Tu te souviens du temps où dévaliser une banque demandait une équipe, un budget à six chiffres et quelques nuits blanches ? Selon CrowdStrike, la version 2026 tient dans un seul type, un laptop et une poignée de modèles ouverts. Le cabinet de sécurité vient de publier ses conclusions sur une série d’intrusions dans plusieurs établissements financiers sud-coréens. Chez Shinhan Bank tout seul, plus de 25 000 dossiers clients sont partis se promener. Et le suspect, présenté comme basé en Chine et parlant chinois, n’aurait pas eu besoin de grand monde pour faire le ménage.
L’outil au cœur du dossier s’appelle ARTEX. Présenté comme open source, il fait du test d’intrusion automatisé (le pentest, cette discipline normalement réservée aux gentils pour trouver les trous avant les méchants). Sauf que sa petite originalité, c’est de brancher des modèles de langage sur la chaîne d’attaque : DeepSeek et GLM-5.3, deux poids lourds chinois, se retrouvent à piloter la recherche de failles. Tu connais déjà GLM-5.3, on te parlait de son arrivée au comptoir il y a quelques jours. Il fait maintenant autre chose que répondre à tes questions sur Excel.
Le loup solitaire, nouvelle espèce protégée
Ce que CrowdStrike vend dans ce rapport, ce n’est pas tant l’identité de l’attaquant que le changement d’échelle. Avant, une campagne contre plusieurs banques supposait une organisation, des rôles, de la coordination. Là, on parle d’un individu probablement isolé qui aurait enchaîné les cibles. Le cabinet insiste : l’IA transforme un gars seul en force de frappe qui tient la distance.
C’est crédible. C’est aussi très pratique comme argument commercial pour quelqu’un qui vend de la défense. Alors trie.
Ce qui est solide : les intrusions existent, Shinhan a bien morflé, et les 25 000 enregistrements ne sont pas une abstraction marketing. Ce qui reste une affirmation d’éditeur : l’attribution à un acteur basé en Chine. « Parlant chinois » et « basé en Chine » ne veulent pas dire « piloté par Pékin ». CrowdStrike parle d’un suspect, pas d’un État. La nuance vaut de l’or, surtout dans un secteur où le moindre incident vire au récit de guerre froide.
Le reste, c’est la vieille histoire du dual use. ARTEX est un outil de pentest. Le pentest, c’est légal, encadré, et franchement utile. Sauf qu’une fois que tu as fabriqué un marteau ouvert à tous et que tu l’as branché sur des modèles accessibles pour une poignée de centimes, tu ne contrôles plus qui cogne quoi. On l’écrivait après le cambriolage en règle de trois pays par des agents IA : les labos jurent sur l’honneur, le code, lui, ne prête pas serment.
Le fond du problème n’est pas l’IA, c’est la porte ouverte
Il serait facile de tomber dans le panneau et de crier au robot tueur de comptes bancaires. Foutaise. Un LLM ne cracke pas un système tout seul, il n’a pas de mains. Ce qu’il fait très bien, c’est lire du code, deviner où ça pue, rédiger des payloads, enchaîner mille tentatives sans se plaindre et sans pause café. Il industrialise la partie chiante du métier. La partie qui, avant, coûtait des heures d’un humain compétent.
Et c’est exactement là que le bât blesse. Les banques sud-coréennes ne se sont pas fait ouvrir par magie. Elles se sont fait ouvrir parce qu’à un moment, il y avait une faille que personne n’avait bouchée. L’IA n’a pas créé le trou, elle a juste accéléré le passage dedans. Le jour où un type seul peut enchaîner ce qui demandait une équipe, ta surface d’attaque devient un gruyère avec coupe-file.
La bonne question, ce n’est donc pas « comment on interdit l’IA aux pirates ». On n’y arrivera pas, et personne n’a envie de vivre dans le pays où on essaie. La bonne question, c’est pourquoi des modèles parmi les plus ouverts du marché se retrouvent dans une chaîne d’attaque sans que personne n’ait rien vu venir. L’open source, on l’a assez défendu ici pour ne pas se braquer maintenant. Mais défendre l’ouverture, ça veut aussi dire assumer que le même outil qui fait avancer un chercheur à Séoul arme un truand à l’autre bout du monde. C’est le prix. Il faut juste arrêter de faire semblant de découvrir la facture à chaque fois.
Le loup solitaire n’est pas né avec l’IA. Il a juste arrêté d’avoir besoin d’une meute.
Sources :
Comments are closed