L’IA accélère les attaques et réduit la fenêtre de correction

L’intelligence artificielle est devenue à la fois un outil d’attaque et une cible, selon le dernier Threat Hunting Report de CrowdStrike, publié le 3 août 2026. Le groupe de cybersécurité dit avoir observé une hausse de 89 % des activités menées par des adversaires assistés par IA en 2025, tandis que la fenêtre pour corriger une faille se resserre à 24 ou 48 heures. Dans ce contexte, les équipes de sécurité ne jouent plus seulement contre des hackers pressés, mais contre des attaques qui s’adaptent presque en temps réel.

Quand l’IA sert à attaquer, puis à attaquer encore

Selon CrowdStrike, les usages offensifs de l’IA couvrent toute la chaîne d’attaque : reconnaissance, intrusion, vol d’identifiants, puis mouvement vers le cloud. Adam Meyers, senior vice-president de la division counter adversary, résume la situation ainsi : « AI is both the weapon and the target ». La formule n’a rien de décoratif. Elle décrit aussi bien le détournement d’API de modèles que des pratiques comme le LLMjacking, où des identifiants d’entreprise sont volés pour accéder à des interfaces de modèles de pointe, ou le cost harvesting, qui consiste à gonfler artificiellement la consommation d’IA d’une victime pour lui faire grimper la facture.

Le rapport cite même une campagne où un voleur de jetons a envoyé environ 200 000 requêtes API en deux minutes. Ce n’est plus de la prudence, c’est de la mitraille. CrowdStrike indique aussi que ses équipes suivent désormais des indices déclenchés par des agents d’IA à un rythme 2,5 fois supérieur aux menaces déclenchées par des humains. L’entreprise voit là un phénomène partagé entre groupes criminels et acteurs soutenus par des États.

Les chaînes logicielles, point d’entrée préféré

Le rapport insiste sur un angle devenu central : la supply chain logicielle. Autrement dit, l’ensemble des dépendances, dépôts, paquets et pipelines CI/CD sur lesquels repose un logiciel. CrowdStrike affirme que la compromission de la chaîne d’approvisionnement de l’IA a été la deuxième technique MITRE ATLAS la plus utilisée pour obtenir un accès initial. Et les attaquants ne s’en privent pas.

Parmi les cas mis en avant, un groupe nord-coréen suivi sous le nom de Famous Chollima, rattaché à Lazarus, aurait monté de fausses entreprises complètes avec des sites web générés par IA, des comptes GitHub et une infrastructure mail destinée à soutenir des opérations d’insider threat. Le rapport rattache aussi à ce groupe une campagne de janvier et février visant des sociétés crypto et blockchain, via des dépôts GitHub piégés contenant des fichiers apparemment légitimes mais aussi des scripts malveillants cachés. Une fois ouverts, ces dépôts exécutaient automatiquement des commandes donnant accès aux environnements des développeurs.

Patch en 48 heures : le nouveau rythme imposé aux défenseurs

La partie la plus brutale du rapport concerne la vitesse d’exploitation. Entre janvier et juin, 88 % des exploitations observées par CrowdStrike à partir de code de preuve de concept public se sont produites dans les 48 heures suivant la publication du code. Les groupes liés à la Chine, comme Vault Panda et Genesis Panda, auraient parfois frappé en moins de 24 heures après la divulgation d’une faille.

Adam Meyers estime que « the 30-day patch window, which frankly, was aspirational, is completely obsolete ». En clair, le délai mensuel qui passait encore pour une bonne pratique ne tient plus. Les administrateurs doivent parfois corriger une vulnérabilité avant même que le correctif soit largement assimilé par l’écosystème. Cette accélération alimente un cercle vicieux : plus l’IA aide à trouver des bugs, plus le volume de CVE augmente, et plus les équipes doivent trier dans l’urgence.

Des volumes de failles qui continuent de grimper

Les chiffres avancés par CrowdStrike donnent l’échelle du sujet. L’entreprise dit avoir vu environ 48 200 CVE enregistrées en 2025, et déjà 43 000 sur l’année en cours au moment de la publication, soit avant même la fin du mois d’août. Rien qu’en juin, plus de 7 600 bugs logiciels ont été signalés et suivis sous forme de CVE. Cela ne signifie pas que toutes ces failles sont exploitées, mais la masse à traiter reste considérable pour les équipes de sécurité et les administrateurs système.

Cette pression explique aussi l’intérêt des groupes criminels pour les environnements de développement et les dépendances tierces. CrowdStrike cite notamment un acteur financier appelé Altered Spider, aussi suivi sous le nom TeamPCP, qui aurait compromis plus de 300 dépendances logicielles en une journée pour récupérer identifiants et secrets, avant de basculer vers des environnements cloud à des fins de vol et d’extorsion. Le constat est simple : la vitesse d’attaque n’est plus seulement un avantage tactique, elle devient une méthode de travail.