Rapport de sécurité AI de Check Point Research 2026 : l’IA passe d’assistant de cybersécurité à opérateur actif

Le Rapport de sécurité AI de Check Point Research 2026, publié par Check Point Software Technologies (CHKP ), décrit un paysage de cybersécurité dans lequel l’intelligence artificielle n’est plus simplement utilisée pour aider les attaquants à rechercher des cibles, à écrire des emails de phishing ou à générer des fragments de code malveillant. L’IA opère de plus en plus à l’intérieur de chaînes d’attaque en direct, exécutant des commandes, analysant des informations volées, développant des logiciels malveillants de qualité professionnelle et coordonnant des attaques à travers plusieurs systèmes. Dans le même temps, l’adoption de l’IA par les entreprises expose des données sensibles, élargit les risques de la chaîne d’approvisionnement logicielle et affaiblit de nombreux signaux traditionnellement utilisés pour vérifier l’identité.

L’IA entre dans la chaîne d’attaque en direct

La principale constatation du rapport n’est pas que l’IA a inventé de nouvelles formes de cybercrime. Au lieu de cela, elle a considérablement réduit le temps, l’expertise et le coût nécessaires pour mener des attaques établies.

L’IA joue maintenant un rôle dans l’ingénierie sociale, le développement de logiciels malveillants, la recherche de vulnérabilités, la reconnaissance, la récolte d’informations d’identification, le mouvement latéral et l’analyse de données. Les opérateurs les plus à risque ne sont pas nécessairement ceux qui utilisent les modèles les plus avancés, mais ceux qui ont appris à connecter plusieurs outils d’IA et à automatiser plusieurs étapes d’une intrusion.

Une campagne d’espionnage liée à la Chine a utilisé Claude Code pour effectuer environ 80 % à 90 % du travail tactique dans environ 30 organisations ciblées. L’IA a géré la reconnaissance, l’exploitation, la récolte d’informations d’identification, le mouvement latéral et la triage des données, laissant à l’opérateur humain la direction stratégique plus large.

Un exemple plus clair impliquait la compromission de neuf agences gouvernementales mexicaines entre la fin décembre 2025 et la mi-février 2026. L’opération a exposé environ 400 millions de dossiers couvrant les données fiscales, les registres civils, les véhicules, les patients et les données électorales. Les chercheurs ont reconstitué l’attaque à partir de l’infrastructure de l’opérateur et ont constaté que 1 088 instructions écrites par l’homme ont généré 5 317 commandes exécutées par l’IA au cours de 34 sessions.

L’attaquant a utilisé Claude Code pour explorer et compromettre les systèmes, tandis que GPT-4.1 analysait les données volées et générait des instructions pour les sessions ultérieures. Lorsque Claude a initialement refusé de coopérer, l’opérateur a inséré des instructions de test de pénétration dans un fichier de configuration CLAUDE.md de confiance. Chaque session ultérieure a hérité automatiquement du comportement modifié, éliminant la nécessité de répéter le jailbreak.

Ceci souligne un problème plus large. De nombreux agents d’IA font confiance automatiquement aux fichiers de projet et aux configurations de système. Un fichier empoisonné peut influencer les sessions futures, transformant ce qui était à l’origine une technique de manipulation de prompt temporaire en une faille persistante.

Les outils d’IA grand public restent l’option préférée

Les attaquants accèdent généralement à l’IA via des services commerciaux, des modèles open source auto-hébergés ou des plateformes criminelles spécialement conçues. Malgré la discussion croissante autour des modèles locaux non restreints, les outils commerciaux grand public restent l’option la plus pratique.

Les attaquants utilisent des comptes légitimes ou volés pour des services tels que ChatGPT, Gemini, Claude, DeepSeek, Kimi et Qwen. Ils divisent souvent les requêtes malveillantes en tâches plus petites qui apparaissent inoffensives lorsqu’elles sont examinées individuellement, guidant progressivement le modèle vers un résultat interdit.

Les informations d’identification d’IA sont donc devenues des cibles précieuses. La campagne Bissa Scanner a volé des détails de connexion pour Anthropic, OpenAI, Google et d’autres fournisseurs à partir de plus de 30 000 fichiers d’environnement de développement exposés. Les comptes d’IA étaient le type de credenciaux le plus couramment collecté.

