La première zero-day développée avec une IA : le « vulnpocalypse » a-t-il commencé ?

Une vulnérabilité inconnue. Un exploit capable de contourner la double authentification. Un groupe cybercriminel qui prépare une campagne massive. Et, au milieu du code, des indices qui ressemblent furieusement à la signature d’un modèle de langage. En mai 2026, Google Threat Intelligence Group (GTIG) a annoncé avoir intercepté ce scénario avant son passage à l’échelle.

Ce n’est pas encore l’apocalypse informatique annoncée dans les titres les plus nerveux. Google ne sait pas prouver que l’IA a découvert seule la faille de bout en bout. En revanche, l’entreprise estime avec un haut niveau de confiance qu’un acteur criminel a utilisé une IA pour développer et armer une zero-day destinée à une campagne réelle. C’est déjà un changement de catégorie.

Une zero-day avec des commentaires beaucoup trop pédagogiques

Une zero-day est une vulnérabilité inconnue du fournisseur et, souvent, des défenseurs au moment où elle est exploitée. Tant qu’elle n’est pas corrigée, les organisations ne peuvent pas simplement appliquer le correctif officiel. Elles doivent réduire l’exposition, surveiller les comportements suspects et trouver des mesures de contournement.

Dans le cas observé par GTIG, l’exploit ciblait un outil d’administration web open source très répandu. Google n’a pas révélé son nom ni celui de la vulnérabilité, mais indique que le code permettait de contourner la double authentification à partir d’un script Python. Le groupe derrière l’opération prévoyait de l’utiliser dans une campagne d’exploitation massive.

Ce qui a attiré l’attention des chercheurs n’était pas une sophistication spectaculaire. C’était la texture du code. Des chaînes de documentation très détaillées expliquaient des fonctions que leur auteur aurait normalement dû connaître. Le script contenait des annotations abondantes et un score CVSS inventé, avec une référence qui n’existait pas.

Ce genre d’indice ne constitue pas une preuve mathématique. Un humain peut demander à une IA de commenter son code, puis oublier de nettoyer le résultat. Mais l’ensemble des artefacts a convaincu Google qu’un modèle avait joué un rôle important dans le développement de l’exploit. Le fournisseur a été alerté, la faille corrigée et la campagne interrompue avant son lancement massif.

Le détail le plus important est peut-être celui-ci : GTIG ne prétend pas savoir si l’IA a trouvé la vulnérabilité initiale. Elle a très probablement contribué à la recherche, à l’analyse ou à la weaponization — la transformation d’une faille en outil d’attaque exploitable. Cette nuance évite de transformer un signal majeur en scénario de science-fiction.

Le vrai changement : le temps disponible se mesure en jours

Le rapport 2026 de Rapid7 donne une idée de la pression qui s’installe. Le nombre de vulnérabilités de gravité élevée ou critique dont l’exploitation a été confirmée est passé de 71 à 146, soit une hausse de 105 % en un an. Le délai médian entre la publication d’une vulnérabilité et son apparition dans le catalogue KEV de la CISA est tombé de 8,5 jours à 5 jours.

Le KEV, pour Known Exploited Vulnerabilities, est la liste des failles que la CISA sait exploitées dans le monde réel. Une entrée dans cette liste n’est pas une simple alerte théorique : elle signale une vulnérabilité que les organisations doivent traiter en priorité.

Cinq jours pour passer de la publication à l’exploitation documentée, ce n’est déjà plus un calendrier de gestion classique. Il faut parfois davantage de temps pour identifier les machines concernées, obtenir l’accord de la direction, tester un correctif et le déployer sans casser une application critique.

L’IA ne crée pas nécessairement une faille plus brillante. Elle peut surtout réduire le temps nécessaire pour comprendre un produit, comparer plusieurs versions, adapter un proof of concept et produire un outil utilisable. Le gain est industriel. Ce qui demandait une équipe spécialisée peut être préparé par un groupe moins expérimenté, avec un modèle comme assistant de recherche et de développement.

