Google affirme que des hackers criminels ont utilisé l'IA pour trouver une vulnérabilité zero-day

Google a confirmé que des pirates informatiques ont utilisé un système d'IA pour identifier et exploiter une vulnérabilité zero-day dans son logiciel. Selon un rapport du New York Times, il s'agit du premier cas documenté où des attaquants ont eu recours à l'IA pour découvrir de manière autonome une faille de sécurité majeure. L'intrusion a été détectée par le Threat Analysis Group (TAG) de Google avant que des dégâts significatifs ne surviennent, mais cet incident marque une nouvelle phase dans les cyberattaques pilotées par l'IA.

Comment l'attaque a fonctionné

Les pirates ont utilisé un agent d'IA sur mesure pour effectuer du fuzzing et de l'analyse statique sur la base de code de Google, en ciblant spécifiquement les bugs de corruption mémoire non corrigés. L'IA a identifié une vulnérabilité de type use-after-free dans une bibliothèque largement déployée, qui a ensuite été transformée en exploit. Google a refusé de nommer le produit spécifique, mais a déclaré qu'il affecte « un nombre important d'utilisateurs » et qu'un correctif est en cours de déploiement.

Principaux aspects techniques de l'article du NYT :

• Les attaquants ont utilisé un LLM fine-tuné combiné à une chaîne d'outils d'analyse binaire ; ils n'ont pas utilisé de modèles d'IA accessibles publiquement.
• L'IA a généré des preuves de concept (payloads) et les a affinées de manière itérative en se basant sur les crash dumps.
• Le TAG de Google a intercepté l'attaque via une détection d'anomalies dans les schémas de livraison des exploits, et non via des signatures générées par IA.
• L'enquête complète est en cours, mais Google attribue l'opération à un groupe parrainé par un État connu pour la cybercriminalité financière.

Implications pour les défenseurs

Cet événement valide les inquiétudes de longue date selon lesquelles l'IA abaissera la barrière pour la découverte de zero-day. Les équipes de sécurité doivent s'attendre à une augmentation de la chasse automatisée aux vulnérabilités et ajuster leur cadence de correctifs en conséquence. Des outils comme Microsoft Security Copilot et le propre Gemini de Google pour la sécurité se sont concentrés sur l'utilisation défensive — mais cela montre que les mêmes techniques sont désormais actives entre les mains d'adversaires. Ce n'est plus théorique ; la sécurité offensive pilotée par l'IA est là.