Comment les cybercriminels – étatiques et classiques – exploitent les LLM comme Claude et ChatGPT
Les modèles de langage comme Claude ou ChatGPT sont devenus des outils puissants pour les entreprises… mais aussi pour les cybercriminels.
Acteurs étatiques, groupes organisés ou cybercriminels opportunistes apprennent à exploiter ces IA pour gagner en vitesse, en volume et en sophistication.
Dans cet article, nous analysons comment ces modèles sont utilisés à des fins malveillantes, quels risques concrets cela crée pour les organisations, et comment adapter la gouvernance cyber pour y répondre.
1. Pourquoi les LLM intéressent autant les cybercriminels ?
Les LLM offrent trois avantages majeurs aux attaquants :
1. Industrialisation
- Génération de contenus malveillants à grande échelle (e‑mails, scripts, faux profils…).
- Capacité à tester rapidement plusieurs variantes d’une même attaque.
2. Abaissement de la barrière d’entrée
- Un attaquant peu technique peut obtenir des explications, des exemples de code ou des scénarios d’attaque.
- Les LLM deviennent un “assistant pédagogique” pour cybercriminels débutants.
3. Personnalisation fine des attaques
- Adaptation du langage au secteur, au pays, au niveau hiérarchique de la cible.
- Meilleure crédibilité des messages de phishing ou des scénarios d’ingénierie sociale.
2. Cas d’usage malveillants typiques
2.1. Phishing et spear‑phishing “haut de gamme”
Les LLM permettent de :
- Rédiger des e‑mails sans fautes, dans la bonne langue et le bon registre.
- Imiter le ton d’un dirigeant, d’un partenaire ou d’un fournisseur.
- Générer rapidement des dizaines de variantes pour contourner les filtres.
Exemple :
Un attaquant fournit à un LLM quelques e‑mails publics d’un CEO (interviews, posts LinkedIn) et lui demande de rédiger un message “dans le même style” pour demander un virement urgent au service finance.
2.2. Ingénierie sociale augmentée
Les LLM aident à :
- Construire des scénarios crédibles de fraude au président, de faux support IT, de faux prestataire.
- Adapter le discours à la culture de l’entreprise ou au secteur (banque, industrie, santé…).
- Préparer des scripts de conversation pour des appels téléphoniques frauduleux.
Les acteurs étatiques peuvent aller plus loin en combinant ces capacités avec des données issues de renseignement ou de compromissions précédentes.
2.3. Aide à l’écriture de code malveillant
Même si les LLM grand public intègrent des garde‑fous, ils peuvent :
- Suggérer des fragments de code qui, combinés, facilitent la création d’outils d’attaque.
- Aider à corriger ou optimiser des scripts existants (scanners, outils de brute force, etc.).
- Expliquer le fonctionnement de vulnérabilités ou de protocoles pour mieux les exploiter.
Les attaquants les plus avancés utilisent parfois des modèles open source, auto‑hébergés, sans garde‑fous, pour générer directement du code malveillant.
2.4. Désinformation et manipulation de l’opinion
Pour les acteurs étatiques ou para‑étatiques, les LLM sont un levier pour :
- Produire des contenus de propagande ou de désinformation à grande échelle.
- Générer des commentaires, faux avis, posts sur les réseaux sociaux.
- Adapter les messages à des publics spécifiques (pays, partis, communautés).
Ces campagnes peuvent accompagner des opérations cyber plus classiques (intrusions, fuites de données, attaques sur des infrastructures critiques).
3. Limites actuelles… et contournements
Les fournisseurs de LLM (Claude, ChatGPT, etc.) mettent en place des garde‑fous :
- Filtrage des requêtes manifestement malveillantes.
- Détection de certains mots‑clés ou scénarios.
- Surveillance d’abus à grande échelle.
Mais les cybercriminels :
- Reformulent leurs demandes pour contourner les filtres.
- Utilisent des modèles open source non filtrés.
- Chaînent plusieurs outils (LLM + scripts maison + forums spécialisés).
Résultat : les LLM ne créent pas la cybercriminalité, mais ils **accélèrent** et **professionnalisent** certaines pratiques.
2. Quels risques pour les organisations ?
1. Hausse du volume et de la qualité des attaques
- Plus d’e‑mails crédibles, mieux ciblés.
- Plus de scénarios d’arnaque sophistiqués.
2. Pression accrue sur les équipes internes
- Difficile de distinguer rapidement un message légitime d’une attaque.
- Charge mentale plus forte pour les équipes sécurité et métiers.
3. Risque d’exploitation des données internes
- Utilisation imprudente de LLM par les collaborateurs (copier‑coller de données sensibles dans des prompts).
- Fuite potentielle d’informations stratégiques ou de secrets industriels.
4. Impact réputationnel
- Campagnes de désinformation ciblant la direction, la marque ou les produits.
- Exploitation d’incidents cyber pour amplifier la perte de confiance.
5. Comment adapter la gouvernance de la cybersécurité à l’ère des LLM ?
5.1. Sensibiliser COMEX et directions métiers
- Expliquer clairement les nouveaux scénarios d’attaque liés aux LLM.
- Intégrer ces risques dans la cartographie des risques numériques.
- Mettre à jour les **plans de réponse à incident** (crise cyber + crise réputationnelle).
5.2. Mettre à jour les politiques d’usage de l’IA
- Définir ce qui peut ou non être partagé avec des LLM publics.
- Encadrer l’usage de ces outils par les équipes (marketing, juridique, IT, etc.).
- Prévoir des solutions internes ou souveraines pour certains usages sensibles.
5.3. Renforcer la défense humaine
- Former les collaborateurs à reconnaître des messages très bien rédigés, sans fautes, comme potentiellement suspects.
- Simuler des campagnes de phishing “augmentées IA” pour tester la résilience.
- Outiller les équipes (boutons de signalement, procédures simples de remontée).
5.4. Adapter les contrôles techniques
- Mettre à jour les filtres anti‑phishing et les solutions de détection pour intégrer ces nouveaux patterns.
- Surveiller les comportements anormaux (connexions, transferts, accès inhabituels) plutôt que de se fier uniquement au contenu.
- Intégrer le risque “LLM” dans les analyses de menace et les exercices de crise.
6. Rôle des acteurs étatiques vs cybercriminels “classiques”
- Acteurs étatiques / APT (Advanced Persistent Threat)
- Utilisent les LLM comme multiplicateur de puissance : renseignement, influence, préparation d’attaques ciblées.
- Combinent IA, données de renseignement et capacités techniques avancées.
- Cybercriminels classiques
- Exploitent surtout les LLM pour améliorer leurs campagnes de fraude, ransomware, vol de données.
- Profitent de l’abaissement de la barrière d’entrée pour recruter et former plus vite.
Dans les deux cas, les organisations doivent considérer les LLM comme un **accélérateur de menace**, pas comme une menace isolée.
Conclusion
Les modèles de langage comme Claude et ChatGPT transforment profondément le paysage cyber.
Ils offrent des opportunités majeures pour les entreprises… mais aussi pour les attaquants, qu’ils soient étatiques ou criminels “classiques”.
Pour rester résilientes, les organisations doivent :
- Intégrer ces nouveaux usages malveillants dans leur gouvernance de la cybersécurité.
- Adapter la sensibilisation, les politiques d’usage de l'IA en interne et effectuer les contrôles techniques.
- Travailler avec des partenaires capables de traduire ces enjeux technologiques en décisions concrètes pour le COMEX.
Commentaires