Antivirus face aux attaques menées par l'intelligence artificielle : ce qui change, ce qui tient

Oui, les attaquants se servent de l’intelligence artificielle, et cela change la vitesse, la qualité des leurres et le coût d’une attaque. Non, cela ne rend pas l’antivirus inutile : il continue d’arrêter l’essentiel de ce qu’un particulier rencontre, à condition d’être à jour et de ne pas être le seul rempart. Ce qui évolue surtout, c’est la part des gestes qui dépendent de vous : mises à jour, mots de passe, sauvegarde. Les laboratoires ne publient aucun test d’attaques pilotées par une machine pour le grand public, ce qui oblige à lire les sources avec méthode. Voici ce qu’elles établissent, ce qu’elles laissent ouvert, et ce qui tient.

Ce que l’intelligence artificielle change côté attaquant

La source française de référence est la synthèse CERTFR-2026-CTI-001 de l’ANSSI, datée du 4 février 2026 et consacrée à l’intelligence artificielle générative face aux attaques. Son constat tient en deux temps. D’une part, l’agence écrit n’avoir pas connaissance de cyberattaques contre des acteurs français menées à l’aide de ces outils, ni d’un système capable de réaliser seul toutes les étapes d’une attaque. D’autre part, elle juge plausible que ces technologies permettent d’améliorer le niveau, la quantité, la diversité et l’efficacité des attaques, surtout contre les environnements peu sécurisés.

Le document recense les usages observés tout au long de la chaîne d’attaque :

• Les contenus d’ingénierie sociale et la reconnaissance. Des opérateurs réputés liés à la Chine auraient fait rédiger des messages d’hameçonnage en 2024 ; d’autres, liés à la Corée du Nord, auraient créé de faux profils d’entreprises et d’employés ; l’ANSSI a aussi observé des sites d’apparence légitime qui semblent produits par ces outils pour héberger des charges malveillantes.
• Le développement de codes malveillants. Un groupe aurait employé en 2024 un script PowerShell produit par un modèle de langage pour compromettre une entreprise allemande.
• L’analyse des données volées. Des opérateurs russes auraient exploité ces services pour trier massivement les données exfiltrées de leurs victimes, d’après une affirmation du département de cyberdéfense ukrainien en février 2025.

Un dernier usage touche directement les particuliers : l’ANSSI note que de nombreux cybercriminels exploitent, pour quelques dizaines de dollars, des services d’hypertrucage (« deepfakes ») à des fins d’usurpation d’identité. Une voix ou un visage imités rendent moins fiable le réflexe « je reconnais mon interlocuteur » : une demande urgente de virement ou de code se vérifie par un second canal, par exemple un appel au numéro habituel.

Le même document tempère le tableau : l’identification d’une vulnérabilité et la mise au point de sa preuve de concept dépendent encore, selon l’ANSSI, de compétences humaines, et il n’existe à la date de rédaction aucun cas avéré d’exploitation d’une faille inédite découverte par un modèle d’intelligence artificielle générative. Ce constat date de février 2026 : les mois suivants ont apporté des cas plus avancés, que la suite détaille.

Code qui se réécrit, rançongiciel qui improvise

Deux exemples reviennent partout. Le premier est PromptLock, que l’ESET a présenté le 27 août 2025 comme un rançongiciel qui s’appuie sur un modèle de langage accessible localement pour générer, à l’exécution, des scripts Lua capables de fonctionner sous Windows, Linux et macOS. L’éditeur le désigne sous le nom Filecoder.PromptLock.A et le qualifie de preuve de concept, en ajoutant que la menace qu’il représente est bien réelle. L’ANSSI le décrit, de son côté, comme un prototype mis au point par des chercheurs de l’université de New York : ce n’est donc pas, dans ces sources, un outil découvert en activité chez des criminels.

Le second exemple est PROMPTFLUX, que l’ANSSI rapporte d’après Google : un code polymorphe qui interroge l’API Gemini pour réécrire entièrement son code source toutes les heures afin d’échapper à la détection. L’agence ajoute que développer de tels codes suppose des capacités relativement sophistiquées. Le point commun de ces deux cas est qu’un fichier ne se ressemble plus d’une exécution à l’autre, ce qui affaiblit la comparaison avec des signatures connues et déplace l’effort vers l’analyse du comportement. C’est précisément l’étage décrit dans l’article sur ce qu’un antivirus arrête face à un rançongiciel.

