L’IA accélère les attaques et expose les identités non gouvernées

L’IA, accélérateur de cyberattaques

L’intelligence artificielle n’est plus un simple outil expérimental pour les attaquants. Selon le rapport Sophos 2026, elle est désormais pleinement opérationnalisée pour accélérer la préparation et l’exécution des campagnes malveillantes. Là où plusieurs semaines étaient auparavant nécessaires, quelques jours suffisent désormais pour concevoir, tester et déployer une attaque.

« Les attaquants ont toujours besoin d’un accès initial, continuent de se déplacer latéralement et exfiltrent encore des données via des canaux observables. Ce qui a changé, c’est le facteur temps », explique John Peterson, Chief Technology Officer chez Sophos. Cette compression des délais réduit considérablement les fenêtres de détection et de réponse, obligeant les équipes SOC à agir plus vite que jamais.

Contrairement à certaines idées reçues, l’IA ne crée pas encore massivement de nouvelles techniques d’attaque. Elle optimise surtout des méthodes existantes, notamment celles exploitant les identités comme vecteur d’accès initial (IAV).

Identités d’IA, nouvelle cible stratégique

L’un des enseignements majeurs du rapport concerne l’explosion des risques liés aux identités d’IA. Agents autonomes, assistants de développement, API, clés d’accès et jetons OAuth deviennent des points d’entrée critiques pour les attaquants.

Dans les environnements IT modernes, ces identités disposent souvent de privilèges étendus. Leur compromission permet d’accéder rapidement à des systèmes sensibles, sans déclencher d’alertes immédiates.

Cette évolution s’inscrit dans une tendance plus large : les identités sont redevenues le principal vecteur d’attaque initial, comme le confirme également le rapport Sophos 2026 sur les ransomwares. L’IA amplifie ce phénomène en facilitant l’exploitation des identifiants et des accès.

Exemple concret : la campagne STAC6994

Sophos met en lumière une opération baptisée STAC6994, l’un des premiers cas documentés d’utilisation coordonnée d’agents d’IA par un attaquant.

Dans cette campagne, un cybercriminel a déployé une douzaine d’agents d’IA pour développer et tester des techniques d’évasion contre des solutions de sécurité comme Microsoft Defender, CrowdStrike et Sophos. Résultat : près de 80 modules malveillants et plus de 70 techniques d’évasion ont été générés en quelques jours.

Un tel niveau d’industrialisation aurait nécessité plusieurs semaines, voire mois, sans IA. Cette capacité d’itération rapide marque un tournant dans la maturité opérationnelle des cyberattaques.

Ingénierie sociale et deepfakes à l’échelle industrielle

Autre évolution clé : l’industrialisation de l’ingénierie sociale grâce à l’IA. Les deepfakes et contenus générés automatiquement permettent de créer des campagnes frauduleuses plus crédibles, multilingues et moins coûteuses.

Le rapport cite notamment une escroquerie à l’investissement au Royaume-Uni, où une victime a été manipulée pendant plusieurs mois via des contenus pédagogiques et des messages coordonnés autour de l’IA. Le préjudice s’élève à plusieurs centaines de milliers de livres.

Ces attaques démontrent que l’IA ne se limite pas aux systèmes techniques : elle transforme aussi profondément les vecteurs humains de la cybercriminalité.

Chaîne d’approvisionnement et infrastructures IA sous pression

Les infrastructures liées à l’IA deviennent elles aussi des cibles privilégiées. Outils de développement compromis, malware de vol d’identifiants, serveurs d’inférence ou chaînes d’approvisionnement des modèles : l’ensemble de l’écosystème est exposé.

Les risques concernent notamment :

• La provenance des données d’entraînement
• L’intégrité des modèles et de leurs pondérations
• Les environnements de développement et d’inférence
• Les accès aux API et aux services IA

Cette surface d’attaque élargie transforme la sécurité de l’IA en enjeu global, mêlant gouvernance des identités, sécurité applicative et gestion des risques fournisseurs.

Menace immédiate pour les entreprises

Pour Sophos, le constat est sans ambiguïté : l’IA est désormais intégrée aux opérations criminelles à grande échelle. Les organisations doivent adapter rapidement leurs stratégies de cybersécurité.

« La sécurité de l’IA ne se limite plus à des risques futurs hypothétiques », insiste John Peterson. La menace est bien réelle.

Face à cette accélération, les priorités se dessinent clairement : renforcer la gouvernance des identités, sécuriser les accès aux systèmes d’IA, surveiller les usages et réduire les délais de détection.

Source : Rapport s’appuyant sur les enseignements tirés des dossiers Sophos X-Ops Managed Detection and Response (MDR), des analyses SophosLabs, des renseignements sur les menaces de la Sophos Counter Threat Unit (CTU), des études Sophos AI, et sur des observations issues des terminaux et des réseaux de plus de 625 000 clients dans le monde.