Les comptes volés peuvent être revendus par le biais d’une pratique connue sous le nom de LLMjacking. Les acheteurs accèdent aux ressources d’IA d’une autre organisation, évitent les coûts d’utilisation, atteignent potentiellement les informations stockées et font apparaître leur activité comme provenant d’un utilisateur légitime. Dans un cas, une clé d’interface de programmation d’application Google Gemini volée a généré environ 82 000 dollars de frais en seulement deux jours.

Les modèles auto-hébergés offrent moins de restrictions et moins de surveillance de la part des fournisseurs, mais les attaquants signalent fréquemment qu’ils nécessitent un matériel coûteux, une expertise technique et un réglage fin important. Les services criminels tels que WormGPT ont également perdu leur crédibilité en raison de leur mauvaise performance. WormGPT lui-même a été compromis, exposant les détails de paiement de plus de 19 000 clients.

Le groupe de ransomware en tant que service connu sous le nom de The Gentlemen illustre la façon dont les groupes criminels ordinaires abordent l’IA. L’opération avait plus de 330 victimes publiques au mois de mai 2026, mais ses membres ont admis qu’ils ne savaient pas comment exécuter leurs propres modèles. Au lieu de cela, ils ont comparé les plateformes d’IA commerciales en fonction de celles qui avaient les protections les plus faibles. L’administrateur du groupe a utilisé l’IA pour créer un outil de gestion en seulement trois jours.

Les logiciels malveillants construits par l’IA atteignent une qualité professionnelle

Le développement de logiciels malveillants assisté par l’IA est allé au-delà des prototypes grossiers. Dans de nombreux cas, le logiciel malveillant terminé ne contient aucun code d’IA. Le modèle est utilisé pendant le développement pour écrire, tester, déboguer et affiner le code, laissant peu de preuves visibles de son implication une fois le logiciel malveillant déployé.

VoidLink est l’exemple le plus fort du rapport. Le cadre de commande et de contrôle modulaire Linux comprenait des capacités de furtivité et de persistance, ainsi que plus de 30 plugins post-exploitation. Sa qualité a initialement suggéré qu’une équipe de développeurs avait passé plusieurs mois à le construire.

La propre erreur opérationnelle du développeur a révélé que VoidLink avait été créé par une personne utilisant l’environnement de codage TRAE SOLO AI. Grâce à des spécifications détaillées et à des tests répétés assistés par l’IA, le développeur a produit environ 88 000 lignes de code fonctionnel en moins d’une semaine.

D’autres groupes ont adopté des méthodes similaires. Transparent Tribe, également connu sous le nom d’APT36, a utilisé une chaîne de montage assistée par l’IA pour produire des logiciels malveillants jetables ciblant les systèmes gouvernementaux indiens. Le groupe GREYVIBE lié à la Russie a utilisé ChatGPT et Gemini pour créer des logiciels malveillants personnalisés pour des opérations contre l’Ukraine, tandis que le groupe KONNI lié à la Corée du Nord a utilisé l’IA pour générer une porte dérobée PowerShell.

Les logiciels malveillants qui communiquent avec un modèle d’IA pendant leur exécution restent moins courants. LAMEHUG a utilisé Qwen via l’API Hugging Face pour générer des commandes à la demande, tandis que PromptLock a appliqué un concept similaire au ransomware. Ces exemples restent limités, mais ils démontrent que le comportement malveillant généré dynamiquement est techniquement possible.

Le temps disponible pour corriger les vulnérabilités est en train de diminuer

L’IA accélère la découverte de vulnérabilités pour les défenseurs et les attaquants. Cela réduit la fenêtre entre la divulgation publique, l’exploitation et la correction.

Le rapport décrit le projet Glasswing d’Anthropic, qui a utilisé un modèle non publié appelé Claude Mythos Preview pour identifier plus de 10 000 vulnérabilités zero-day de gravité élevée et critique dans les principaux systèmes d’exploitation et navigateurs au cours de son premier mois. Le modèle a prétendument produit une exploitation fonctionnelle à sa première tentative dans environ 83 % des cas.

Anthropic a retenu le modèle de la publication publique en raison de craintes qu’il puisse être mal utilisé, mais a engagé 100 millions de dollars en crédits d’utilisation pour des organisations sélectionnées. Le cas démontre comment la découverte de vulnérabilités devient moins coûteuse et de plus en plus automatisée.