Quand l’intelligence artificielle enchaîne les étapes : deux cas documentés

Deux campagnes, l’une de 2025, l’autre de 2026, montrent le passage de l’assistance à l’exécution.

Le 13 novembre 2025, Anthropic a décrit une campagne d’espionnage détectée à la mi-septembre 2025 et attribuée, avec un niveau de confiance élevé, à un groupe étatique chinois. Les opérateurs ont manipulé l’outil de programmation Claude Code pour tenter de s’introduire chez environ trente cibles dans le monde, avec un succès limité à un petit nombre de cas. Anthropic estime que l’outil a réalisé 80 à 90 % du travail de la campagne, les humains n’intervenant que sur quatre à six points de décision critiques. L’éditeur relève aussi une limite : le modèle a parfois inventé des identifiants ou présenté comme secrètes des informations publiques, ce qui reste un obstacle à une autonomie complète.

Le second cas est une campagne contre le logiciel de gestion d’impression PaperCut, documentée par GreyNoise le 9 septembre 2026. Le chercheur parle d’un acteur « probablement russophone » qui aurait employé l’intelligence artificielle pour développer, tester et utiliser des exploits visant deux failles, avec des centaines d’agents lancés depuis un cadre d’exécution Codex d’OpenAI associé à un modèle DeepSeek, plus des outils offensifs publics comme Mimikatz ou BloodHound. Le développement des exploits aurait commencé le 31 août, la campagne le 1er septembre. GreyNoise compte au moins 440 instances PaperCut compromises, hébergées par 395 organisations identifiées dans 48 pays, dont 12 ont vu un compte d’administrateur de domaine tomber. Le laboratoire précise qu’il ignore si l’acteur cherche seulement à vendre des accès ou prépare du vol de données ou un rançongiciel, et qu’un pare-feu applicatif de Cloudflare l’a arrêté dans au moins un cas.

Ces deux cas visent des organisations, pas des particuliers. Ils disent néanmoins quelque chose d’utile pour tous : le délai entre la publication d’une faille et son exploitation se réduit, et la défense qui compte est la mise à jour rapide plus que la détection d’un fichier.

Octobre 2026 : ce que les sources établissent, et ce qu’elles laissent ouvert

Le surnom « Black October » circule depuis la fin du mois pour désigner une série d’incidents. Il est apparu dans des commentaires en ligne, et aucune autorité lue ne le définit. Le service INCIBE-CERT espagnol reprend l’expression, le 3 novembre 2026, pour désigner une période et dresse une liste d’incidents datés, pour l’essentiel entre le 16 et le 30 octobre. Un seul de ces éléments mentionne l’intelligence artificielle : l’enquête sur les failles PHP2Shell, où elle aurait servi à découvrir les vulnérabilités. Le tableau ci-dessous sépare ce qui est confirmé par une source primaire de ce qui ne l’est pas.

Élément	Ce que la source primaire confirme	Source	Statut
LiteLLM, 21 octobre 2026	La version 1.107.0 a été publiée sur PyPI et le registre Docker avec un logiciel malveillant qui vole des identifiants ; incident déclaré contenu, clients de la version d’entreprise privée non touchés	Blog de LiteLLM	Confirmé
PHP2Shell, GitLab, Node.js	Correctifs publiés le 21 octobre ; exploitation active confirmée par Microsoft pour PHP2Shell et Brotli ; l’intelligence artificielle a servi à l’enquête sur PHP2Shell	INCIBE-CERT	Confirmé
PaperCut, 440 serveurs	Campagne documentée, mais datée de septembre 2026, pas d’octobre	GreyNoise	Confirmé, hors période
« Black October » comme attaque coordonnée	Aucune source primaire lue n’établit un lien entre ces incidents	Aucune	Non établi
« 200 organisations touchées »	Chiffre de blogs, retrouvé dans aucune source primaire	Aucune	Écarté

LiteLLM illustre le glissement des cibles : le logiciel compromis est un projet libre destiné aux développeurs, et le code malveillant vole des identifiants. Pour un particulier, le risque direct est faible ; pour un développeur ou une petite entreprise, la prudence usuelle est de ne pas installer une version fraîchement publiée sans contrôle et, si une machine a exécuté la version touchée, de renouveler les identifiants qu’elle contenait.

