Google neutralise la première cyber-attaque massive générée par une IA

Google a balancé l’info via son équipe cyberdéfense, le GTIG (Google Threat Intelligence Group). Des cybercriminels ont utilisé une IA générative pour dénicher et écrire un code d’attaque exploitant une faille inconnue (ce qu’on appelle un zero-day, une vulnérabilité que l’éditeur du logiciel n’a pas encore corrigée).

Et ils s’apprêtaient à lancer une vague d’attaques massives. C’est, d’après Google, la première fois qu’on observe ça dans la vraie vie, pas en labo.

La faille concernait un outil d’administration de serveur open-source très utilisé, dont Google ne donne pas le nom (le temps que tout le monde installe le correctif).

Le bug permettait de contourner la double authentification, le fameux code à 6 chiffres ou la notification sur le téléphone qui sécurise vos comptes. En pratique, il fallait quand même un identifiant et un mot de passe valides au départ, donc ce n’est pas une attaque magique en un clic. Mais une fois ce sas franchi, la 2FA tombait toute seule.

Ce qui a mis la puce à l’oreille des chercheurs, c’est l’allure du script Python utilisé pour exploiter la faille. Trop bien écrit, trop documenté, trop scolaire en fait.

Il était bourré de commentaires pédagogiques (le genre qu’on retrouve dans un tuto pour débutant), il affichait un menu d’aide impeccable, et surtout un score de dangerosité CVSS complètement inventé. Cette dernière trouvaille, c’est l’indice qui ne trompe pas, seul un modèle de langage peut halluciner un chiffre officiel avec autant d’aplomb.

John Hultquist, le chef analyste du GTIG, explique que les IA génératives sont vraiment douées pour repérer ce genre de faille logique de haut niveau, là où les outils d’audit classique (les “fuzzers” qui bombardent un logiciel de données aléatoires pour le faire planter) passent à côté.

Google précise au passage que ce n’est pas Gemini, son propre modèle d’IA, qui a été utilisé. Lequel alors ? Mystère, l’équipe de Mountain View ne le dit pas. On imagine que les criminels n’ont pas demandé poliment l’autorisation à un éditeur d’IA. Affaire à suivre.

Le rapport donne d’autres pépites. Le groupe nord-coréen APT45 utiliserait l’IA pour tester des milliers d’exploits en masse. Des opérateurs chinois liés à l’État expérimenteraient l’IA pour chasser les vulnérabilités.

Des backdoors (des portes dérobées cachées) sur Android interrogent directement Gemini pour piloter les téléphones infectés. Et côté désinformation, des opérations russes intègrent du faux audio généré par IA dans de vraies images d’actualités. Bref, ça bouge de partout.

Bonne nouvelle quand même, la campagne d’attaque massive a été désamorcée. Google a coordonné un correctif discret avec l’éditeur avant que les criminels puissent appuyer sur le bouton. Cette fois.

Bref, l’IA fabrique maintenant des armes prêtes à l’emploi pour les criminels, et personne ne sait quel modèle a fait le boulot. Rien de rassurant donc.

Source :
The Hacker News