IA cyberattaques : tendances 2025 et défenses Microsoft

Introduction : pourquoi cela compte maintenant

Les entreprises intègrent rapidement l’IA pour améliorer la productivité, mais les attaquants adoptent les mêmes technologies afin d’augmenter la vitesse, l’échelle et la répétabilité des opérations cyber. Microsoft Threat Intelligence souligne que l’usage malveillant le plus courant aujourd’hui est la génération de contenu et de code pilotée par des modèles de langage—réduisant la friction technique tandis que les humains gardent le contrôle du ciblage et de l’exécution. Pour les équipes IT, le principal enseignement est que l’IA ne crée pas nécessairement de « nouvelles » voies d’attaque, mais qu’elle accélère de manière significative celles qui existent déjà et peut accroître la persistance opérationnelle.

Nouveautés : comment les attaquants rendent l’IA opérationnelle

Les observations de Microsoft distinguent l’IA comme accélérateur (le cas le plus courant aujourd’hui) de l’IA comme arme (tendance émergente).

L’IA comme accélérateur tout au long du cycle de vie de l’attaque

Les acteurs de la menace utilisent l’IA générative pour :

• Rédiger et localiser du contenu de phishing/d’ingénierie sociale (appâts plus convaincants, itérations plus rapides).
• Résumer et trier des données volées après compromission afin d’identifier rapidement les informations à forte valeur.
• Générer, déboguer ou structurer du code (composants de malware, scripts, modèles d’infrastructure).
• Accélérer la reconnaissance, y compris la recherche de vulnérabilités et la compréhension des chemins d’exploitation à partir de CVE publiques.
• Créer des personas crédibles en analysant des offres d’emploi, en extrayant les exigences des postes et en générant des artefacts d’identité alignés culturellement.

Un exemple concret clé du blog est l’activité de travailleurs IT à distance nord-coréens (suivie sous les noms Jasper Sleet et Coral Sleet), où l’IA soutient la fabrication d’identité, l’ingénierie sociale et la persistance à long terme—aidant les acteurs à « se faire embaucher, rester embauchés et abuser des accès à grande échelle ».

Contourner les contrôles de sécurité de l’IA (jailbreaking)

Microsoft note des expérimentations actives visant à contourner les garde-fous des modèles, notamment :

• Reformulation de prompts et chaînage d’instructions en plusieurs étapes
• Usage abusif de prompts de type système/développeur
• Jailbreaks basés sur des rôles (par exemple, « Répondez comme un analyste cybersécurité de confiance ») pour obtenir des conseils restreints

Tendance émergente : expérimentation autour de l’agentic AI

Bien que cela n’ait pas encore été observé à grande échelle, Microsoft constate des premières expérimentations avec l’agentic AI pour la prise de décision itérative et l’exécution de tâches—ce qui pourrait conduire à un savoir-faire opérationnel plus adaptatif compliquant la détection et la réponse.

Impact sur les administrateurs IT et les utilisateurs finaux

• Volume et qualité plus élevés du phishing augmentent le risque de vol d’identifiants et de compromission via le helpdesk.
• Exploitation plus rapide et sélection plus rapide des outils réduisent les fenêtres de réponse après la divulgation d’une vulnérabilité.
• Risque accru de type insider via des scénarios frauduleux de sous-traitants/travailleurs et l’abus d’accès légitimes.

Actions à entreprendre / prochaines étapes

• Renforcer l’identité et les accès : appliquer des contrôles résistants au contournement de la MFA lorsque c’est possible, mettre en place Conditional Access et limiter strictement les privilèges.
• Renforcer la vérification lors de l’embauche et de l’intégration des sous-traitants : valider les identités, la posture des appareils et les limites d’accès pour les travailleurs à distance.
• Accroître la résilience au phishing : formation des utilisateurs et contrôles techniques (liens/pièces jointes sûrs, protection contre l’usurpation d’identité).
• Surveiller les schémas d’accès anormaux cohérents avec des comportements de travailleurs externalisés/frauduleux (géolocalisation inhabituelle, impossible travel, outils atypiques).
• Exploiter les détections et investigations Microsoft Defender mises en avant par Microsoft pour détecter, remédier et répondre aux activités activées par l’IA.

Microsoft souligne que l’IA peut aussi amplifier les défenseurs—lorsqu’elle est associée à des contrôles robustes, à des détections guidées par le renseignement et à des efforts de disruption coordonnés.