IA et hacking : ceci n'est plus un exercice
Préparons nous à une vague d'attaques sans précédent
L'intelligence artificielle est en train de révolutionner le milieu de la sécurité informatique. Et si, à long terme, elle pourrait avoir un effet positif sur la protection des systèmes d'informations, les six prochains mois risquent d'être très compliqués.
Le signal fort a eu lieu cette fin février. Anthropic divulgue alors « Claude Code Security », une extension de son modèle IA dédiée à l'analyse de code source pour y découvrir des failles informatiques. Dans la foulée de cette annonce, les grandes entreprises de cybersécurité subissent un mini crash boursier, perdant, en une journée, près de 10% de leur valeur.
Bien qu'un peu exagérée, cette réaction traduit une inquiétude des marchés sur l'arrivée de l'IA dans des secteurs autrefois considérés comme à forts rendements.
Et pour cause.
Histoire de « zero day »
La pierre fondamentale de tout concept de hacking et de cyber-sécurité est la faille logicielle. Ces erreurs, parfois subtiles, nichées dans les codes informatiques, qui permettent d'en altérer le comportement prévu et de le détourner pour le plus grand bénéfice du pirate. Depuis la nuit des temps de l'informatique, les groupes de hackers ont construit leur réputation sur leur capacité à découvrir ces failles. Est ainsi apparu le concept de « zero day », pour ces failles connues uniquement de quelques uns, permettant de compromettre n'importe quel système où le logiciel est déployé.
Mais ces « zero day » ont une durée de vie limitée. Il peut arriver que leur utilisation soit détectée par un défenseur un peu plus pointu que les autres. Ou que la faille soit découverte par un chercheur au « chapeau blanc » concerné par la sécurité des utilisateurs. Ou encore que l'information si précieuse fuite. Une fois l'éditeur de logiciel averti, un correctif va être publié et la fenêtre d'exploitation de la faille commence à se refermer. Les utilisateurs vont appliquer la mise à jour et dorénavant les nouveaux systèmes déployés seront sains. Après quelques mois, la porte est définitivement refermée, sur les réseaux les plus sensibles tout au moins.
Un verrou vient de sauter
Depuis les années 90, la sociologie de ces failles informatiques a beaucoup évolué. Au départ, elles sont échangées entre hackers, comme un signe de confiance et d'appartenance à la même équipe ou divulguées par les groupes dans le « cyber-underground » pour accroître leur réputation.
Dans les années 2000, le milieu commence à s'industrialiser. Les services secrets se mettent à acheter ces failles permettant d'alimenter leurs opérations « cyber » offensives. Des entreprises se spécialisent dans leur recherche et des intermédiaires apparaissent en interface entre hacker et espions gouvernementaux.
Peu à peu, les éditeurs de logiciels se saisissent du problème et renforcent la sécurité des codes qu'ils produisent. La découverte de ces failles « zero day » devient de plus en plus complexe techniquement et leur valeur marchande explose. Ainsi, en 2024, un code d'exploitation permettant de hacker Android sans interactions utilisateurs s'achète plus de 7 millions de dollars. Un code similaire contre le navigateur Chrome est payé plus de 2 millions de dollars.
Mais l'IA vient changer tout cela. Dans l'optique de tester son outil « Claude Code Security », Anthropic s'est associé début 2026 à Mozilla, l'éditeur du navigateur web Firefox et a découvert en moins de deux semaines 22 nouvelles vulnérabilités dont 14 critiques. L'outil a également été capable de développer un code d'exploitation, une tâche qui pouvait auparavant prendre des semaines et qui était seulement accessible à quelques spécialistes humains de haut vol.
Dans la foulée d'Anthropic, les autres grandes entreprises d'IA ont sorti leur propres outils. Ainsi Codex Security de chez OpenAI aurait scanné il y a quelques jours les mises à jour de nombreux projets open-source et aurait remonté plus de 10.000 vulnérabilités notables dont 792 critiques. Lui aussi serait en mesure de rapidement développer les codes d'exploitation.
La vague qui vient
Ces annonces publiques ne sont que la partie visible de l'iceberg. Ces outils sont désormais accessibles à tout un chacun. Le niveau d'expertise et la somme de travail nécessaires à la construction d'armes informatiques vient de chuter drastiquement. À long terme, cela pourrait être une bonne nouvelle pour les utilisateurs. Ces outils vont être industrialisés, renforçant la solidité des programmes informatiques en général. Plus besoin d'un expert humain pour avoir un code solide et sécurisé.
Mais à court terme, nous courrons un réel risque. Les acteurs de l'insécurité informatique doivent avoir déjà industrialisé ces outils pour trouver au plus vite ces failles « zero day. » Et une vague d'attaques va suivre, elle est certainement déjà en cours. Car le temps des hackers n'est pas le même que celui de la sécurité. L'industrialisation des outils, la publication des correctifs et leurs déploiement va prendre du temps. D'ici là, de nouvelles portes béantes se sont ouvertes. Les six prochains mois vont être compliqués.