À côté de ces faits, une source nommée donne un ordre de grandeur sur la période juillet 2025-juin 2026. Selon le résumé que Help Net Security publie du rapport Digital Defense 2026 de Microsoft, le délai médian entre la découverte d’une faille dans la nature et son armement serait désormais bien inférieur à 24 heures, et l’hameçonnage serait à l’origine de 23 % des intrusions examinées par Microsoft, contre 7 % un an plus tôt. Nous n’avons pas pu lire le rapport lui-même : ces chiffres sont à prendre comme rapportés, pas comme établis par nos soins.

Ce que l’intelligence artificielle change côté défense

Les éditeurs n’ont pas attendu 2026 pour employer l’apprentissage automatique. Dans un billet du 12 janvier 2017, Bitdefender expliquait déjà recourir à plusieurs algorithmes, chacun spécialisé dans une famille de rançongiciels, et affirmait que l’apprentissage automatique peut détecter des échantillons nouveaux ou inconnus quand il a été entraîné sur de grands jeux de données. Ce qui est neuf, c’est le vocabulaire commercial et la place donnée à la brique dans les offres.

Sur le site français d’ESET, relevé le 6 novembre 2026, la formule HOME Security Essential annonce une détection des menaces qui s’appuie sur une intelligence artificielle avancée pour bloquer en temps réel logiciels malveillants, rançongiciels et hameçonnage, ainsi qu’une protection contre les arnaques facilitées par ces outils. La liste des fonctions mentionne aussi un apprentissage automatique avancé pour Windows. La fiche ESET replace ces annonces à côté des mesures indépendantes du produit. Côté entreprises, la documentation d’ESET décrit LiveGuard Advanced comme un service dans le nuage qui exécute les fichiers suspects dans un bac à sable et applique, à l’une de ses quatre couches, un apprentissage automatique incluant l’apprentissage profond.

Face à un hameçonnage mieux rédigé, la couche qui travaille n’est pas la lecture du texte mais le filtrage de ce qu’il contient. Un message sans faute ne change pas le lien ni la pièce jointe : si l’adresse est déjà signalée, la protection web peut la couper ; si elle est neuve, le produit ne dispose plus que d’indices de comportement. C’est ce cas limite que les attaquants cherchent à produire en série, et celui qui départage les produits, d’où l’intérêt des attaques ciblées de SE Labs.

Il faut lire ces phrases pour ce qu’elles sont : des descriptions d’éditeurs. Aucun des quatre étages d’un antivirus moderne n’est mesuré isolément par les laboratoires du socle :

• Les signatures et la réputation, qui arrêtent ce qui est déjà connu ;
• L’analyse du comportement, qui interrompt un programme inconnu qui réécrit des fichiers ;
• La protection web et du courrier, qui coupe les adresses et pièces jointes signalées ;
• L’apprentissage automatique, qui classe un fichier ou un comportement d’après des exemples, et qui est mentionné par les éditeurs comme une couche parmi d’autres.

Pour un utilisateur de Windows, la question de savoir si l’antivirus intégré suffit se pose avec la même acuité qu’avant : l’article sur Microsoft Defender en donne les mesures.

Ce que les laboratoires mesurent, et ce qu’ils ne mesurent pas

Les tests auxquels ce site se réfère mesurent des menaces, pas leur auteur. AV-Comparatives soumet chaque produit à 400 scénarios d’infection réels dans son test Real-World de février à mai 2026 ; SE Labs, entre avril et juin 2026, combine menaces publiques du jour et attaques ciblées conçues avec des outils publics, et seuls Kaspersky et Malwarebytes n’ont laissé passer aucune attaque ciblée ; AV-TEST évalue la protection contre des logiciels malveillants inédits transmis par le web et le courrier. Les barèmes et leurs pièges de lecture sont expliqués dans le guide pour lire un test de laboratoire. Un code réécrit par une machine entre dans ces mesures comme n’importe quel code inédit, sans catégorie à part.

Un test récent croise le sujet. Le test EPR 2026 d’AV-Comparatives, mené de juin à août et publié en septembre 2026, porte sur 14 solutions d’entreprise face à 50 scénarios d’attaque ciblée en trois phases. Le laboratoire précise avoir utilisé des techniques de développement assisté par intelligence artificielle pour créer ses outils de test et des variantes de scénarios, afin de refléter les capacités émergentes des attaquants. Onze produits ont obtenu la distinction Certified Leader. Ce test ne mesure pas des produits grand public, et le laboratoire ne le décrit pas comme un test d’attaques conduites par une machine : il utilise la technique pour construire l’attaque, pas pour la piloter.