Le DBIR 2026 de Verizon va dans le même sens, avec une donnée particulièrement gênante : l’exploitation de vulnérabilités est devenue le premier vecteur d’accès initial dans son échantillon, devant le vol d’identifiants. Le rapport porte principalement sur des incidents couvrant la période 2024-2025, mais il constate déjà que les acteurs utilisent l’IA pour choisir leurs cibles, rechercher des vulnérabilités et développer des outils et des malwares.

Il ne faut donc pas lire ces chiffres comme la preuve que toutes les attaques sont désormais pilotées par une IA. Ils montrent plutôt que les attaquants disposent d’un accélérateur supplémentaire dans une chaîne qui existait déjà.

Vingt-sept secondes, mais pas pour tout

Les chiffres de vitesse circulent souvent sans leur mode d’emploi. CrowdStrike a enregistré un temps record de 27 secondes entre l’accès initial et le déplacement vers un autre système. Ce n’est pas la moyenne : le temps moyen de breakout d’un groupe cybercriminel était de 29 minutes.

La différence reste considérable. Un breakout est le moment où l’attaquant quitte le système initialement compromis pour atteindre une autre machine ou un autre environnement. En 27 secondes, un défenseur humain n’a pratiquement aucune chance d’analyser l’alerte, de confirmer l’incident et d’isoler la machine manuellement.

Mandiant documente une autre forme de compression. Le délai médian entre l’accès initial obtenu par un groupe et sa transmission à un second groupe criminel est passé de plus de huit heures en 2022 à 22 secondes en 2025. Il ne s’agit pas du temps nécessaire pour exfiltrer les données ou chiffrer le réseau. C’est le temps de relais entre deux spécialistes du marché criminel.

Cette distinction compte, parce qu’elle montre que l’accélération ne vient pas uniquement des modèles. Elle vient aussi de l’organisation du crime informatique. Un groupe obtient l’accès, un autre prend le relais, les tunnels et les outils sont déjà préparés, et la machine compromise passe immédiatement dans la phase suivante.

L’IA s’insère dans cette chaîne comme une couche d’optimisation. Elle rédige les scripts, adapte les commandes, cherche une autre piste quand la première échoue et transforme une documentation technique en procédure exploitable. Le résultat n’est pas forcément spectaculaire. Il est simplement plus rapide et plus disponible.

Le « vulnpocalypse » n’est pas une pluie magique de zero-days

Le terme « vulnpocalypse » est efficace pour attirer l’attention, mais il décrit mal le risque immédiat. Le scénario le plus probable n’est pas une avalanche de failles inconnues inventées automatiquement chaque matin. C’est une accélération de toutes les étapes qui entourent déjà une vulnérabilité.

Une IA peut aider à repérer un composant exposé, comprendre un changement entre deux versions, traduire un outil dans un autre langage, générer des tests, reproduire un crash ou vérifier les conditions nécessaires à une exploitation. Même lorsque la faille est connue, ces gains réduisent la distance entre « un correctif existe » et « un attaquant a une procédure qui fonctionne ».

Le paradoxe est que les défenseurs bénéficient des mêmes capacités. Google utilise Big Sleep pour rechercher des vulnérabilités et CodeMender pour aider à corriger du code. Une IA peut analyser un dépôt plus vite qu’une équipe humaine, générer des cas de test et signaler un chemin d’exploitation avant qu’un criminel ne le transforme en arme.

Mais l’asymétrie reste défavorable aux organisations mal préparées. L’attaquant n’a pas besoin de corriger tout son parc. Il lui suffit de trouver une cible vulnérable. Le défenseur, lui, doit connaître tous ses actifs, mesurer leur exposition, tester les correctifs, préserver la continuité de service et prouver que le risque a disparu.

L’IA ne supprime pas cette asymétrie. Elle peut l’accentuer si les entreprises continuent de gérer les vulnérabilités avec des tableaux de suivi qui datent d’une époque où l’exploitation attendait plusieurs semaines.

