Cisco Talos découvre le malware à intelligence artificielle collective CLOSEDQUORUM

Un nouveau cadre pour le suivi des menaces intégrant l'IA

Les chercheurs en sécurité ont passé ces dernières années à avertir que les criminels finiraient par créer des malwares capables d'utiliser l'intelligence artificielle de manière autonome, sans qu'un humain ne tape des commandes en arrière-plan. Cet avertissement est désormais devenu une réalité documentée. Les chercheurs de Cisco Talos ont développé un nouveau cadre de détection conçu spécifiquement pour identifier les malwares et les outils de piratage qui s'appuient sur des chatbots IA pour prendre des décisions. En testant cet outil, ils ont découvert quelque chose qu'ils n'attendaient pas : un logiciel malveillant qui consulte plusieurs grands modèles de langage pour décider de la suite à donner, sans aucun opérateur pour le diriger en temps réel.

Le cadre, conçu pour classer et analyser les malwares intégrant l'IA, a donné à Talos un moyen de repérer des schémas que les signatures antivirus traditionnelles et l'analyse comportementale ont tendance à manquer. Au lieu de rechercher uniquement du code malveillant connu, l'outil recherche les signes révélateurs d'un logiciel qui interroge des modèles d'IA en cours d'exécution, demandant essentiellement à un chatbot quelle étape suivre à l'intérieur d'un système compromis.

À l'intérieur de CLOSEDQUORUM : un malware avec son propre conseil d'IA

La découverte la plus frappante issue de cette recherche est un logiciel malveillant que les chercheurs ont nommé CLOSEDQUORUM. Plutôt que de s'appuyer sur un seul modèle d'IA pour obtenir des conseils, CLOSEDQUORUM ferait appel à plusieurs grands modèles de langage différents et pèserait leurs réponses avant d'agir, fonctionnant presque comme un petit comité de conseillers IA prenant des décisions ensemble. C'est cette conception qui a conduit certains membres de la communauté de la sécurité à le décrire comme un « esprit de ruche » IA guidant une activité malveillante.

Cela est important car cela supprime l'une des plus grandes contraintes de la cybercriminalité : la nécessité qu'un humain reste impliqué. Les malwares traditionnels ont souvent besoin d'un opérateur pour envoyer de nouvelles commandes, ajuster les tactiques lorsque les défenses changent, ou décider comment réagir face à un obstacle imprévu. Un malware capable d'interroger plusieurs systèmes d'IA et de synthétiser leurs contributions peut potentiellement s'adapter de lui-même, à la vitesse d'une machine, sans attendre qu'une personne se connecte et émette des instructions.

Cette découverte arrive en parallèle d'autres résultats récents pointant dans la même direction. Plus tôt cette année, le groupe de renseignement sur les menaces de Google a confirmé que l'IA est déjà utilisée pour alimenter le développement d'exploits zero-day, montrant que le rôle de l'IA dans les opérations cyber offensives a largement dépassé le stade de la discussion théorique. La découverte de CLOSEDQUORUM par Talos ajoute un point de données supplémentaire : l'IA n'aide pas seulement les attaquants à écrire du code plus rapidement, elle est intégrée directement dans la logique opérationnelle des malwares.

Implications pour la vie privée des malwares autonomes

Pour les internautes ordinaires, l'émergence de malwares guidés par l'IA comme CLOSEDQUORUM soulève de réelles préoccupations en matière de vie privée, même si les détails techniques immédiats s'adressent aux défenseurs d'entreprise. Un malware capable de décider de manière indépendante comment se déplacer dans un réseau, quelles données semblent précieuses, ou comment éviter la détection, pourrait être bien plus efficace pour localiser et exfiltrer des informations personnelles qu'un malware dépendant d'un opérateur humain qui se connecte périodiquement.

La prise de décision autonome complique également l'attribution et la réponse. Lorsqu'un opérateur humain dirige une attaque, les équipes de sécurité peuvent parfois anticiper le comportement en se basant sur des schémas connus liés à un groupe spécifique. Un malware qui consulte des modèles d'IA à la volée peut se comporter de manière moins prévisible, générant de nouveaux chemins d'attaque qui ne correspondent à aucune technique précédemment cataloguée. Cette imprévisibilité est précisément pourquoi Talos a construit un cadre dédié plutôt que de s'appuyer sur les méthodes de détection existantes ; l'objectif est d'attraper les menaces intégrant l'IA avant qu'elles ne puissent discrètement récolter des identifiants, des données financières ou des fichiers personnels.

Ce que cela signifie pour vous

La plupart des utilisateurs individuels ne seront pas directement ciblés par des malwares de pointe guidés par l'IA comme CLOSEDQUORUM dans l'immédiat. Des outils comme celui-ci ont tendance à apparaître d'abord dans des intrusions ciblées contre des entreprises, des infrastructures ou des réseaux à haute valeur. Mais la tendance sous-jacente concerne tout le monde : à mesure que l'IA abaisse la barrière technique pour construire des logiciels malveillants adaptatifs, le volume et la sophistication des attaques atteignant les consommateurs ordinaires augmenteront probablement avec le temps. Les e-mails de phishing, les fausses pages de connexion et les téléchargements malveillants pourront de plus en plus être générés ou affinés avec l'aide de l'IA, les rendant plus difficiles à repérer avec l'ancien conseil de « chercher les fautes de frappe et la mauvaise grammaire ».

Le fait que les chercheurs construisent des cadres de détection spécifiquement pour les menaces intégrant l'IA est un signe positif. Cela signifie que la communauté de la sécurité traite cela comme une priorité maintenant, plutôt que de réagir après que les malwares guidés par l'IA se soient généralisés.

Points à retenir concrets

• Gardez les systèmes d'exploitation, les navigateurs et les logiciels de sécurité à jour, car les systèmes corrigés restent la première ligne de défense contre les malwares traditionnels comme ceux assistés par l'IA.
• Soyez sceptique face aux messages ou liens inattendus, même lorsqu'ils semblent bien écrits et sans erreur, car l'IA peut désormais aider les attaquants à produire du contenu convaincant à grande échelle.
• Utilisez un gestionnaire de mots de passe réputé et activez l'authentification multifacteur partout où c'est possible, réduisant la valeur de tout identifiant volé.
• Suivez les rapports de chercheurs en sécurité établis pour rester informé de la façon dont l'IA change le paysage des menaces, plutôt que de vous fier à des suppositions sur ce que les malwares peuvent ou ne peuvent pas faire.

Les malwares guidés par l'IA comme CLOSEDQUORUM rappellent que les menaces de cybersécurité évoluent continuellement, et les nouveaux cadres de détection sont l'un des outils les plus puissants dont disposent les chercheurs pour garder une longueur d'avance. Rester informé des développements comme celui-ci est l'un des moyens les plus simples de protéger votre propre vie privée dans les mois à venir.