Les directives gouvernementales reflètent déjà cet environnement plus rapide. L’Agence de cybersécurité et d’infrastructure des États-Unis a exigé que les agences civiles fédérales remédient à certaines vulnérabilités à haut risque dans les trois jours. Le CERT-In de l’Inde a conseillé aux organisations de corriger certaines faiblesses critiques internet dans les 12 heures.

La découverte technique des vulnérabilités n’est peut-être plus le principal goulet d’étranglement. La révision humaine, les tests, l’approbation et le déploiement pourraient devenir les parties plus lentes et plus vulnérables du processus.

Les applications d’IA deviennent des cibles

Au fur et à mesure que les organisations intègrent l’IA dans les navigateurs, les plateformes de messagerie, les documents, les environnements de codage et les flux de travail métier, la technologie obtient l’accès à des données sensibles et la capacité d’agir en utilisant les autorisations utilisateur existantes.

L’injection de prompt reste l’une des menaces les plus importantes. L’injection de prompt directe se produit lorsque l’attaquant communique avec un modèle et tente de remplacer ses règles. L’injection de prompt indirecte cache des instructions malveillantes à l’intérieur du contenu que l’IA traite ensuite, tel qu’une page Web, un email, une invitation de calendrier, un document ou un champ de métadonnées.

Une étude citée dans le rapport a scanné 1,2 milliard d’URL et a identifié environ 15 300 charges utiles d’injection de prompt indirecte. Environ 70 % étaient cachés dans du code HTML non rendu, y compris les commentaires, les en-têtes et les métadonnées que les visiteurs humains ne verraient normalement pas.

La télémétrie de Check Point a enregistré une augmentation significative de charges utiles malveillantes plus longues. Entre mars et mai 2026, les détections ont augmenté d’environ cinq fois et sont passées à environ 1 % des prompts observés en mai. Les charges utiles plus longues sont particulièrement pertinentes pour les agents qui traitent des pages Web complètes, des documents et des sorties d’outils connectés.

Les navigateurs alimentés par l’IA créent un risque supplémentaire car ils fonctionnent à l’intérieur de sessions authentifiées. Dans un test contrôlé, une invitation de calendrier malveillante a causé au navigateur Comet de Perplexity de révéler des mots de passe enregistrés. Dans une autre expérience, un navigateur d’IA a terminé un flux de phishing complet en moins de quatre minutes sans intervention humaine.

La chaîne d’approvisionnement agente élargit la surface d’attaque

Les agents d’IA gagnent des capacités grâce aux serveurs de protocole de contexte de modèle, aux extensions, aux fichiers de configuration, aux hubs de modèles et aux compétences téléchargeables. Ces composants sont souvent considérés comme fiables automatiquement et installés avec une révision humaine limitée.

Check Point Research a identifié des vulnérabilités dans les fichiers de projet Claude Code qui pourraient exécuter des commandes contrôlées par l’attaquant lorsqu’un développeur ouvrait un référentiel empoisonné. Des problèmes similaires sont apparus dans Gemini CLI, Cursor, Windsurf et d’autres environnements de codage, suggérant une faiblesse architecturale plus large plutôt qu’un problème de fournisseur isolé.

Le logiciel malveillant GlassWorm a prétendument diffusé des packages de protocole de contexte de modèle à travers plus de 150 référentiels. Les chercheurs ont également examiné environ 46 500 packages de logiciels publiés et ont constaté que 428 contenaient accidentellement un fichier de configuration local Claude Code. Environ un sur 13 de ces fichiers contenait des informations d’identification en direct, telles que des jetons NPM, des clés GitHub ou des clés Hugging Face.

Un examen distinct de 10 000 serveurs de protocole de contexte de modèle a révélé des faiblesses de sécurité dans 40 % d’entre eux. Sur 221 compétences d’agent OpenClaw examinées, 70 % ont demandé plus de credenciaux que nécessaire et 43 % contenaient des modèles d’injection de commandes.

La campagne ClawHavoc a placé 44 compétences malveillantes sur un marché, où elles ont été téléchargées plus de 12 500 fois. Ailleurs, des extensions de codage trojanisées ont prétendument récolté du code à partir d’environ 1,5 million de développeurs, tandis qu’un modèle Hugging Face malveillant déguisé en filtre de confidentialité OpenAI a reçu 244 000 téléchargements avant d’être détecté.

