Les cyberattaques assistées par IA percent les systèmes en 72 minutes

Juillet 2023. WormGPT apparaît sur les forums underground : un LLM sans garde-fous éthiques, conçu pour générer des emails de phishing et du code malveillant en quelques secondes.

Janvier 2025. Sophos X-Ops détecte une campagne où 12 agents IA opèrent simultanément à l’intérieur d’un réseau d’entreprise, écrivant et testant 80 modules malveillants et 70 techniques d’évasion en l’espace de quelques jours.

Début 2026. Les équipes Unit 42 de Palo Alto Networks documentent un effondrement du dwell time : dans les cas les plus rapides, les attaquants passent de l’accès initial à l’exfiltration de données en 72 minutes. Soit quatre fois plus vite que l’année précédente.

L’automatisation des cyberattaques n’est plus une prospective. Elle est mesurée, documentée, et elle redéfinit le tempo auquel une équipe de sécurité doit réagir.

L’IA malveillante est passée du laboratoire au playbook opérationnel

Les outils sont connus. WormGPT a ouvert la brèche en 2023, suivi de FraudGPT, Evil-GPT et une dizaine de variants maintenus sur les marchés criminels. Leur promesse est simple : produire du contenu de phishing grammaticalement parfait, dans n’importe quelle langue, sans les restrictions des modèles commerciaux.

Sophos a documenté en 2025 la campagne STAC6994, la première preuve tangible d’attaquants utilisant des agents IA comme multiplicateur de force opérationnelle. À l’intérieur du réseau compromis, 12 agents IA développaient, testaient et itéraient du code malveillant contre les EDR du marché — CrowdStrike Falcon, Microsoft Defender, Sophos Intercept X. Le résultat : 80 modules et 70 techniques d’évasion produits en quelques jours. Ce qu’un opérateur humain aurait mis des semaines à coder.

Le rapport Unit 42 2026 Global Incident Response Report, publié par Palo Alto Networks en février 2026, enfonce le clou. En analysant plus de 750 investigations sur incident dans 50 pays, les chercheurs concluent que l’IA ne change pas fondamentalement la nature des attaques — elle comprime leur exécution.

Les attaquants n’inventent pas de nouvelles techniques. Ils automatisent la reconnaissance, la génération de payloads, le spear phishing multilingue et l’exfiltration. Le résultat est un kill chain qui tient dans une réunion d’une heure.

L’identité est devenue le nouveau périmètre

Le rapport Unit 42 révèle une bascule statistique que peu de SOC ont intégrée dans leurs processus.

65 % des accès initiaux sont désormais basés sur l’identité : identifiants compromis, manipulation de l’authentification multifacteur (MFA), ingénierie sociale ciblée. Les vulnérabilités logicielles ne comptent plus que pour 22 % des points d’entrée. Les attaquants ne cassent plus la porte — ils se connectent avec des clés valides.

Dans 89 % des investigations, des faiblesses identitaires ont joué un rôle matériel dans la compromission. Jetons OAuth non gouvernés, comptes de service sans rotation, sessions actives non surveillées : chaque brique de l’infrastructure IAM est devenue un vecteur d’attaque.

48 % des incidents impliquent désormais une activité dans le navigateur. Le browser n’est plus un outil bureautique — c’est le théâtre principal de la compromission, là où les attaquants volent des cookies de session, des tokens d’accès et des identifiants stockés.

Les surfaces d’attaque se fragmentent

Autre chiffre du rapport Unit 42 : dans 87 % des cas, les attaquants opèrent sur deux surfaces d’attaque ou plus simultanément — endpoint, cloud, SaaS, identité, messagerie. Dans certains incidents, l’activité malveillante s’est déployée sur dix vecteurs distincts en parallèle.

Les intégrations SaaS sont devenues un multiplicateur de risque. 23 % des incidents exploitent une application tierce connectée au SI de la victime. Un token OAuth accordé à un outil de productivité devient une porte dérobée vers la messagerie, le CRM, le stockage cloud.

