Des pipelines autonomes, alimentés par de nouveaux modèles d’intelligence artificielle, sont capables de générer des centaines d’exploits de privilège local sur des systèmes Linux en quelques jours, comme l’a démontré OpenAI. Leur prototype, utilisant un modèle ciblé, a identifié et analysé 2 308 candidats de vulnérabilités dans le noyau Linux, pour aboutir à 948 exploits de montée de privilège (LPE) fonctionnels. Ce processus, qui a nécessité un coût d’API de 1 213 430 dollars sur une période de 30 heures, illustre la vitesse à laquelle l’IA redéfinit les contours de la cybersécurité.

Cette capacité n’est pas une nouveauté isolée. VulnCheck, par exemple, classe l’assistance de l’IA dans la découverte de vulnérabilités comme une catégorie de risque grandissante, car elle rend ces capacités accessibles à une masse d’acteurs, réduisant le besoin d’expertise technique pour dénicher des failles. Selon VulnCheck, le service de rapport de vulnérabilités a vu ses soumissions augmenter de 10 fois l’année passée, et 51 % des chercheurs rapportent avoir utilisé l’IA pour trouver la faille.

L’accélération des menaces étatiques et infrastructurelles

Le Centre national de cybersécurité du Royaume-Uni (NCSC) émet un avertissement clair : d’ici 2028, il est hautement probable que la Russie, la Chine et d’autres États utiliseront l’IA pour atteindre leurs objectifs géopolitiques via des cyberattaques sophistiquées. Le NCSC indique que l’augmentation de la vitesse et de l’échelle des attaques est une réalité probable. De plus, l’organisation juge presque certain que de nombreux systèmes resteront vulnérables aux outils IA, car le coût pour remplacer un accès compromis est minimal pour les attaquants.

Cette tendance est particulièrement préoccupante pour les infrastructures critiques nationales (CNI). Le NCSC estime qu’il est probable que les attaquants ciblent les faiblesses connues des technologies héritées des CNI, mais aussi les nouvelles surfaces d’attaque créées par le déploiement même d’outils d’IA au sein de ces systèmes. L’agence britannique prédit même que l’IA malveillante sera impliquée dans une attaque par rançongiciel contre les CNI britanniques d’ici 2028.

L’impact sur le cycle de vie des vulnérabilités

Ce qui est frappant dans l’analyse des risques, c’est la compression du temps entre la découverte et l’exploitation. Historiquement, le taux d’exploitation des CVEs est resté prévisible, mais l’avènement de l’IA modifie cette équation. VulnCheck a noté que le temps médian entre la publication d’une CVE et son intégration dans une exploitation connue (KEV) est passé de 120 jours en 2025 à 80 jours au premier semestre 2026.

Ce raccourcissement est alimenté par plusieurs facteurs. Premièrement, l’IA facilite non seulement la découverte, mais aussi la construction et le test des exploits fonctionnels. Deuxièmement, des acteurs malveillants expérimentent et déploient des agents IA pour orchestrer des campagnes automatisées. Un cas notable est celui d’une brèche au Dutch Institute for Vulnerability Disclosure en septembre 2026, où des agents ont été impliqués dans une attaque utilisant deux failles zero-day (CVE-2026-102489, CVE-2026-102490).

Norforge a publié en octobre 2026 des recherches sur Cairn, un agent de pentesting autonome, qu’ils ont découvert exposé publiquement. Cela permet aux acteurs malveillants de vérifier des actifs ou d’obtenir un accès shell avec un taux de réussite moyen de 10 %.

Le dilemme de la défense automatisée

Les avancées de l’IA ne sont pas uniquement une menace. OpenAI illustre d’ailleurs comment ces pipelines peuvent aider les défenseurs. Leur processus intègre une étape de génération de correctifs, permettant aux chercheurs de valider l’exploit, puis de proposer un patch. OpenAI affirme que « avec une itération guidée par des experts humains, nous pensons que les correctifs générés par l’IA peuvent être fonctionnellement corrects, alignés avec les styles de codage existants et robustes aux variantes d’attaque. »

Cependant, le NCSC rappelle que ces outils défensifs nécessitent une configuration correcte et généralisée pour être efficaces. En attendant, une tendance statistique inquiétante est apparue : les données de Google Threat Intelligence Group (GTIG) montrent que le nombre de vulnérabilités divulguées mensuellement a plus que doublé entre janvier 2026 (5 045) et août 2026 (10 740). De plus, le nombre de failles jugées à haut risque a grimpé de 167 % sur la même période. Il faut désormais envisager que, pour un acteur bien financé, disposer d’un compte non privilégié sur un système non mis à jour équivaut à un accès root.

Sources

• Artificial intelligence and cyber intrusion, ncsc.gov.uk
• Exploring the Risks and Impacts of AI on Vulnerability Discovery and Exploitation | Blog | VulnCheck, vulncheck.com
• OpenAI AI Pipeline Generates 948 Linux Root Escalation Exploits in 30-Hour Run, The Hacker News, 5 novembre 2026
• A thousand fewer paths to root, OpenAI, 4 novembre 2026

Crédits photo

• Image en une : Spangdahlem AB becomes first DoD installation to implement BlastWave cyber security solution…, par U.S. Air Force photo by Senior Airman Imani West, Public domain, via Wikimedia Commons (recadrée)