Le prochain clic n’est plus décidé par un humain
Pendant longtemps, le fonctionnement d’une cyberattaque reposait sur un schéma relativement simple où l’attaquant donne des instructions, et le programme les exécute. Aujourd’hui, l’intelligence artificielle est en train de modifier cette logique. Le 22 septembre 2026, Cisco Talos a présenté CLOSEDQUORUM, un implant Windows qui utilise plusieurs modèles d’intelligence artificielle pour déterminer certaines de ses prochaines actions. Selon les chercheurs, il s’agit du premier implant Windows publiquement documenté à déléguer ainsi des décisions tactiques de son système de commande et de contrôle à des modèles d’IA. Toutefois, Cisco Talos indique ne pas avoir confirmé que CLOSEDQUORUM était déployé activement dans des attaques réelles. Le malware constitue surtout, à ce stade, un exemple concret de la direction que peut prendre l’intégration de l’IA dans les logiciels malveillants.
Qu’est-ce qui rend CLOSEDQUORUM différent ?
Jusqu’ici, l’utilisation de l’IA par les cybercriminels servait principalement à accélérer certaines tâches comme générer du code, rédiger des messages de phishing ou automatiser certaines étapes d’une attaque. Avec CLOSEDQUORUM, la logique va plus loin. Le malware peut transmettre des informations sur l’environnement dans lequel il se trouve à plusieurs modèles de langage. Ces modèles participent ensuite au choix de la prochaine action. Le système peut notamment chercher à récupérer des identifiants ou des informations liées aux portefeuilles de cryptomonnaies. Autrement dit, l’IA n’est plus seulement utilisée pour fabriquer l’attaque, elle intervient dans la prise de décision pendant l’attaque.
CLOSEDQUORUM utilise plusieurs IA
L’un des éléments les plus surprenants de CLOSEDQUORUM est son utilisation de plusieurs modèles commerciaux. Cisco Talos explique que l’implant peut solliciter plusieurs grands modèles de langage et utiliser leurs réponses pour déterminer l’action à exécuter. Cette approche montre comment des cybercriminels pourraient chercher à combiner plusieurs systèmes d’IA plutôt que de dépendre d’un seul modèle. Un attaquant pourrait progressivement automatiser davantage de décisions autrefois prises manuellement pour observer l’environnement, choisir une action, l’exécuter, puis recommencer.
Cisco Talos prépare déjà la riposte
Face à cette évolution, Cisco Talos a également présenté CAIRN, un outil open source destiné à rechercher, classifier et suivre les malwares intégrant de l’intelligence artificielle. Au lieu d’attendre qu’un malware soit complètement analysé après une attaque, les chercheurs cherchent les traces laissées par l’intégration de l’IA dans les logiciels malveillants. Ces traces peuvent notamment prendre la forme de modèles de prompts, d’adresses de fournisseurs d’IA, de clés d’API ou encore d’éléments liés à l’orchestration des modèles.
L'automatisation, un élément central pour la cybersécurité
L’arrivée de malwares capables d’utiliser des modèles d’IA ne signifie pas que les cyberattaques sont désormais totalement autonomes. Mais elle montre que l’automatisation devient progressivement un élément central de la cybersécurité offensive comme défensive. Pour les entreprises, le défi sera donc de protéger leurs systèmes contre les attaques classiques tout en surveillant la manière dont l’IA peut être détournée pour automatiser certaines opérations malveillantes. À mesure que l’utilisation de l’IA progresse en Afrique, dans les entreprises, les administrations et les startups, la question de la sécurité des outils d’IA devient elle aussi incontournable.
L’IA ne remplace pas encore le hacker, mais elle peut déjà l’assister
CLOSEDQUORUM ne signifie pas que les cybercriminels ont créé un « hacker robot » capable de mener seul n’importe quelle attaque. Le cas étudié par Cisco Talos est beaucoup plus précis. Il montre qu’un malware peut intégrer des modèles d’IA pour réduire l’intervention humaine dans certaines décisions tactiques. Le véritable enjeu des prochaines années ne sera peut-être donc plus seulement de savoir ce que l’IA peut faire. Il faudra aussi savoir ce qu’un attaquant peut lui demander de faire.
