la réponse courte à « Comment l’IA transforme les cyberattaques : des logiciels malveillants générés par IA aux intrusions pilotées par les LLM » ?
L’IA rend les cyberattaques existantes plus rapides, moins coûteuses et plus faciles à adapter, sans les rendre systématiquement autonomes.
Quels sont les points clés à valider en premier ?
L’IA rend les cyberattaques existantes plus rapides, moins coûteuses et plus faciles à adapter, sans les rendre systématiquement autonomes. FunkSec et la campagne RevengeHotels de 2025 illustrent le développement assisté par IA, tandis que LameHug montre un LLM utilisé pendant l’intrusion pour générer des commandes de reconnaissance et de collecte de donn...
Que dois-je faire ensuite en pratique ?
Entre janvier et avril 2026, Kaspersky a détecté plus de 33 300 attaques visant des PME et camouflées en services d’IA populaires, soit près de cinq fois plus qu’un an auparavant.
Sources
me-en.kaspersky.comKaspersky uncovers the cyber threats defining the first half ...
securelist.comA new RevengeHotels campaign targets Latin America
kaspersky.comKaspersky discovers the return of RevengeHotels, leveraging AI in ...