WormGPT et après : comment l'IA abaisse la barre d'entrée de la cybercriminalité
Guides pratiques pour vous protéger — vous, votre famille et votre entreprise — contre les arnaques liées à l'IA, les deepfakes et les nouvelles menaces cyber.
Articles populaires
La démocratisation des capacités offensives
Pendant des décennies, écrire un malware fonctionnel demandait de vraies compétences en programmation. La barre pour produire un voleur d'identifiants, un dropper obfusqué ou un kit de phishing opérationnel tenait à l'écart la plupart des aspirants criminels. Cette barre vient de tomber.
Des outils commercialisés sous des noms comme WormGPT, FraudGPT ou EvilGPT sont apparus sur les forums du dark web en 2023. Ce sont des LLM non alignés — soit des modèles open source fine-tunés pour retirer les garde-fous, soit des accès API volés à des modèles commerciaux, manipulés par des system prompts qui contournent les refus. Le tarif tourne autour de 60 à 200 $ par mois.
Ce que ces outils produisent, pour un utilisateur non technique, a réellement de quoi inquiéter.
Ce que ces outils savent vraiment faire
D'après l'activité observée sur les forums et la recherche en sécurité :
- Générer des emails de phishing fonctionnels, adaptés à un secteur cible, avec des pages d'atterrissage HTML qui imitent de vrais services.
- Produire du code de voleur d'identifiants en Python ou PowerShell, techniques d'évasion incluses.
- Écrire des scripts convaincants de business email compromise pour des opérations d'ingénierie sociale en plusieurs étapes.
- Aider les non-développeurs à enchaîner des exploits existants et du code de preuve de concept.
Ce qu'ils ne savent pas faire de manière fiable — pour l'instant — c'est développer de nouveaux exploits zero-day ou échapper à un EDR bien réglé. La frontière de la capacité offensive demande encore des humains qualifiés. En revanche, le volume d'attaques de niveau intermédiaire a augmenté, parce que le nombre d'attaquants capables a augmenté.
Pourquoi ça compte pour les défenseurs
Trois implications pour les équipes sécurité :
- Attendez-vous à plus de phishing, de meilleure qualité, à toute heure. L'attaquant n'a plus besoin d'être éveillé ou dans votre fuseau horaire.
- Le malware de masse va monter en flèche. Globalement traité par l'EDR et la sécurité email — mais les angles morts seront exploités plus vite qu'avant.
- Votre maillon faible est votre patcher le plus lent. L'IA permet aux attaquants d'exploiter à l'échelle des CVE connues quelques heures seulement après leur publication.
La méthode défensive
Rien dans la stack défensive n'est vraiment nouveau — mais l'urgence, si. À prioriser :
- MFA obligatoire sur tous les comptes, sans exception.
- EDR avec détection comportementale, pas seulement par signatures.
- Passerelles email avec sandboxing des pièces jointes.
- Cadence de patch agressive sur tout service exposé à Internet.
- Sensibilisation à la sécurité mise à jour pour intégrer les leurres générés par IA.
Un dernier point
Si votre organisation développe ou fine-tune ses propres modèles d'IA, auditez qui y a accès et si vos filtres de sûreté peuvent être contournés en interne. Le prochain WormGPT sera construit à partir d'un modèle d'entreprise qui a fuité. Faites en sorte que ce ne soit pas le vôtre.