Les cyber-criminels et les États-nations hostiles aux pays occidentaux armement l’intelligence artificielle (IA) avec enthousiasme pour mener des attaques et cibler les agents de l’IA en tant que nouveau vecteur d’attaque, selon la société de cybersécurité Crowdstrike.
Le fournisseur 2025 Rapport de chasse aux menacespublié à la conférence Black Hat USA à Las Vegas cette semaine, dit que les cyberattaquants sont «Opérationnisant Genai [generative artificial intelligence] Pour évoluer les opérations et accélérer les attaques – et cibler de plus en plus les agents d’IA autonomes qui remodèlent les opérations des entreprises ».
Adam Meyers, responsable des opérations de contre-adversaire chez CrowdStrike, a déclaré: «L’ère de l’IA a redéfini le fonctionnement des entreprises et comment les adversaires attaquent. Nous voyons les acteurs de la menace utiliser le Genai pour évoluer l’ingénierie sociale, accélérer les opérations et réduire la barrière à l’entrée pour les intrusions de planches pratiques.
«Dans le même temps, les adversaires ciblent les systèmes très d’IA que les organisations se déploient. Chaque agent d’IA est une identité surhumaine: autonome, rapide et profondément intégré, ce qui en fait des cibles de grande valeur. [software-as-a-service] plates-formes, consoles cloud et comptes privilégiés. La sécurisation de l’IA qui alimente les affaires est l’endroit où le champ de bataille cyber évolue. »
Le rapport indique que les attaquants ciblent les outils utilisés pour construire des agents de l’IA: «Les systèmes autonomes et les identités de la machine sont devenus une partie essentielle de la surface d’attaque de l’entreprise».
Les analystes de Crowdstrike, qui suivent 265 attaquants et groupes d’attaque, ont constaté que le groupe nord-coréen célèbre Chiolima utilisait le Genai pour automatiser chaque phase de son programme d’attaque d’initié, de la création de faux curriculum vitae et de la réalisation d’entretiens Deepfake pour accomplir des tâches techniques sous de fausses identités. Les analystes ont également constaté que le groupe russe Ember Bear a utilisé le Genai pour aider à stimuler sa propagande pro-russe.
Les pirates chinois sont devenus gros sur le nuage, selon le fournisseur. Genesis Panda et Murky Panda ont réussi à échapper à la détection par des erreurs de configuration du cloud et un accès de confiance. Les intrusions de nuages ont augmenté de 136%, avec des attaquants chinois responsables de 40% de ceux-ci, selon Crowdstrike.
Pour ne pas être laissé de côté, le groupe iranien Charming Kitten a utilisé des modèles de grands langues (LLM) pour écrire des leurres de courrier électronique de phishing ciblant les organisations américaines et européennes.
AI agentique sous attaque
Mais le nouveau facteur dans les cyberattaquants utilisant l’intelligence artificielle est l’émergence de l’IA agentique comme nouvelle surface d’attaque. Le fournisseur dit qu’il a vu des attaquants exploiter les vulnérabilités dans les outils utilisés pour construire des agents d’IA, obtenir un accès non authentifié, la collecte des informations d’identification et le déploiement de logiciels malveillants et de ransomwares.
«Ces attaques démontrent comment la révolution de l’IA agentique remodèle la surface de l’attaque de l’entreprise – transformant les flux de travail autonomes et les identités non humaines en la prochaine frontière de l’exploitation adverse», explique The Crowdsstrike Report.
En dessous du niveau des attaques nationales ou affiliées, le rapport indique que plus de cyberattaquants banals, tels que les criminels, utilisent l’IA pour «générer des scripts, résoudre des problèmes techniques et créer des logiciels malveillants – l’automatisation des tâches qui nécessitaient une expertise avancée.
Sporsed Spider, notoire au Royaume-Uni pour attaquer Marks and Spencer, a utilisé des techniques telles que l’identité d’assistance pour réinitialiser les informations d’identification, contourner l’authentification multifactorale (MFA) et se déplacer latéralement à travers le SaaS et les environnements cloud. Dans un incident, le groupe est passé de l’accès initial au cryptage en déploiement des ransomwares en moins de 24 heures, selon CrowdStrike.