Concrètement, il manque trois choses qu’un lecteur pourrait espérer :

1. un test grand public d’attaques menées de bout en bout par des agents ;
2. une mesure séparée de la couche d’apprentissage automatique de chaque produit ;
3. un suivi de la rapidité avec laquelle chaque éditeur ajoute une détection après l’apparition d’un nouvel outil offensif.

Sans ces mesures, aucun article honnête ne peut dire qu’un antivirus suit ou ne suit pas le rythme : ce serait un verdict sans source. Ce que l’on peut dire, c’est que les écarts mesurés entre produits restent ceux des cycles de test cités plus haut, et que les fausses alertes, étudiées dans l’article consacré aux faux positifs, sont le prix à surveiller quand un produit durcit sa détection.

Ce qui reste à votre charge, ou à celle du technicien

Quand la vitesse d’attaque augmente, la marge se gagne là où l’antivirus n’a pas de prise. Pour un particulier, cinq gestes pèsent plus que le choix d’un produit à quelques points près.

• Mettre à jour sans attendre. Système, navigateur, routeur et applications : le délai entre la publication d’une faille et son exploitation se réduit, d’après le rapport de Microsoft cité plus haut.
• Activer l’authentification à deux facteurs sur la messagerie, la banque et les comptes d’achat. Un attaquant qui se connecte avec un mot de passe volé n’a pas besoin de faire passer un fichier devant l’antivirus.
• Garder une sauvegarde hors ligne, débranchée après usage, avec un historique de versions : c’est la seule défense qui répare un fichier chiffré.
• Vérifier hors du message : un courriel sans faute, au ton juste, n’est plus un signe d’authenticité. Ouvrir le site officiel par son adresse habituelle plutôt que par le lien reçu est le réflexe qui compte.
• Ne pas laisser traîner de clés : mots de passe dans des fichiers, clés d’accès d’outils de développement ou de services d’intelligence artificielle dans un dépôt public ou une extension non vérifiée.

Pour un technicien qui équipe un parc de clients professionnels, la question n’est plus « quel antivirus » mais « quelle console, quelle détection du comportement, qui surveille les alertes ». Un antivirus classique voit un poste ; une solution de détection et de réponse sur les terminaux (EDR) ou étendue (XDR) corrèle plusieurs postes et comptes, ce qui compte face à des campagnes qui enchaînent des machines en quelques minutes, comme celle de PaperCut. La gamme professionnelle d’ESET, par exemple, réserve la détection étendue à son niveau Elite d’après son site français, comme le détaille la fiche. Les piliers du site donnent le point de départ côté particuliers, du comparatif des suites payantes au choix par usage.

Ce que nous avons écarté

Plusieurs éléments lus dans la presse n’ont pas été retenus, faute de source primaire. Le chiffre de « 200 organisations » attribué à la série d’octobre ne se retrouve dans aucun document d’autorité ou d’éditeur. Le nom « Black October » décrit une période, pas une campagne démontrée. Les rapports d’OpenAI sur les usages malveillants de ses services n’ont pas été relus dans leur version d’origine et ne sont donc pas cités. Enfin, les prévisions des autorités britanniques sur des logiciels malveillants pilotés par intelligence artificielle à l’horizon 2028 n’ont pas été relues dans leur version d’origine : ce sont des projections, pas des incidents.

Ce qui tient, en résumé

L’intelligence artificielle accélère les attaques, polit les messages d’hameçonnage, et commence à enchaîner des étapes d’intrusion avec un minimum d’intervention humaine : l’ANSSI, Anthropic et GreyNoise en donnent des éléments datés et sourcés. Elle n’a pas supprimé le besoin d’accès, de faille ou de crédulité, et l’ANSSI n’avait pas connaissance, en février 2026, d’attaque contre un acteur français menée par une machine de bout en bout. Les antivirus emploient eux-mêmes l’apprentissage automatique depuis des années, sans que les laboratoires mesurent cette couche à part. Ce qui tient : la protection mesurée par les tests, les mises à jour, l’authentification renforcée, la sauvegarde hors ligne. Ce qui change : le temps dont on dispose pour agir.