Plongeons dans une nouvelle forme de cybermenace qui donne des sueurs froides aux experts en sécurité.

Il s'agit de l'utilisation de l'intelligence artificielle pour générer des attaques d'hameçonnage en temps réel.

Imaginez une page web qui semble parfaitement inoffensive au moment où vous cliquez, mais qui se transforme en piège malveillant une fois chargée dans votre navigateur grâce à la puissance des LLM.

Une technique appelée « assemblage à l’exécution »

Cette évolution, documentée par les chercheurs de l'unité Unit 42 de l'entreprise Palo Alto Network, repose sur une technique appelée « assemblage à l’exécution ».

Contrairement aux attaques classiques où le code malveillant est déjà présent sur le serveur de l'attaquant, ici, la page web initiale est "propre".

Mais une fois ouverte, elle utilise des appels API vers des services d'IA légitimes et réputés, comme Google Gemini ou DeepSeek, pour construire son propre code malveillant.

Pour les professionnels de la cybersécurité, c'est un défi de taille : environ 36 % des pages malveillantes détectées chaque jour utilisent déjà des comportements d'assemblage à l'exécution pour dissimuler leur véritable nature.

Ingénierie des instructions d'IA

Le secret de cette discrétion réside dans l'ingénierie des instructions d'IA, ce que tout le monde appelle désormais prompt. Les attaquants ont appris à contourner les garde-fous des IA en utilisant un langage naturel détourné.

Plutôt que de demander par exemple "du code pour voler des mots de passe", ce qui serait bloqué par l'IA, ils demandent de générer une fonction technique générique.

Une fois que l'IA renvoie ce fragment de code, la page web l'assemble instantanément pour créer une interface de connexion frauduleuse. Ce contenu est d'autant plus difficile à bloquer qu'il provient de domaines internet considérés comme fiables, ceux-là mêmes que vos collaborateurs utilisent peut-être déjà pour travailler au bureau ou dans les transports.

Une menace polymorphe

L'autre aspect redoutable de cette menace est son caractère « polymorphe ». Puisque l'IA génère une réponse légèrement différente à chaque fois, la signature numérique du script change pour chaque victime. Cela rend les analyses statiques et les filtres réseau traditionnels quasiment inopérants.

Pour se protéger, les entreprises ne peuvent plus se contenter de lister les sites interdits. La défense doit désormais passer par une analyse comportementale en temps réel, capable de détecter une activité suspecte directement au sein du navigateur, au moment même où l'assemblage se produit.

Le ZD Tech est sur toutes les plateformes de podcast ! Abonnez-vous !

Hébergé par Ausha. Visitez ausha.co/politique-de-confidentialite pour plus d'informations.