L’identité synthétique sape la confiance numérique

L’IA générative a rendu les voix, les visages, les documents et les personas en ligne plus faciles à fabriquer et plus difficiles à vérifier. Une voix familière, une vidéo en direct, un document d’identité gouvernemental ne peuvent plus servir de preuve indépendante qu’une personne est authentique.

La plate-forme ATHR utilise prétendument des agents vocaux autonomes pour effectuer des appels de récupération de compte et voler des codes à usage unique. Un opérateur peut gérer plusieurs conversations simultanément sans employer d’appelants humains.

Le remplacement de visage en temps réel apparaît également dans le vol de cryptomonnaies, les arnaques amoureuses, les arnaques d’investissement et les opérations liées à l’État. Les autorités européennes ont démantelé un réseau qui a prétendument utilisé des vidéos deepfake de célébrités et d’organisations de presse pour promouvoir des investissements fictifs et blanchir plus de 700 millions d’euros.

Les chercheurs ont également identifié plus de 23 000 domaines qui ont dirigé les victimes vers des groupes de messagerie où des chatbots d’IA se faisaient passer pour des conseillers financiers. Le service OnlyFake a vendu plus de 10 000 documents d’identité générés par l’IA couvrant les États-Unis et environ 56 autres pays, permettant aux clients de contourner la vérification dans les banques et les échanges de cryptomonnaies.

Les schémas de travailleurs à distance liés à la Corée du Nord sont allés plus loin en utilisant des CV fabriqués, des documents d’identité modifiés, des photographies générées et des personas personnalisées pour obtenir un emploi légitime au sein d’entreprises occidentales. Les autorités américaines ont lié un réseau à environ 800 millions de dollars de revenus pour les programmes d’armes de la Corée du Nord.

Les humains ne sont pas particulièrement fiables pour détecter ces faux. Dans une étude contrôlée, des super-reconnaisseurs formés ont correctement identifié seulement 41 % des visages générés par l’IA. Les spectateurs ordinaires ont détecté environ 30 %.

L’utilisation de l’IA par les entreprises crée une exposition de données persistante

L’organisation moyenne utilise maintenant 10 applications d’IA différentes chaque mois. Le nombre moyen de prompts par employé a augmenté de 56 en décembre 2025 à 70 en mai 2026, représentant une croissance de 25 %.

Entre 87 % et 93 % des organisations ont connu au moins une interaction d’IA générative à haut risque chaque mois. La part de prompts contenant des informations sensibles d’entreprise, personnelles ou réglementées a doublé, passant de 2 % à 4 %, passant d’environ un prompt à risque sur 50 interactions à un sur 25.

L’Europe a enregistré le taux régional le plus élevé à 3,95 %, suivi de l’Amérique latine à 3,76 %, de l’Amérique du Nord à 3,33 % et de l’Asie-Pacifique à 2,88 %. Les services commerciaux ont eu le taux d’industrie le plus élevé à 5,91 %, ou environ un interaction à risque sur 17 prompts. En mai, son taux mensuel avait grimpé à 6,98 %, proche d’un sur 14 prompts.

De nombreuses fuites résultent d’une utilisation ordinaire plutôt que d’une activité malveillante. Dans une démonstration, une connexion légitime entre ChatGPT et Google Drive a récupéré plus de 400 fichiers internes sensibles en moins d’une seconde après une seule question.

Les fournisseurs tiers introduisent une exposition supplémentaire. Une application de consommation appelée Chat & Ask AI a prétendument exposé environ 300 millions de messages appartenant à plus de 25 millions d’utilisateurs. Un chatbot de support client utilisé par Sears Home Services a exposé 3,7 millions de dossiers, y compris des enregistrements d’appels, des transcriptions et des informations personnelles.

Implications futures

Le Rapport de sécurité AI de Check Point Research 2026 présente un environnement de sécurité dans lequel l’IA renforce les attaquants, crée de nouvelles faiblesses dans la chaîne d’approvisionnement logicielle, sape la vérification d’identité à distance et augmente le risque quotidien d’exposition de données confidentielles. Son avertissement central est que les organisations ne peuvent pas gérer la sécurité de l’IA uniquement par des politiques et des examens annuels. Ils ont besoin d’une visibilité continue sur les applications d’IA, les agents, les infrastructures, les autorisations, les fournisseurs tiers et les données partagées par les employés. À mesure que l’IA commence à fonctionner à la vitesse de la machine, les équipes de sécurité devront détecter, vérifier et répondre à un rythme comparable.