Longtemps, écrire un logiciel malveillant capable de viser une infrastructure critique demandait des compétences rares et beaucoup de temps. Cette barrière s'effrite. Un groupe jusqu'alors inconnu a fait rédiger par une intelligence artificielle le code lancé contre des réseaux électriques, et le délai pour s'introduire dans un système se compte désormais en minutes. Ce dossier ne décrit aucune technique : il suit un déplacement économique. Quand le coût de l'attaque tend vers zéro et sa vitesse vers l'instant, l'équilibre entre l'offensive et la défense se rompt.
1 L'attaque du jour
Le fait : un maliciel confié à la machine.
Le fait
Un maliciel écrit par une IA
En 2026, l'éditeur de sécurité Kaspersky documente un groupe jusqu'alors inconnu, qu'il baptise « Armored Likho ». Sa particularité : il a employé un grand modèle de langage pour générer le code malveillant de première étape, déployé contre des administrations et des réseaux électriques en Russie, au Kazakhstan et au Brésil. L'accès initial passait par des courriels piégés — un procédé classique — mais la fabrication du maliciel, elle, a été confiée à la machine. Ce n'est pas une prouesse technique isolée : c'est le signe d'une pratique qui se banalise.
2 La signature de la machine
L'indice : une empreinte qui en efface une autre.
L'indice
La marque du modèle efface celle de l'auteur
Comment sait-on qu'une IA a écrit le code ? Par sa manière : des commentaires verbeux et pédagogiques, des emojis en pleine source, des blocs redondants — le style caractéristique d'un modèle de langage, non d'un développeur pressé. Mais l'essentiel est un paradoxe. D'ordinaire, la façon de coder trahit son auteur : ses habitudes, sa langue, ses tics servent d'empreinte aux enquêteurs. Un code écrit par l'IA n'a plus cette empreinte : son style reflète les données d'entraînement du modèle, pas une main particulière. La signature de la machine efface celle de l'humain.
3 La barrière qui tombe
Le basculement : du talent rare à la simple intention.
Le basculement
Le goulot passe du talent à l'intention
Jusqu'ici, écrire un maliciel efficace exigeait un savoir-faire rare, long à acquérir. C'était une barrière : elle limitait le nombre d'acteurs capables de frapper une cible sérieuse. L'IA générative abaisse cette barrière. Elle met à portée d'un acteur médiocre ce qui réclamait naguère une équipe experte ; elle démocratise la capacité offensive. Le goulot d'étranglement se déplace : ce n'est plus le talent qui fait défaut, c'est l'intention qui suffit. Or il y a toujours plus de gens mal intentionnés que de gens compétents.
4 Le tempo qui s'accélère
La vitesse : le temps de réaction s'évapore.
La vitesse
Le délai entre l'intention et l'exécution
La seconde bascule est le tempo. Les défenseurs mesurent le « breakout time » : le délai entre le moment où un attaquant prend pied dans un réseau et celui où il commence à se propager latéralement. Selon le rapport CrowdStrike 2026, ce délai moyen est tombé à 29 minutes — 65 % plus rapide qu'en 2024 — et le plus court jamais observé à 27 secondes ; dans un cas, l'exfiltration de données a commencé quatre minutes après l'intrusion. L'IA comprime le délai entre l'intention et l'exécution. Une équipe humaine, elle, met souvent des heures à seulement s'apercevoir de l'attaque.
Temps d'intrusion moyen
29 min
avant propagation latérale ; 65 % plus rapide qu'en 2024 (record : 27 secondes).
Exfiltration la plus rapide
4 min
après l'accès initial : le défenseur n'a plus le temps de réagir.
5 L'ampleur du phénomène
La mesure : une industrialisation, pas un incident.
La mesure
L'IA, à la fois l'arme et le champ de bataille
Armored Likho n'est pas un cas isolé. Le même rapport chiffre à +89 % en un an la hausse des opérations adverses assistées par IA. Plusieurs groupes liés à des États ont déployé des maliciels pilotés par des modèles de langage pour automatiser la reconnaissance et la collecte de documents ; d'autres s'en servent pour effacer leurs traces ou fabriquer de fausses identités à grande échelle. Fait nouveau, les systèmes d'IA eux-mêmes deviennent des cibles : des attaquants injectent des instructions malveillantes dans les outils d'IA de dizaines d'organisations. L'IA est désormais à la fois l'arme et le champ de bataille.
6 L'asymétrie offense-défense
Le cœur théorique : une faille contre toutes.
Le cœur théorique
Quand l'attaque coûte moins que la défense
Voici le pivot. La cybersécurité obéit à une asymétrie fondamentale : l'attaquant n'a besoin de trouver qu'une seule faille ; le défenseur doit toutes les fermer, en permanence. Le politologue Robert Jervis avait formalisé l'idée d'un « équilibre offense-défense » : quand attaquer coûte moins cher que se défendre, le monde devient instable. L'IA déplace précisément cet équilibre du mauvais côté : elle abaisse le coût de l'offensive plus vite que celui de la défense. Le « dilemme du défenseur » — devoir avoir raison à chaque fois, quand l'attaquant peut se tromper mille fois — s'en trouve aggravé.