Que faire avant que la fenêtre se referme ?

La première réponse consiste à arrêter de traiter le score CVSS comme une file d’attente suffisante. Une vulnérabilité notée 8 n’est pas forcément la plus urgente si elle concerne un serveur isolé. À l’inverse, une faille moins spectaculaire sur une interface d’administration exposée, avec des identifiants puissants et une double authentification contournable, peut devenir prioritaire immédiatement.

Les équipes doivent croiser la gravité technique avec l’exposition réelle : actifs accessibles depuis Internet, équipements en périphérie, privilèges associés, présence dans la chaîne de production et exploitation observée. La liste CISA KEV reste une base utile, mais elle ne remplace pas une cartographie précise du système d’information.

Il faut ensuite réduire le délai entre la détection et l’action. Les correctifs d’urgence doivent pouvoir être déployés selon une procédure déjà testée. Les systèmes exposés doivent disposer d’une télémétrie exploitable. Les identifiants privilégiés doivent être temporaires et révoquables. Les mouvements latéraux doivent déclencher une réponse automatique quand un compte ou une machine se comporte en dehors de son rôle habituel.

Enfin, l’IA défensive doit être intégrée avec prudence. Elle peut trier les alertes, comparer des versions de code, analyser des journaux et proposer un correctif. Elle ne doit pas devenir une nouvelle boîte noire avec des droits illimités. Chaque action automatisée doit être attribuable, bornée et réversible.

Le signal envoyé par Google est donc sérieux, mais il ne dit pas que les humains ont perdu la partie. Il dit que le vieux modèle — publier un correctif, attendre quelques semaines, puis vérifier les journaux — ne suffit plus. La fenêtre de réaction se réduit parce que l’attaquant peut désormais industrialiser la compréhension du logiciel.

La première zero-day développée avec l’aide d’une IA n’annonce peut-être pas la fin de la cybersécurité. Elle annonce quelque chose de plus concret et de plus pénible : désormais, une faille doit être considérée comme potentiellement exploitable beaucoup plus vite, parce qu’un modèle peut déjà être en train de transformer sa description en mode d’emploi.

Sources

• Google Threat Intelligence Group — Adversaries Leverage AI for Vulnerability Exploitation, Augmented Operations, and Initial Access — https://cloud.google.com/blog/topics/threat-intelligence/ai-vulnerability-exploitation-initial-access — découverte d’un exploit zero-day développé avec l’aide probable d’une IA et interrompu avant une campagne de masse.

• CyberScoop — Google spotted an AI-developed zero-day before attackers could use it — https://cyberscoop.com/google-threat-intelligence-group-ai-developed-zero-day-exploit/ — détails sur les indices repérés dans le code Python et les limites de l’attribution.

• Verizon — 2026 Data Breach Investigations Report — https://www.verizon.com/business/resources/T161/reports/2026-dbir-data-breach-investigations-report.pdf — plus de 31 000 incidents, exploitation des vulnérabilités comme premier vecteur d’accès et usage croissant de l’IA par les attaquants.

• Rapid7 — 2026 Global Threat Landscape Report — https://www.rapid7.com/about/press-releases/rapid7-2026-global-threat-landscape-report-shows-exploited-high-and-critical-severity-vulnerabilities-surged-105-as-attack-timelines-collapsed/ — hausse de 105 % des vulnérabilités élevées et critiques exploitées et réduction du délai d’exploitation.

• CrowdStrike — 2026 Global Threat Report — https://www.crowdstrike.com/en-us/global-threat-report/ — breakout record de 27 secondes et accélération des attaques utilisant l’IA.

• Mandiant — M-Trends 2026 — https://cloud.google.com/blog/topics/threat-intelligence/m-trends-2026 — délai médian de 22 secondes entre accès initial et relais à un autre groupe criminel.

—

Recherche, relecture et illustration assistées par IA. Le contenu reflète le travail éditorial de la rédaction.