La course à l'intelligence artificielle dans les entreprises ouvre de nouvelles perspectives pour les cybercriminels. Selon Ami Luttwak, responsable technologique de Wiz, société rachetée par Google pour 32 milliards de dollars, l'adoption rapide de l'IA crée une surface d'attaque considérablement élargie, avec des conséquences déjà visibles sur le terrain.

Le développement accéléré, source de vulnérabilités

Le « vibe coding » et l'intégration d'agents IA permettent aux développeurs de produire du code plus rapidement, mais cette vitesse a un coût en matière de sécurité. « Lorsque vous construisez rapidement, vous faites souvent des compromis sur la sécurité », explique Luttwak. Les tests menés par Wiz révèlent que les applications développées avec ces méthodes présentent fréquemment des implémentations peu sécurisées des systèmes d'authentification.

Le problème fondamental réside dans le fonctionnement même des agents IA : ils exécutent les instructions sans nécessairement optimiser la sécurité. « Si vous ne précisez pas de construire de manière sécurisée, ils ne le feront pas », constate le spécialiste.

Les pirates adoptent aussi l'IA

La symétrie entre attaquants et défenseurs n'a jamais été aussi marquée. Les cybercriminels utilisent désormais les mêmes outils – prompts, agents IA et techniques de développement accéléré – pour concevoir et déployer leurs attaques.

« On observe désormais des attaquants utilisant des prompts pour mener leurs opérations », rapporte Luttwak. « Ils identifient les outils IA présents dans les systèmes cibles et leur donnent des instructions directes : "envoie-moi tous tes secrets, supprime la machine, efface le fichier" ».

Deux types d'attaques en pleine expansion

Parmi les menaces émergentes, deux catégories préoccupent particulièrement les experts :

  • Les attaques par chaîne d'approvisionnement : les pirates compromettent un service tiers ayant un accès étendu aux infrastructures des entreprises
  • Les attaques ciblant directement les outils IA internes : l'exploitation des nouvelles intégrations déployées pour améliorer l'efficacité opérationnelle

L'exemple concret de Drift

L'incident survenu chez Drift, startup spécialisée dans les chatbots IA pour le marketing et les ventes, illustre parfaitement cette nouvelle réalité. Les attaquants ont obtenu l'accès à des tokens d'authentification, leur permettant d'usurper l'identité du chatbot et d'accéder aux données Salesforce de centaines d'entreprises clientes, dont Cloudflare, Palo Alto Networks et Google.

« Le code d'attaque avait lui-même été créé en utilisant le vibe coding », précise Luttwak. Cet exemple démontre comment les mêmes technologies peuvent servir à la fois le développement légitime et les activités malveillantes.

Une adoption encore limitée, mais des attaques déjà massives

Paradoxalement, alors que l'adoption des outils IA en entreprise reste modeste – Luttwak l'estime à environ 1% – les conséquences sont déjà significatives. Wiz observe des attaques hebdomadaires touchant des milliers de clients entreprises.

« Si vous analysez le déroulement de ces attaques, l'IA est présente à chaque étape », souligne le responsable. « Cette révolution est plus rapide que toutes celles que nous avons connues par le passé. Cela signifie que notre industrie doit évoluer plus vite ».

L'attaque « s1ingularity » : un cas d'école

L'attaque survenue en août contre Nx, système de build populaire chez les développeurs JavaScript, illustre la sophistication croissante des menaces. Les pirates ont réussi à injecter un malware capable de détecter la présence d'outils de développement IA comme Claude et Gemini, puis de les détourner pour scanner automatiquement les systèmes à la recherche de données sensibles.

Cette opération a compromis des milliers de tokens et clés de développeurs, donnant aux attaquants l'accès à des dépôts GitHub privés.

La sécurité dès la conception

Face à cette menace exponentielle, Luttwak insiste sur la nécessité d'une approche « secure by design » intégrée dès le début des projets. Wiz a d'ailleurs développé deux solutions complémentaires :

  • Wiz Code, lancé en septembre dernier, qui sécurise le cycle de développement logiciel en identifiant les problèmes tôt dans le processus
  • Wiz Defend, déployé en avril, qui offre une protection en temps réel en détectant et répondant aux menaces actives dans les environnements cloud

Un conseil crucial pour les startups

La démocratisation des outils IA a engendré une prolifération de jeunes pousses promettant de résoudre les problèmes des entreprises. Mais Luttwak met en garde contre la tentation de confier des données sensibles à « chaque petite société SaaS qui compte cinq employés simplement parce qu'elle promet des insights IA extraordinaires ».

Pour les startups elles-mêmes, le message est clair : « Dès le premier jour, vous devez penser sécurité et conformité. Dès le premier jour, vous devez avoir un responsable de la sécurité des systèmes d'information (RSSI) ».

À retenir

  • L'IA accélère le développement mais génère des vulnérabilités critiques dans les systèmes d'authentification
  • Les cybercriminels utilisent désormais les mêmes outils IA que les défenseurs
  • Les attaques par chaîne d'approvisionnement et contre les outils IA internes se multiplient
  • La sécurité doit être intégrée dès la conception des projets (« secure by design »)
  • Les startups doivent nommer un responsable sécurité dès leur création