Un zero-day conçu avec une IA vient d’être documenté pour la première fois. Le 11 mai 2026, le Google Threat Intelligence Group (GTIG) a publié un rapport sur un exploit préparé par des cybercriminels en vue d’une exploitation de masse. Son code porte les marques d’une génération assistée par un grand modèle de langage. Sa fonction : contourner la double authentification d’un outil open source d’administration système, accessible par navigateur et très répandu.
Beaucoup d’analyses d’impact présentent la double authentification comme la mesure qui règle le risque d’accès illégitime. Ce rapport oblige à relire ces documents.
Ce que révèle le rapport de Google
La vulnérabilité est exploitée par un script Python. Elle repose sur une hypothèse de confiance codée en dur dans l’outil. La faille relève donc de la logique applicative de l’outil. Son exploitation suppose toutefois de disposer d’identifiants valides. Elle s’inscrit donc naturellement à la suite d’une campagne d’hameçonnage ou d’un vol d’identifiants par logiciel espion.
Les analystes ont repéré l’empreinte de l’IA dans la forme du code. Ils relèvent des commentaires pédagogiques surabondants et un score CVSS inventé de toutes pièces. Ensuite, ils notent une structure très scolaire et des menus d’aide détaillés.
Google estime que son propre modèle, Gemini, n’a pas servi. Le rapport attribue aussi l’opération à des acteurs cybercriminels. Le GTIG a ensuite signalé la faille à l’éditeur concerné dans le cadre d’une divulgation responsable. Selon Google, cette intervention a pu empêcher la campagne.
Pourquoi un zero-day conçu avec une IA concerne le DPO
L’article 32 du RGPD impose des mesures techniques adaptées au risque, réexaminées régulièrement. Or beaucoup de registres et d’analyses d’impact citent la double authentification comme mesure principale contre l’accès illégitime, parfois comme seule barrière. Un facteur d’authentification supplémentaire reste pourtant une fonction logicielle. Il peut donc céder sur une faille de logique.
Le second enseignement porte sur les délais. L’assistance par IA raccourcit le temps entre la découverte d’une faille et son exploitation. Par conséquent, la fenêtre pour appliquer un correctif se réduit d’autant. Notre article sur les failles Linux et l’obligation de corriger plus vite développe ce point.
De plus, une console d’administration compromise ouvre un accès très large aux données. Dans ce cas, le risque élevé pour les personnes devient difficile à écarter. L’article 33 impose alors la notification à la CNIL dans les 72 heures, et l’article 34 la communication aux personnes concernées.
La directive NIS 2 va dans le même sens pour les entités essentielles et importantes. La gestion des vulnérabilités et leur divulgation coordonnée figurent parmi les mesures attendues. L’entité adresse aussi une alerte précoce dans les 24 heures après un incident important.
Les vérifications à mener après ce rapport
Ces contrôles se cochent un par un. Chacun laisse une trace utile pour le bilan annuel du DPO.
- Recensez les consoles d’administration exposées sur Internet. Vérifiez si un accès restreint ou un réseau privé peut les protéger.
- Mesurez votre délai réel de correction des vulnérabilités critiques, puis inscrivez cet indicateur au bilan annuel.
- Dans vos analyses d’impact, associez la double authentification à une journalisation des connexions administrateur et à une détection des sessions anormales.
- Vérifiez que vos contrats de sous-traitance (article 28) prévoient une information sans délai en cas de vulnérabilité exploitée sur les outils qui hébergent vos données.
- Testez votre chaîne de notification à 72 heures sur la compromission d’un compte administrateur, en plus du scénario de rançongiciel.
DPO Suite, notre application de conformité, intègre un module d’AIPD pour tenir ces analyses à jour après chaque alerte de ce type. Pour l’authentification, notre fiche sur la sanction de l’Hôpital privé de la Loire montre ce que la CNIL attend. Notre article sur les cyberattaques dopées à l’IA aide ensuite à fixer les priorités.
Pour le DPO, l’auteur du code importe peu. Vérifiez surtout que les mesures de votre registre tiennent face à un attaquant plus rapide qu’hier.
Sources
Les faits décrits viennent du rapport du Google Threat Intelligence Group, GTIG AI Threat Tracker: Adversaries Leverage AI for Vulnerability Exploitation, Augmented Operations, and Initial Access.
Les obligations citées figurent dans la directive (UE) 2022/2555, dite NIS 2 (EUR-Lex).
