Analyse d’une attaque à l’ère de l’IA

Pour les RSSI déjà aux prises avec les problématiques traditionnelles de sécurité informatique, l’IA représente un tout nouveau casse-tête. Désormais, partout où vous introduisez l’IA ou rendez des technologies existantes accessibles par son intermédiaire — que ce soit dans une usine, un laboratoire ou des bureaux — vous créez une toute nouvelle surface d’attaque, apparue le jour même.

Nous avons déjà constaté des vulnérabilités dans tous les principaux modèles d’IA, notamment ChatGPT, Gemini, Llama et DeepSeek-R1. Alors que les organisations s’emploient à connecter les agents d’IA à leurs systèmes plus larges, les acteurs malveillants avancent assurément en parallèle, sondant l’IA comme point d’entrée. S’ils y parviennent, l’impact d’une attaque peut croître de manière exponentielle.

Comprendre le mode opératoire des attaquants est essentiel pour établir une posture de sécurité robuste à l’ère de l’IA. L’analyse des différentes étapes d’une attaque permet d’identifier les vulnérabilités et de poser les bases d’un renforcement proactif des défenses afin de prévenir les dommages potentiels.

Les anciennes « règles » s’appliquent

Un attaquant organisé aura un objectif clair, à savoir ce qu’il cherche à accomplir par son attaque. Il se concentrera ensuite sur le domaine ; si l’objectif est, par exemple, de nuire à un État-nation, les domaines concernés peuvent inclure le secteur de la santé, le système bancaire ou le contrôle du trafic aérien.

Le choix du secteur est important pour les acteurs malveillants, car chaque secteur est soumis à des règles, des réglementations et des dispositifs de sécurité différents. Les services financiers comptent parmi les secteurs les mieux protégés au monde, tandis que les services de santé affichent historiquement un faible niveau de sécurité informatique. Cependant, même dans les systèmes bien protégés, l’IA ouvre de nouvelles voies d’accès aux attaquants.

Après la sélection du domaine vient celle d’une cible précise. Si l’objectif est de frauder des compagnies d’assurance, de nombreuses cibles peuvent être choisies en fonction de critères tels que leur taille, leur emplacement et leurs normes de sécurité. Les entreprises qui vantent leur adoption de l’IA sans disposer de contrôles de sécurité adéquats en la matière pourraient se retrouver prises pour cible ; être précurseur présente aussi des inconvénients.

Étudier la cible

Une fois la cible identifiée, l’acteur malveillant passe à la phase de reconnaissance: quels sont les actifs accessibles pouvant être ciblés ? Le mot important ici est « accessibles ». Il s’agit généralement d’éléments avec lesquels les utilisateurs interagissent, tels que les sites web, les applications mobiles, les distributeurs automatiques de billets et les serveurs accessibles au public.

Cependant, les acteurs malveillants ne s’arrêtent pas aux cibles évidentes. Une organisation peut disposer de nombreux points d’accès au réseau rarement utilisés ; si l’un d’eux reste actif par inadvertance, il pourrait être exploité pour accéder à des systèmes critiques. L’IA agentique doit désormais être prise en compte : à mesure que l’IA est de plus en plus connectée à des entités virtuelles et physiques, des actifs auparavant hors d’atteinte deviennent-ils désormais accessibles ?

Pour un attaquant, la recherche de vulnérabilités constitue le moyen le plus simple et le plus efficace d’accéder à vos systèmes. Il existe de nombreuses façons de procéder, et l’IA a ouvert de nouvelles voies, notamment au niveau de la couche d’inférence, où un modèle d’IA est appliqué à un cas d’usage courant.

Dévoiler l’anatomie de l’IA

C’est là que les choses deviennent techniques. Pour sonder une application d’IA, au lieu d’utiliser l’interface de chat en ligne, les attaquants utilisent l’option « Afficher le code source » sur le site web concerné. En cliquant sur l’onglet « Réseau », ils peuvent voir le point de terminaison vers lequel une conversation est envoyée lorsqu’elle est saisie dans une application d’IA.

L’attaquant peut isoler ce point de terminaison depuis son terminal de commande, plutôt que via le site web, et récupérer la réponse brute. Il peut ainsi rechercher des éléments qui ne sont pas affichés par l’interface du site web, comme des métadonnées supplémentaires lui donnant des indications sur la manière de poursuivre son attaque.

