Cyberattaques assistées par IA : ce que révèlent les rapports des éditeurs

Les éditeurs d’IA publient eux-mêmes le mode d’emploi de ce que les criminels font avec leurs outils. Anthropic et OpenAI diffusent depuis deux ans des rapports de renseignement sur les menaces, où ils détaillent les campagnes qu’ils ont détectées et bloquées sur leurs propres modèles. Ces documents sont publics et précis. Les attaques assistées par IA y sont décrites cas par cas, et à la lecture, le risque le plus sérieux pour une PME n’est pas celui qu’on redoute spontanément.

Ce que les éditeurs ont documenté

Dans son rapport d’août 2025, Anthropic décrit une campagne d’extorsion baptisée « vibe hacking ». Un seul acteur, avec des compétences techniques limitées, a visé au moins 17 organisations (santé, services d’urgence, institutions publiques et religieuses) en s’appuyant sur Claude Code pour automatiser la reconnaissance, choisir les fichiers à exfiltrer et rédiger des demandes de rançon calibrées pour maximiser la pression psychologique. Certaines rançons dépassaient 500 000 dollars. Le même rapport documente des opérateurs nord-coréens utilisant l’IA pour décrocher et conserver des postes de développeur à distance dans de grandes entreprises technologiques, et un individu vendant des rançongiciels entre 400 et 1 200 dollars alors qu’il était incapable d’en écrire le code lui-même.

OpenAI publie des rapports comparables. Depuis le début de son reporting public en février 2024, l’entreprise indique avoir démantelé plus de 40 réseaux violant ses conditions d’usage : escroqueries, opérations d’influence, cyberattaques. Son constat le plus utile pour comprendre la période : les attaquants n’inventent pas de nouveaux modes opératoires autour de l’IA, ils greffent l’IA sur leurs méthodes existantes pour aller plus vite et plus large. OpenAI note aussi, et c’est une nuance qui manque souvent dans les reprises presse, que ses modèles servent trois fois plus souvent à détecter des arnaques qu’à en produire.

Ce que ça change pour une PME

L’IA ne crée pas de catégorie d’attaque inédite. Elle supprime des barrières. Le phishing approximatif truffé de fautes, qui servait de signal d’alerte à vos équipes depuis quinze ans, disparaît : un attaquant étranger produit désormais un français parfait, au ton de votre secteur, en reprenant le vocabulaire de vos échanges réels s’il a mis la main dessus. Un profil sans compétence technique peut mener une campagne qui demandait auparavant une équipe. Le volume et la qualité augmentent en même temps, ce qui est la combinaison la plus désagréable pour une organisation qui misait sur le bon sens de ses collaborateurs comme dernière ligne de défense.

Vos consignes internes reposaient sur des critères de détection humaine qui sont aujourd’hui périmés. Les procédures de vérification, elles, restent valables. Un virement dont l’IBAN change se confirme par téléphone, sur un numéro connu, quelle que soit la qualité du courriel qui le demande.

Le risque le plus sous-estimé : les accès que vous donnez à votre propre IA

Les rapports d’incidents laissent ce point dans l’ombre. Le sujet n’est pas seulement que des criminels utilisent l’IA contre vous. C’est que vous êtes en train de connecter des assistants à votre messagerie, à vos fichiers partagés, à votre CRM, avec des droits parfois plus larges que ceux de vos propres salariés.

La vulnérabilité s’appelle l’injection de prompt. Elle occupe la première place du top 10 de l’OWASP consacré aux applications à base de grands modèles de langage, et elle l’a conservée dans l’édition 2026 publiée début août. Un agent IA ne distingue pas les instructions de son utilisateur de celles qu’il rencontre dans les contenus qu’il lit. Un courriel reçu, un document partagé, une page web consultée peuvent contenir des instructions dissimulées. L’agent les exécute comme si elles venaient de vous. Plus il est intégré à vos outils, plus une injection réussie porte loin : lecture de documents confidentiels, envoi de messages en votre nom, modification de fichiers.

Les autorités françaises ont pris position sur le sujet. Le 13 avril 2026, le CERT-FR a publié un bulletin sur les produits d’automatisation par IA agentique dont la recommandation est sans ambiguïté :

« Les produits d’automatisation de tâches bureautiques par IA agentique n’étant pas encore éprouvés et pour la plupart en version beta, ils ne doivent en aucun cas être déployés en environnements de production. »

Le bulletin ajoute que leur usage doit rester limité à des environnements de test isolés sans données sensibles, que les actions et outils accessibles aux agents doivent être réduits au strict nécessaire, et qu’une validation humaine doit être obligatoire dès qu’une commande système ou une action à effet de bord est envisagée.

