Les pirates confient les clés à des agents IA : les SOC au rythme humain, maillon faible

Pendant des années, l’argument était que l’IA aiderait les attaquants à rédiger de meilleurs courriels d’hameçonnage. La version la plus inquiétante, c’est qu’ils n’ont même plus besoin d’écrire quoi que ce soit, puisque c’est l’agent qui mène l’intrusion. Si c’est la direction que prennent les attaquants, la question n’est pas de savoir si leurs outils sont ingénieux. C’est de savoir si votre équipe de sécurité peut suivre le rythme de quelque chose qui ne dort jamais.

Ce que CrowdStrike a réellement trouvé

Selon le compte rendu de 01net sur le rapport de CrowdStrike, les chercheurs ont identifié quatre groupes jusqu’ici inconnus qui ont délégué l’ensemble de leurs opérations à des agents IA. D’autres articles situent l’activité entre mai et août 2026 et affirment que l’infrastructure d’agents laissée exposée par ces groupes montrait que l’IA menait les intrusions, au lieu de se contenter de produire des outils de piratage. NeoTeo précise que WIRED a rapporté ces conclusions le 21 octobre 2026, notamment la manière dont les groupes ont contourné les garde-fous et le rôle que jouaient encore les humains.

La documentation dont nous disposons est avare en détails techniques; nous ne prétendrons donc pas savoir à quel point ces agents étaient réellement autonomes ni quels dégâts ils ont causés. Le titre n’en reste pas moins important, même si les petits caractères se révèlent moins dramatiques.

Le maillon faible n’est pas la technologie, c’est l’horloge

La plupart des centres opérationnels de sécurité (SOC) sont bâtis autour d’un rythme humain: une alerte se déclenche, un analyste regarde, quelqu’un fait remonter, quelqu’un décide. Cette boucle avait du sens quand l’attaquant avait lui aussi un rythme humain, avec ses horaires, ses pauses café et ses week-ends. Un agent qui travaille sur une cible n’a rien de tout cela. Pour l’attaquant, le coût d’essayer une piste de plus tend vers zéro, tandis que pour le défenseur, le coût d’examiner une alerte de plus reste obstinément humain.

À notre avis, c’est là la véritable asymétrie. Ce n’est pas que l’IA transforme les attaquants en génies. Elle les rend infatigables et bon marché, et les défenseurs ont toujours perdu les guerres d’usure contre des adversaires infatigables et bon marché. Une équipe qui trie à la main en espérant repérer l’alerte dangereuse dans la pile parie, franchement, sur la lenteur de l’attaquant.

Au-delà de ces quatre groupes, un autre signal mérite d’être noté. Selon d’autres sources, le groupe lié à la Chine Vapor Panda utilise depuis le 17 octobre 2026 un outil de test d’intrusion piloté par IA baptisé ARTEX contre plus de 200 organisations dans le monde, l’IA accomplissant l’essentiel du travail. Nous ne pouvons pas dire quel lien existe entre ce cas et les quatre groupes de CrowdStrike, mais la direction semble la même.

Se défendre à la vitesse des machines ne veut pas dire se passer des humains

Ici, nous nuancerions la conclusion facile. « Combattre l’IA par l’IA » est un slogan, et un slogan dangereux s’il revient à laisser des systèmes automatisés mettre en quarantaine des machines critiques sur une intuition. Le partage raisonnable ressemble probablement à ceci: les machines s’occupent de la détection, de la corrélation et du confinement de première réponse, c’est-à-dire de ce qui est réversible, tandis que les humains fixent les règles, examinent les cas limites et assument les décisions irréversibles.

Même du côté du grand public, l’IA agentique apprend cette leçon. Un test de Clubic consacré à l’assistant Eney de MacPaw note qu’il demande par défaut votre accord avant d’envoyer un message ou de déplacer un fichier. Les attaquants n’ont vraisemblablement aucun réglage de ce genre. Les défenseurs devraient y voir un cahier des charges: valider à l’avance un petit ensemble d’actions rapides et automatiques, afin que le point de contrôle humain ne soit pas le goulot d’étranglement.

La tendance cadre aussi mal avec les avertissements de l’industrie elle-même. Le dossier d’introduction en Bourse d’Anthropic consacre, comme le rapporte franceinfo, environ un tiers du document aux risques liés à l’IA, dont les cyberattaques à grande échelle. Quel que soit le jugement que l’on porte sur cette prudence d’entreprise, les conclusions de CrowdStrike suggèrent que le risque n’a rien d’hypothétique.

Notre verdict

Inutile de paniquer face à des pirates surhumains; il faut, modérément, s’inquiéter des processus lents. Si vous dirigez la sécurité d’une organisation, la liste de choses à faire est peu glamour: mesurez le délai entre l’alerte et le confinement, automatisez les dix premières minutes de ce parcours et cessez de considérer « un analyste regardera » comme un contrôle. Les quatre groupes sont restés inconnus jusqu’à ce qu’ils laissent leurs cadres d’agents exposés, ce que nous qualifierions de négligent. C’est rassurant quant à leur discipline, et pas du tout quant au nombre d’autres qui n’ont pas commis cette erreur.