La cause racine n’est pas la sophistication des attaquants. Dans 90 % des cas, ce sont des erreurs de configuration et des angles morts de visibilité qui permettent l’attaque. Le sprawl d’outils — certaines organisations exploitent plus de 50 produits de sécurité — crée une complexité que les équipes ne maîtrisent plus.

Le deepfake phishing n’est plus un scénario de film

Les outils de deepfake vocal et vidéo ont atteint un seuil de maturité opérationnelle. En février 2025, un employé de la finance d’une multinationale a transféré 25 millions de dollars après un appel vidéo avec son directeur financier — un deepfake généré en temps réel.

Les LLM non censurés permettent désormais de générer des emails de spear phishing personnalisés à l’échelle d’une organisation entière. Un attaquant peut scraper les profils LinkedIn, analyser les communications publiques d’une entreprise et produire des centaines de leurres contextuels en moins d’une heure.

Le coût de ces attaques s’effondre. Là où une campagne de spear phishing manuelle coûtait plusieurs milliers de dollars en temps humain, l’IA la rend accessible pour quelques dizaines de dollars de crédits API.

La réponse : automatiser ou disparaître

La compression du dwell time à 72 minutes impose une conclusion brutale : un SOC qui repose sur des analystes humains pour la détection de premier niveau est structurellement en retard.

Seulement 6 % des organisations ont déployé une IA agentique dans leurs opérations de sécurité, alors que 92 % reconnaissent que l’IA aide leurs équipes à traiter plus d’alertes. Le fossé n’est pas technologique — il est décisionnel.

Les recommandations convergent :

• EDR/XDR avec capacités de réponse automatisée (SOAR) : la détection sans capacité de confinement immédiat ne sert à rien face à une attaque qui dure 72 minutes.
• Détection comportementale : les signatures statiques ne couvrent pas les payloads générés par IA, qui mutent à chaque exécution. L’analyse comportementale des terminaux et des identités devient le filet principal.
• MFA phishing-resistant : les attaquants contournent désormais le MFA standard par fatigue, push bombing et vol de jetons. Les clés de sécurité FIDO2 et les politiques d’accès conditionnel strictes ne sont plus optionnelles.
• Gouvernance des identités machines : chaque API key, chaque token OAuth, chaque compte de service doit être inventorié, limité en privilèges et soumis à rotation.
• Segmentation et zero trust : un attaquant qui compromet un compte ne doit pas pouvoir traverser l’ensemble du SI sans nouvelle authentification.

Le verdict

Si votre équipe de sécurité mesure encore son efficacité au nombre d’alertes traitées par jour, vous avez déjà perdu les 72 premières minutes.

La métrique qui compte n’est plus le volume. C’est le MTTR — Mean Time to Respond — ramené sous la barre des 15 minutes pour les incidents à criticité haute. Atteindre cet objectif implique une automatisation du niveau 1 qui ne nécessite pas de validation humaine pour le confinement initial.

Les organisations qui ont commencé cette transition — plateforme unifiée, détection IA-native, réponse automatisée — ferment l’écart. Celles qui recrutent des analystes supplémentaires pour suivre le rythme le creusent. Le coût d’un SOC traditionnel n’est plus seulement budgétaire. Il se mesure en minutes volées par l’adversaire.

La question n’est pas de savoir si l’IA va accélérer les cyberattaques. Elle l’a déjà fait. La question est de savoir si votre défense tourne à la même vitesse.

Références

• 2026 Unit 42 Global Incident Response Report, Palo Alto Networks, 17 février 2026.
• Sophos AI Security 2026 Report, Sophos, juillet 2026.
• Unit 42 Report: AI Shrinks Cyberattack Timeline to 72 Minutes, The Source Code, 18 février 2026.
• The 72-Minute Gap: What the Breaches, the Vendors, and the Messaging Are Actually Telling Us, Sean Martin, 4 mars 2026.
• 72-Minute Breach Exposes SOC Detection Response Time Gap, Cybersecurity Insiders, 2026.
• AI-Powered Cyberattacks Put MSSPs and SOC Teams Under Pressure, MSSP Alert, 2026.
• WormGPT: The Generative AI Tool Cybercriminals Are Using, SentinelOne, 2023.