MtoM Mag - Le journal de l'MtoM.

Selon le rapport Sophos 2026 sur la sécurité de l’IA, les cybercriminels ne se contentent plus d’expérimenter l’IA, mais l’opérationnalise désormais pour mener leurs attaques

Sophos publie aujourd’hui son rapport 2026 sur la sécurité de l’IA dont les conclusions révèlent que les attaquants exploitent dorénavant l’intelligence artificielle (IA) pour ramener les délais nécessaires à la conduite des attaques de plusieurs semaines à quelques jours seulement. D’après le rapport, l’impact le plus immédiat de l’IA sur la cybercriminalité réside, à ce stade, dans la vitesse d’exécution et dans l’augmentation des attaques qui utilisent les identités comme principal vecteur d’accès initial (Initial Access Vector, IAV), plutôt que dans la création de nouveaux types d’attaques.

« Les attaquants ont toujours besoin d’un accès initial, continuent de se déplacer latéralement et exfiltrent encore des données via des canaux observables. Ce qui a changé, c’est le facteur temps », explique John Peterson, Chief Technology Officer, Sophos. « Pour la première fois, nous avons vu l’IA être utilisée comme un amplificateur de capacité opérationnelle. Si les outils et les techniques étaient connus, la rapidité de développement, de test et d’itération était nettement différente. C’est à cette menace que les équipes de sécurité doivent se préparer. Celle-ci se traduit par des cycles plus rapides et des fenêtres de réponse plus courtes, et une pression accrue sur les équipes de sécurité pour détecter et contenir les activités avant qu’elles n’aient des conséquences. »

Principales conclusions du rapport Sophos 2026 sur la sécurité de l’IA

 L’IA raccourcit les cycles d’attaque et accélère la préparation opérationnelle.
 Les identités d’IA en entreprise, les jetons OAuth, les agents, les API et les outils de développement deviennent des cibles de grande valeur.
 L’ingénierie sociale assistée par l’IA et les deepfakes sont désormais des outils opérationnels.
 Les acteurs malveillants intègrent l’IA dans les marchés clandestins, le recrutement, l’ingénierie de prompts, le jailbreaking, le développement de logiciels malveillants et les services criminels.
 Les infrastructures de développement de l’IA et les chaînes d’approvisionnement associées sont prises pour cibles.

L’IA entre les mains des attaquants

Parmi les conclusions les plus marquantes du rapport Sophos figure la découverte d’une campagne, suivie sous le nom de STAC6994, qui utilise l’IA pour orchestrer ses opérations. Il s’agit de l’un des premiers exemples avérés de cette pratique.

L’attaquant menait une opération de développement logiciel au sein du réseau d’un client, et utilisait environ 12 agents d’IA pour concevoir et tester des attaques contre des agents de sécurité des terminaux, notamment Sophos, CrowdStrike et Microsoft Defender. Il a ainsi pu produire près de 80 modules et plus de 70 techniques d’évasion, réduisant à quelques jours une tâche qui aurait pris des semaines à un humain. Cela a considérablement accéléré la vitesse à laquelle les techniques d’attaque atteignent un stade opérationnel.

Ce travail de collecte de renseignements sur les menaces nous a permis de garder une longueur d’avance et de neutraliser les attaques avant qu’elles ne soient déployées dans le monde réel.

Les identités d’IA, nouvelle surface d’attaque

Le rapport identifie l’adoption de l’IA en entreprise comme le facteur d’exposition aux risques à la croissance la plus rapide. À mesure que les agents de codage, les assistants et les modèles à poids ouverts obtiennent des accès privilégiés aux systèmes critiques, les attaquants ciblent la confiance, les identifiants et les autorisations d’accès associés à ces systèmes. Résultat : les identités d’IA, les agents, les connexions OAuth et les clés API deviennent une surface d’attaque de grande valeur, tandis que la gouvernance peine à suivre le rythme.

Les attaquants créent de nouveaux vecteurs d’accès aux réseaux d’entreprise en compromettant des jetons OAuth, des identifiants de services d’IA, des outils de développement et des infrastructures d’IA exposées. Cela montre que l’IA représente désormais autant un enjeu lié aux identités, à la gouvernance et à la chaîne d’approvisionnement qu’un sujet de sécurité des modèles.

Cette tendance se retrouve également dans le récent rapport Sophos 2026 sur l’état des ransomwares qui révèle que, pour la première fois en plus de trois ans, les identités sont devenues le principal vecteur d’accès initial.

L’ingénierie sociale et les deepfakes basés sur l’IA désormais opérationnels L’ingénierie sociale assistée par l’IA et les deepfakes rendent les escroqueries plus faciles à déployer à grande échelle, plus convaincantes dans toutes les langues et considérablement moins coûteuses à produire.

Parmi les incidents mis en lumière dans le rapport figure une escroquerie à l’investissement liée à l’IA qui a attiré une victime basée au Royaume-Uni vers une fausse plateforme d’investissement prétendument alimentée par l’IA, après plusieurs mois de contenus pédagogiques sur le thème de l’IA et de messages coordonnés. La victime a fini par perdre plusieurs centaines de milliers de livres sterling.

Les infrastructures de développement de l’IA sont également ciblées directement par des attaques impliquant des outils de développement compromis et des logiciels malveillants de vol d’identifiants. Les risques liés à la chaîne d’approvisionnement autour de la pondération des modèles, de la provenance des données d’entraînement, des serveurs MCP et de l’infrastructure d’inférence prennent également de l’ampleur.

« Ce rapport montre clairement que la sécurité de l’IA ne se limite plus au comportement des modèles ou à des risques futurs hypothétiques. L’IA est désormais activement intégrée aux modes opératoires criminels et aux opérations d’ingénierie sociale, tout comme au développement de logiciels en entreprise et aux systèmes de gestion des identités au sein d’organisations légitimes. Autrement dit, la menace est réelle et immédiate », déclare John Peterson, Sophos. « À mesure que les modèles d’IA de pointe continuent d’évoluer, les prochains mois seront caractérisés par la rapidité avec laquelle les organisations parviendront à encadrer l’utilisation de l’IA, sécuriser les identités et les connexions qui y sont associées, et suivre le rythme d’attaquants capables d’adopter rapidement de nouvelles capacités. »

Le rapport s’appuie sur les enseignements tirés des dossiers Sophos X-Ops Managed Detection and Response (MDR), des analyses SophosLabs, des renseignements sur les menaces de la Sophos Counter Threat Unit (CTU), des études Sophos AI, et sur des observations issues des terminaux et des réseaux de plus de 625 000 clients dans le monde.