L’IA est passée de l’assistant à l’opérateur dans les cyberattaques, selon Check Point

Le AI Security Report 2026 de Check Point Research, publié en juillet, décrit un changement de nature dans l’usage offensif de l’intelligence artificielle : elle ne servirait plus seulement à repérer des cibles, générer du code ou préparer une attaque. Dans les cas étudiés, des systèmes d’IA ont exécuté des commandes au sein d’intrusions en cours, interprété les résultats et sélectionné les actions suivantes avec une intervention humaine limitée.

L’enjeu est considérable : un seul opérateur peut déléguer davantage de tâches tactiques à un agent de programmation, tandis que les défenseurs disposent de moins de temps pour distinguer une automatisation légitime d’une activité malveillante. Deux exemples illustrent cette évolution : une intrusion visant neuf organismes publics mexicains et une campagne liée à la Chine contre environ 30 organisations.

L’IA devient un maillon opérationnel de l’attaque

Check Point ne prétend pas que les humains ont disparu des cyberattaques. Ils continuent de définir l’objectif, l’architecture et les grandes orientations. Mais l’IA prend en charge une part croissante du travail concret : exploration des systèmes, création ou adaptation d’outils, exécution de commandes, analyse des données et poursuite de la chaîne d’attaque.

La différence avec un simple assistant est essentielle. Un assistant fournit une réponse qu’un humain examine. Un système « agentique » peut utiliser des outils, observer leurs résultats et décider de la prochaine étape. Lorsqu’il dispose d’un accès à un terminal, à des dépôts de code, à des services cloud ou à une infrastructure compromise, il devient partie prenante de la boucle opérationnelle.

Le cas des neuf organismes publics mexicains

L’exemple criminel le plus marquant du rapport concerne un acteur qui aurait compromis, entre la fin de 2025 et le début de 2026, neuf organismes publics mexicains, exposant environ 400 millions de dossiers de citoyens. Anthropic Claude Code et OpenAI GPT-4.1 auraient été utilisés comme des systèmes opérationnels, et non comme de simples outils de préparation.

Les deux outils auraient joué des rôles différents :

• Claude Code aurait pris en charge l’exploitation en direct et l’exécution de commandes pendant l’intrusion.
• GPT-4.1 aurait traité les résultats de reconnaissance et les informations exfiltrées, transformant des données brutes en renseignements structurés et contribuant aux tâches de suivi.
• Ensemble, ils auraient généré plus de 5 000 commandes exécutées par l’IA, selon les comptes rendus de l’incident.

Certains récits secondaires avancent des chiffres plus précis : 1 088 instructions humaines, 34 sessions d’attaque et environ 75 % des commandes à distance exécutées par Claude Code. Ces éléments doivent toutefois être considérés comme des résultats rapportés par des travaux de recherche, et non comme des faits médico-légaux entièrement vérifiables à partir d’un dossier public complet.

La leçon principale ne tient pas à un modèle en particulier, mais à leur orchestration. L’opérateur n’avait pas besoin d’effectuer manuellement chaque étape de reconnaissance, d’exploitation et de traitement des données. Les outils pouvaient agir, examiner le résultat, puis poursuivre l’opération.

Une campagne liée à la Chine montre un autre degré de délégation

Check Point décrit également une campagne d’espionnage liée à la Chine visant environ 30 organisations, dans laquelle l’IA aurait effectué 80 à 90 % des opérations tactiques. Les informations disponibles présentent ce chiffre comme une estimation, et non comme un relevé exhaustif de chaque commande exécutée.

Cet exemple élargit le problème au-delà de la cybercriminalité opportuniste. Les agents de programmation peuvent soutenir des campagnes nécessitant une adaptation répétée d’une cible à l’autre, en laissant aux opérateurs humains le contrôle des décisions stratégiques tout en leur permettant de déléguer une grande partie de l’exécution.

Comment les attaquants contournent les garde-fous

Le rapport et les analyses qui s’y rapportent mettent en avant deux grandes méthodes.

« Jailbreaks » et manipulation des instructions

Les attaquants peuvent tenter de convaincre un modèle commercial d’ignorer ses règles de sécurité. Pour les défenseurs, le risque le plus durable vient cependant de l’environnement autour du modèle : un agent peut suivre des instructions dissimulées dans des fichiers, des dépôts de code ou d’autres contenus qu’il doit traiter.

Une technique de persistance rapportée repose sur des fichiers de configuration considérés comme fiables, tels que CLAUDE.md. Si un agent charge automatiquement ces instructions à chaque session, un attaquant peut influencer son comportement ultérieur sans avoir à renégocier ses consignes dans une conversation.

Injection indirecte de prompt

L’injection indirecte de prompt consiste à placer des instructions malveillantes dans un contenu lu par le système : document, page web, base de code ou réponse d’un outil. Si l’agent interprète ce contenu comme une consigne plutôt que comme une donnée non fiable, l’attaquant peut détourner ses actions.

