Une menace inédite : un ver doté d'IA adapte ses attaques au cas par cas
Une équipe de chercheurs issue d'institutions renommées a développé une nouvelle génération de maliciel qui pourrait transformer en profondeur le paysage de la cybersécurité. Ce ver adaptatif doté d'IA utilise de grands modèles de langage (LLM) pour développer des exploits sur mesure pour chaque cible et se propager de manière autonome d'appareil en appareil.
L'équipe internationale, composée de scientifiques de l'université de Toronto, du Vector Institute, de l'université de Cambridge et de ServiceNow Research, a publié ses résultats dans l'article de recherche « AI Agents Enable Adaptive Computer Worms » sur arxiv.org. Ces résultats montrent une évolution fondamentale des vers informatiques traditionnels.
Fonctionnement du ver adaptatif doté d'IA
Contrairement à des vers connus comme WannaCry, qui exploitent une faille de sécurité précise, ce nouveau ver fonctionne tout autrement. Il utilise les machines infectées pour exécuter des grands modèles de langage ouverts et conserve ainsi sa capacité de décision tout en élargissant sa portée pour d'autres attaques.
L'avantage décisif de cette approche réside dans la structure des coûts : les LLM tournant sur les machines déjà compromises, les attaquants n'ont aucun coût de puissance de calcul. Les défenseurs, en revanche, doivent payer pour des mesures de défense fondées sur l'IA. Cette approche contourne en outre les contrôles de sécurité centralisés et les limitations de débit des offres commerciales d'IA.
Développement autonome d'exploits
La capacité du ver à développer des exploits de manière autonome est particulièrement remarquable. Les LLM intégrés analysent les cibles par eux-mêmes, s'adaptent à de nouvelles observations et élaborent une logique d'attaque en temps réel. Le ver devient ainsi indépendant de codes d'exploit prédéfinis ou de preuves de concept connues.
Résultats des tests en environnement contrôlé
Les chercheurs ont testé leur ver dans un réseau isolé de 33 appareils de différentes catégories. Le réseau de test comprenait des serveurs Linux, des environnements Windows et des objets connectés (IoT). Des failles connues, également présentes dans des environnements d'entreprise réels, ont été délibérément laissées ouvertes.
Taux de réussite et propagation
Les résultats obtenus sur plusieurs campagnes de sept jours affichent des taux de réussite impressionnants :
- Le ver a correctement identifié environ un tiers des failles présentes
- Sur un quart des machines, il est parvenu à élever ses propres droits
- La propagation a réussi sur environ 20 % des appareils
- Le ver a atteint sept générations d'autoreproduction
- Au total, il a attaqué avec succès près de 75 % du réseau
- La réplication a réussi sur près de deux tiers de l'ensemble du réseau
Il est particulièrement notable que le ver ait développé de lui-même des exploits fonctionnels pour trois failles qui n'ont été connues qu'en 2026. Cela se situait au-delà de la date de fin d'entraînement des LLM utilisés et démontre sa capacité à générer des exploits de manière autonome à partir d'informations publiées.
Portée pour la sécurité technique
Cette évolution constitue un changement de paradigme dans le paysage des menaces. Alors que les vers classiques peuvent être arrêtés par l'application rapide de correctifs de sécurité, cette stratégie est nettement moins efficace contre des vers adaptatifs dotés d'IA. La capacité d'adaptation en temps réel et de développement autonome d'exploits rend les stratégies de défense traditionnelles insuffisantes.
Pour les exploitants de systèmes de sécurité, cela signifie une complexité accrue en matière de surveillance et de défense des réseaux. Les systèmes de détection d'anomalies et les solutions de sécurité comportementales gagnent en importance, les approches fondées sur les signatures étant moins efficaces contre cette menace adaptative.
Conséquences pour les infrastructures critiques
Cette nouvelle classe de menaces pourrait s'avérer particulièrement problématique pour les infrastructures critiques, où des systèmes anciens présentant des failles connues sont souvent en service. La capacité du ver à développer des exploits autonomes même pour des failles récentes complique encore la défense.
Stratégies de prévention et mesures de protection
Face à cette nouvelle classe de menaces, les responsables de la sécurité doivent repenser leurs stratégies. Les concepts de sécurité à plusieurs niveaux gagnent en importance, les mesures de protection isolées étant moins efficaces contre des attaquants adaptatifs.
La segmentation du réseau devient un facteur critique pour limiter la vitesse de propagation. Les systèmes de supervision devraient en outre être davantage conçus pour repérer les activités réseau inhabituelles et les comportements système anormaux.
Une gestion continue des correctifs
Bien que les correctifs ne suffisent plus à eux seuls, une gestion rapide des correctifs reste essentielle. Réduire la surface d'attaque en comblant rapidement les failles connues complique la prise de pied du ver adaptatif et ses premiers succès.
Perspectives pour l'avenir de la cybersécurité
Les chercheurs mettent fermement en garde contre cette nouvelle classe de menaces : « Nous devons nous préparer à des adversaires génératifs autonomes : des systèmes de maliciels qui se propagent sans intervention humaine et qui ne sont pas définis par un code d'exploit figé, mais par la capacité d'analyser des cibles, de s'adapter aux observations et d'élaborer une logique d'attaque en temps réel. »
Cette évolution marque le passage d'une cybersécurité réactive à une cybersécurité proactive. Selon les chercheurs, les cybermenaces autonomes fondées sur l'IA ne relèvent plus de la théorie, mais constituent un danger réel et immédiat.
La nécessité de nouvelles stratégies de défense
L'industrie de la sécurité doit relever le défi de développer des mécanismes de défense capables de suivre la capacité d'adaptation d'attaquants dotés d'IA. Cela suppose peut-être de recourir à ses propres systèmes d'IA pour la défense, ce qui entraîne à son tour de nouvelles structures de coûts et de complexité.
Ces travaux de recherche montrent clairement que le paysage de la cybersécurité est à l'aube d'une mutation profonde. Les entreprises et institutions doivent réévaluer leurs stratégies de sécurité et se préparer aux défis de menaces adaptatives fondées sur l'IA.