Sept règles à appliquer avant de connecter une IA à vos données

1. Moindre privilège. Un assistant qui doit lire les factures n’a pas besoin d’un accès en écriture à la comptabilité, ni de voir les dossiers RH. Les droits se taillent au besoin réel, pas au périmètre le plus commode.
2. Validation humaine sur tout effet de bord. Lire, analyser, proposer : l’IA peut le faire seule. Envoyer, payer, supprimer, modifier : quelqu’un valide. C’est exactement la ligne tracée par le CERT-FR.
3. Pas d’agent autonome en production. Les démonstrations d’agents qui enchaînent les actions sans supervision font leur effet en salon. Sur vos systèmes réels, elles sont prématurées.
4. Cloisonner. Un agent par domaine et par périmètre de données, plutôt qu’un assistant unique qui voit tout. Une injection réussie reste alors circonscrite.
5. Journaliser. Chaque action de l’agent doit laisser une trace exploitable : qui a demandé quoi, quelles données ont été lues, quelles actions déclenchées. Sans journal, un incident est indétectable et inexplicable.
6. Choisir des comptes entreprise contractualisés. Les versions grand public réutilisent souvent les données. Le sujet des données qui sortent de chez vous est traité en détail dans notre article sur ce que deviennent vos données dans ChatGPT.
7. Écrire la règle avant l’incident. Qui peut connecter quel outil à quelles données, et qui valide. C’est l’objet d’une charte IA, et c’est le document qui manque dans la quasi-totalité des entreprises que nous auditons.

Faut-il renoncer à connecter l’IA à ses données ?

Non, et ce serait une lecture paresseuse de ces rapports. Une IA branchée sur vos chiffres reste l’un des gains de productivité les plus concrets du moment, et les mêmes technologies servent aujourd’hui à détecter les fraudes autant qu’à les commettre. Vous allez connecter l’IA à vos données de toute façon. Ce qui se décide maintenant, ce sont les droits que vous lui accordez et la trace que vous gardez de ce qu’elle fait.

C’est là que se joue la différence entre un pilote qui impressionne en réunion et un déploiement qui tient trois ans, et cela ne se voit pas pendant la démonstration. Vous le saurez le jour où quelqu’un enverra à votre assistant un document piégé.

Questions fréquentes

Les modèles ne sont-ils pas censés refuser les demandes malveillantes ?

Ils refusent les demandes explicitement malveillantes, et les éditeurs renforcent ces garde-fous en continu, comme le montrent leurs rapports. Mais une injection de prompt ne ressemble pas à une demande malveillante : elle ressemble à une instruction légitime, adressée à un agent qui a déjà vos accès. À ce niveau, le garde-fou du modèle ne joue plus. Ce sont les droits accordés à l’agent qui font la défense.

Le risque est-il différent selon l’éditeur choisi ?

Marginalement. Anthropic, OpenAI, Microsoft et les autres investissent tous dans la détection des abus et publient des rapports. Ce qui fait la différence, c’est l’architecture de votre déploiement bien plus que la marque du modèle : périmètre des accès, validation humaine, cloisonnement, journalisation.

Une PME est-elle vraiment une cible ?

Davantage qu’avant, précisément à cause de la baisse des barrières décrite plus haut. Les campagnes qui visaient les grands comptes parce qu’elles coûtaient cher à monter deviennent rentables sur des cibles plus petites quand leur préparation est automatisée. Les organisations visées dans le cas documenté par Anthropic n’étaient pas des multinationales.

Par où commencer concrètement ?

Par un inventaire : quels outils IA sont déjà utilisés dans l’entreprise, par qui, avec quels accès et quels comptes. La plupart des dirigeants découvrent à cette occasion des usages qu’ils n’avaient pas autorisés. Le reste découle de cet état des lieux.

Sources

• CERT-FR, Vulnérabilités et risques des produits d’automatisation par IA agentique sur les postes de travail, 13 avril 2026.
• Anthropic, Detecting and countering misuse of AI, août 2025.
• OpenAI, Disrupting malicious uses of AI, rapports publiés depuis février 2024.
• OWASP, GenAI LLM Top 10, édition 2026.

Vous connectez déjà des outils IA à vos données, ou vous vous apprêtez à le faire ? Notre audit IA en 5 jours commence par l’inventaire des usages réels et des accès en place, puis trie les cas d’usage rentables de ceux qui ajoutent du risque sans contrepartie.