Guides pratiques pour vous protéger — vous, votre famille et votre entreprise — contre les arnaques liées à l'IA, les deepfakes et les nouvelles menaces cyber.
Le 11 mai 2026, le Threat Intelligence Group de Google a révélé ce que les défenseurs attendaient depuis deux ans : un exploit zero-day fonctionnel, conçu avec l'aide d'un modèle d'IA, déployé par un groupe criminel et prêt pour une campagne d'exploitation de masse. Google l'a intercepté à temps et a travaillé avec l'éditeur pour livrer un correctif en silence. L'exploit est réel. La technique est désormais publique.
D'après le rapport du GTIG, l'exploit est un contournement d'authentification à deux facteurs écrit en Python. Il vise un outil open source d'administration système via le web, très largement déployé. Google ne nomme pas le produit — la divulgation est intervenue avant que la campagne ne passe à l'échelle.
Le code de l'exploit présente toutes les signatures que les analystes de Google associent à un travail généré par LLM :
La vulnérabilité elle-même rend l'angle IA crédible. C'est une faille logique de haut niveau — une hypothèse de confiance codée en dur — qu'un relecteur humain ne repère qu'au prix d'une lecture minutieuse du code. Les LLM, eux, excellent à repérer ce genre de schéma. Google attribue la découverte et la mise en arme à un modèle d'IA, avec un haut niveau de confiance. Le modèle en cause n'est pas Gemini.
Pendant deux ans, le débat sur les opérations offensives assistées par IA est resté théorique — ce que les modèles peuvent faire en laboratoire, ce que les red teams démontrent en environnement contrôlé. Voici le premier cas publiquement attribué d'un groupe criminel qui livre un exploit IA fini, à échelle industrielle. La frontière entre curiosité de chercheur et obligation imposée à votre cycle de patch vient de se déplacer.
Le reste du rapport GTIG rend la tendance difficile à minimiser. Le groupe nord-coréen APT45 envoie des milliers de prompts répétitifs à Gemini pour valider de façon récursive des preuves de concept sur des CVE connues. Un cluster soupçonné d'être lié à la Chine a contourné Gemini par persona prompts pour chercher des vulnérabilités dans le firmware TP-Link et les implémentations OFTP. Des acteurs liés à la Russie ont livré des familles de malware activées par IA — CANFAIL et LONGSTREAM — contre des cibles ukrainiennes. Le contournement de 2FA est une étape, pas un cas isolé.
Ryan Dewhurst, responsable du renseignement sur les menaces chez watchTowr, résume le contexte opérationnel : « L'IA accélère déjà la découverte de vulnérabilités. Elle réduit l'effort nécessaire pour les identifier, les valider et les transformer en arme. Découverte, mise en arme, exploitation : tout va plus vite. Les attaquants ne font pas de cadeau, et les défenseurs n'ont pas le choix de se mettre en pause. »
Le premier zero-day conçu par IA en environnement réel a été intercepté et corrigé. Le suivant ne le sera pas. La méthode défensive ne change pas — patcher plus vite, segmenter plus fort, tout journaliser — mais l'urgence, si. Le même outil qu'un attaquant utilise pour trouver votre système non patché est désormais celui qui écrit l'exploit qui le vise.