7 L'attribution brouillée
La conséquence stratégique : sans signature, pas de riposte.
La conséquence stratégique
Pas d'attribution, pas de dissuasion
L'effacement de l'empreinte a une portée qui dépasse l'enquête. Toute la dissuasion, en cybersécurité comme en géopolitique, repose sur l'attribution : pour riposter, il faut savoir qui a frappé. Si le code n'accuse plus son auteur, remonter à lui devient plus incertain — et une riposte incertaine ne dissuade pas. En brouillant l'attribution, l'IA n'affaiblit pas seulement l'enquête : elle érode le mécanisme même — la peur des représailles — qui retenait la main des attaquants.
8 Pourquoi le réseau électrique
La cible : le socle de tout le reste.
La cible
L'insécurité comme externalité
Le choix de la cible n'est pas anodin. Le réseau électrique est le socle de tout le reste : hôpitaux, eau potable, télécommunications, transports, finance. Une défaillance n'y reste jamais isolée : elle se propage en cascade. Sa sécurité est un bien commun ; son insécurité, une externalité que la société entière subit, bien au-delà de l'opérateur attaqué. C'est aussi une cible « politique » : frapper le réseau, c'est signaler une capacité, tester une défense, exercer une pression — sans nécessairement tirer un seul coup de feu.
9 La défense s'arme aussi
L'autre versant : la course est engagée.
L'autre versant
Mais le tempo penche côté offensive
Il serait faux de peindre l'IA comme un pur avantage offensif. Elle arme aussi les défenseurs : détecter des anomalies dans des océans de journaux, trier les alertes, automatiser une partie de la réponse, corriger plus vite les failles. La course est engagée, et rien ne dit qu'elle sera perdue. Mais un déséquilibre demeure aujourd'hui : il est plus simple d'automatiser un coup précis que de blinder un système entier, ancien et hétérogène. Le tempo, pour l'instant, penche du côté de l'attaque — et c'est ce déséquilibre qu'il faut travailler à renverser.
10 Les limites et la nuance
La juste mesure : ni magie, ni fatalité.
La juste mesure
Prendre la menace au sérieux sans la mythifier
Deux excès guettent. Le premier est le catastrophisme : l'IA n'invente pas (encore) d'attaques radicalement inédites ; elle accélère, industrialise et démocratise l'existant. Une part du discours ambiant relève d'ailleurs du marketing de la peur, entretenu par un secteur qui vend la protection. Le second excès serait le déni : les chiffres — temps d'intrusion en minutes, opérations en forte hausse — sont réels, et l'humain reste, pour l'instant, dans la boucle des attaques les plus sérieuses. La lucidité tient entre les deux : prendre la menace au sérieux sans la mythifier, et se souvenir que les parades les plus solides restent souvent les plus élémentaires (segmentation, sauvegardes, hygiène numérique).
11 Défendre quand l'offensive s'automatise
La chute : ce qui bascule, c'est l'économie de l'attaque.
Le sens du basculement
La question n'est plus « qui a écrit le code ? »
Au fond, ce qui bascule n'est pas la nature des attaques, mais leur économie. Quand le coût d'écrire du code offensif tend vers zéro, que sa vitesse tend vers l'instant et que sa signature s'efface, l'équilibre qui protégeait les infrastructures se rompt. La bonne question n'est donc plus « qui a écrit ce code ? » — la machine, en partie — mais « comment reconstruire la dissuasion et la résilience quand l'offensive s'automatise ? ». La réponse ne sera pas seulement technique : elle sera aussi économique et politique — rendre l'attaque plus coûteuse, la défense plus rapide, et l'infrastructure assez robuste pour encaisser ce qu'on ne saura pas empêcher.
La boussole
①
L'IA fait tomber le coût, la compétence et le temps nécessaires pour écrire du code d'attaque : l'offensive se démocratise et s'accélère.
②
L'asymétrie se creuse. L'attaquant n'a besoin que d'une faille et de quelques minutes (intrusion tombée à 29 minutes) ; le défenseur doit tout couvrir, en permanence.
③
Le code de la machine efface la signature humaine : l'attribution se brouille, la dissuasion s'affaiblit. La question devient « comment défendre quand l'offensive est automatisée ? ». Cette fiche éclaire un débat ; elle ne constitue pas un conseil.
À lire en regard : Vibe Coding : quand l'IA devient l'architecte de la DeFi et Récolter aujourd'hui, déchiffrer demain. Repères : abréviations & sigles (IA, APT, LLM).