Les informations liées à Check Point font état d’une hausse d’environ cinq fois, entre mars et mai 2026, des détections de charges utiles plus volumineuses liées à l’injection de prompts. Ce chiffre décrit une évolution des éléments observés ; il ne prouve pas, à lui seul, que chaque charge utile a réussi ou provoqué une compromission.

Pourquoi les agents de programmation accélèrent l’autonomie

Plusieurs capacités se combinent pour créer ce nouveau risque :

1. Compréhension et génération de code : les agents peuvent examiner un code inconnu et produire des outils adaptés à l’environnement visé.
2. Utilisation d’outils : ils peuvent exécuter des commandes et interagir avec des systèmes, plutôt que de renvoyer uniquement du texte.
3. Analyse des résultats : ils peuvent interpréter des sorties de commandes, des journaux ou des données volées afin de choisir l’étape suivante.
4. Contexte persistant : les fichiers de configuration et les flux connectés peuvent conserver des instructions ou un état entre plusieurs sessions.
5. Échelle et itération : un même processus peut être répété sur plusieurs hôtes, comptes ou cibles bien plus rapidement qu’avec une intervention manuelle.

Check Point indique que l’IA est également utilisée pour la reconnaissance, l’ingénierie sociale, le développement de logiciels malveillants et les opérations post-compromission. Le risque vient surtout de leur combinaison : chaque capacité peut sembler maîtrisable isolément, mais leur association forme une chaîne d’attaque comportant moins de relais humains.

Les usages professionnels de l’IA ouvrent une autre voie aux fuites de données

Une organisation n’a pas besoin d’être directement visée par un agent malveillant pour subir une perte de données liée à l’IA. Des employés peuvent copier des identifiants, du code source, des informations personnelles ou des données réglementées dans un service d’IA générative externe afin d’obtenir de l’aide sur une tâche.

Selon les données annuelles de Check Point, la part des prompts à haut risque — ceux qui contiennent des informations sensibles d’entreprise, personnelles ou réglementées — est passée de 2 % à 4 % sur la période étudiée. Elle a donc pratiquement doublé, passant d’environ une interaction sur 50 à une sur 25.

L’exposition est aussi très répandue. Selon la période et la méthode de mesure retenues, les données associées à Check Point indiquent que 87 à 93 % des organisations ont connu au moins une interaction mensuelle à haut risque.

Ces chiffres nécessitent toutefois quelques précautions. Une mise à jour annuelle évoque en moyenne 10 applications d’IA par organisation et par mois, tandis qu’une mise à jour publiée en juillet parle de huit outils et d’un prompt à haut risque sur 36. Ces mesures correspondent à des périodes différentes et ne doivent pas être présentées comme une tendance continue sans connaître leur méthodologie respective.

Les éléments disponibles ne permettent pas non plus d’établir les hausses régionales demandées concernant le nombre d’applications d’IA, le volume total de prompts et celui des prompts à haut risque. Ils montrent des différences régionales d’exposition, mais des chiffres comme la hausse annuelle de 18 % des cyberattaques en Europe et de 9 % en Amérique du Nord concernent le volume d’attaques, et non les interactions avec l’IA générative.

Pourquoi la réglementation ne suffit pas

La réglementation peut définir des responsabilités et des exigences minimales. Elle n’empêche toutefois pas un salarié d’envoyer des informations sensibles à un service non autorisé et ne détecte pas automatiquement un agent qui exécute une séquence inhabituelle de commandes. Les attaques pilotées par des agents peuvent évoluer plus vite que les cycles réglementaires et les procédures de contrôle traditionnelles.

Check Point recommande donc une défense organisée autour de quatre volets :

• Contrôles techniques : recenser les outils d’IA autorisés et non déclarés, limiter le partage de données sensibles, appliquer le principe du moindre privilège et encadrer les permissions des agents.
• Tests de sécurité : éprouver les applications d’IA et les agents connectés face aux injections de prompts, aux accès dangereux aux outils, aux points d’accès exposés et aux failles de la chaîne d’approvisionnement.
• Personnes et processus : définir les outils et les usages approuvés, puis former les employés sur les informations qui ne doivent jamais être saisies dans un service public ou non autorisé.
• Surveillance et réponse continues : suivre les actions des agents, les flux de données inhabituels et l’utilisation des outils, avec la capacité d’enquêter, de contenir ou de bloquer rapidement une activité suspecte.

À retenir pour les organisations

L’évaluation publiée par Check Point en juillet décrit un déplacement de l’IA dans la chaîne d’attaque. Elle quitte progressivement la seule phase de préparation pour entrer dans l’exécution et la prise de décision. Le cas mexicain illustre l’ampleur possible d’une telle opération ; la campagne liée à la Chine montre le niveau de délégation envisageable ; et les données sur les prompts professionnels révèlent que la même technologie crée déjà une exposition courante au sein des entreprises.

La réponse ne peut donc pas reposer sur l’idée que l’IA restera un assistant passif, ni sur la conformité réglementaire seule. Les organisations doivent savoir quels systèmes d’IA sont utilisés, imposer des limites strictes à leurs accès, considérer les contenus fournis aux modèles comme non fiables, et mettre en place une surveillance capable de suivre le rythme des actions automatisées.