À ce stade, le pirate progresse. S’il avait initialement identifié six actifs et que deux d’entre eux avaient révélé des métadonnées utiles, il dispose désormais de ses premières pistes d’accès potentielles. Les actifs les moins vulnérables peuvent être laissés de côté pour le moment, mais l’attaquant pourra les examiner plus en profondeur si ses premières options n’aboutissent pas.

Un arsenal d’options

Un acteur malveillant sérieux disposera d’un arsenal d’outils lui permettant de mener une attaque par paliers. En d’autres termes, il commencera par les attaques les moins coûteuses et les plus rapides, en évitant de dévoiler sa meilleure arme : aucun grand maître ne révélera son coup d’échecs le plus élaboré lorsqu’un simple pion suffit.

Les armes d’attaque sophistiquées sont précieuses, mais une fois identifiées, elles feront probablement l’objet de protections à l’avenir et deviendront obsolètes. C’est pourquoi un attaquant cherchera vraisemblablement à cibler successivement plusieurs actifs au moyen de méthodes d’attaque peu ou moyennement sophistiquées, plutôt que de risquer son arme la plus précieuse.

Il existe bien sûr des exceptions : si la cible a suffisamment de valeur, l’attaquant peut choisir de recourir à ses armes les plus sophistiquées.

Résultats des attaques

Une attaque réussie peut avoir l’une des deux issues suivantes : exfiltrer ou insérer. L’exfiltration est la plus simple des deux et consiste à extraire de la cible un élément de valeur, tel que de l’argent, des données financières ou des informations sensibles sur les clients.

Avec l’IA agentique, les risques s’accroissent. Il devient courant que les systèmes d’IA agentique utilisent le Model Context Protocol (MCP), promu par Anthropic et d’autres acteurs, comme norme ouverte pour interagir avec des applications telles que les navigateurs et les outils professionnels.

Les navigateurs constituent bien sûr la fenêtre permettant d’accéder à toutes sortes de services, des messageries électroniques aux comptes bancaires et aux moteurs de réservation. Les outils professionnels ont accès à des informations confidentielles. Dans cet environnement, tout élément connecté à une IA agentique via MCP doit être considéré comme une nouvelle surface d’attaque majeure.

Les attaques par insertion sont plus difficiles à mener et peuvent causer davantage de dommages. Imaginez que votre domicile soit cambriolé : votre préoccupation immédiate portera sur ce qui a été dérobé, mais que se passerait-il si l’intrus avait laissé une caméra lui permettant de surveiller vos moindres faits et gestes ?

Dans le domaine numérique, l’IA agentique ayant accès aux navigateurs et aux applications via MCP ouvre de nouvelles voies à des attaques sophistiquées par insertion. Il peut s’agir, par exemple, de modifier un point de terminaison de journalisation afin d’envoyer les journaux à un collecteur externe, ou de changer la programmation d’un système de sécurité physique pour le désactiver le week-end.

Un acteur malveillant envisagera également les possibilités de déplacement latéral lors d’une attaque. Une intrusion initiale peut permettre d’accéder à l’ordinateur portable d’un cadre intermédiaire, ouvrant ainsi la voie à une progression au sein du système afin de trouver un moyen d’élever ses privilèges à un niveau supérieur.

Le guide de l’open source

Comme pour tout ce qui touche à l’IA, l’environnement des attaques évolue rapidement. Les créateurs des premiers modèles ont gardé leur fonctionnement interne secret, mais l’approche open source de DeepSeek a de fait rendu public un véritable manuel de son modèle R1, ce qui change la donne aussi bien pour les développeurs que pour les acteurs malveillants.

Plus de 7 000 dérivés de R1 ont déjà été créés depuis son lancement fin janvier, et l’origine de bon nombre d’entre eux reste en réalité inconnue. Si le partage de code est bénéfique à l’innovation, les acteurs malveillants cherchent sans aucun doute à comprendre le fonctionnement de R1 afin de trouver des moyens d’attaquer les modèles d’IA actuels et futurs.
C’est ainsi que raisonnent les acteurs malveillants — et nous, membres de la communauté de la cybersécurité, devons garder une longueur d’avance.

Il est clair que des mesures de sécurité défensives et offensives robustes — notamment des tests d’intrusion proactifs et continus sur les modèles et applications d’IA — sont indispensables pour atténuer les risques potentiels. Comme dans le domaine médical, mieux vaut prévenir que procéder à une autopsie.