L’IA devient une composante de l’arsenal cyber russe

La Russie utilise l’intelligence artificielle pour élargir l’échelle et l’efficacité de ses opérations de cyberespionnage visant l’Ukraine et l’Europe, transformant des modèles d’IA disponibles dans le commerce en une couche supplémentaire de ses capacités de renseignement. Une campagne liée à des pirates informatiques soutenus par l’État russe a utilisé Claude, d’Anthropic, pour mener des reconnaissances, mettre au point des outils d’attaque, conserver l’accès à des systèmes compromis et analyser des informations dérobées. L’opération montre comment l’IA commence à dépasser son rôle d’assistant pour pirates individuels afin de s’intégrer à l’infrastructure opérationnelle d’une campagne cyber plus vaste.

Anthropic a attribué cette activité à un groupe qu’elle a désigné sous le nom de GTG-20006 et indiqué que ses tactiques et son ciblage correspondaient à ceux du groupe Midnight Blizzard, soutenu par l’État russe et associé au service de renseignement extérieur russe. Plus de 20 organisations ont été visées, notamment des institutions gouvernementales, des entreprises de défense, des instances diplomatiques et des centres de réflexion. La plupart des cibles identifiées se trouvaient en Ukraine et en Europe, bien que la campagne se soit également étendue à des organisations d’autres régions.

L’importance de l’opération réside dans la combinaison de capacités cyber russes déjà établies avec une automatisation pilotée par l’IA. Les méthodes sous-jacentes — hameçonnage, vol d’identifiants, intrusion dans les réseaux et compromission de la chaîne d’approvisionnement — ne sont pas nouvelles. Ce qui a changé, c’est la vitesse et l’ampleur avec lesquelles elles peuvent être déployées, adaptées et combinées, ce qui pourrait permettre à des équipes d’opérateurs relativement réduites d’accomplir un travail qui exigeait auparavant des groupes plus importants de personnel spécialisé.

L’industrie de défense ukrainienne au centre

Le secteur ukrainien des technologies de défense a été l’un des domaines d’intérêt les plus significatifs. Les opérateurs russes ont ciblé des entreprises impliquées dans la production de drones et de leurs composants, ainsi que des organisations développant des systèmes militaires sans pilote et des technologies associées. Leurs objectifs incluaient l’accès à des logiciels, à des informations d’ingénierie, à des données de chaîne d’approvisionnement et à d’autres éléments susceptibles de révéler comment les technologies de défense ukrainiennes sont développées et déployées.

Dans un cas, les attaquants ont obtenu un ensemble logiciel complet lié à un système ukrainien de vision par ordinateur pour drone. Ils ont ensuite passé plusieurs jours à en analyser l’architecture, les composants matériels, les chaînes d’approvisionnement et les informations relatives à un produit qui n’avait pas encore été rendu public. Leur attention s’est également portée sur les systèmes de contrôle de drones et les micrologiciels associés à la vision par ordinateur fondée sur l’IA.

Le choix des cibles reflète l’importance stratégique croissante du secteur ukrainien des technologies de défense. Depuis le début de l’invasion à grande échelle menée par la Russie, les entreprises ukrainiennes ont rapidement développé de nouvelles approches en matière de drones, de guerre électronique, de logiciels de champ de bataille et de systèmes autonomes. Une grande partie de cette innovation est née directement des exigences du champ de bataille, créant un écosystème de défense capable d’adapter les technologies à une vitesse que les systèmes traditionnels d’acquisition militaire peinent souvent à égaler.

Cette expérience a aussi rendu la technologie de défense ukrainienne de plus en plus pertinente pour l’Europe. Les gouvernements européens considèrent l’Ukraine non seulement comme un pays ayant besoin de soutien militaire, mais aussi comme une source de connaissances pratiques sur les drones, la guerre électronique et les technologies modernes du champ de bataille. Les renseignements recueillis auprès d’entreprises ukrainiennes peuvent donc avoir de la valeur pour la Russie au-delà de l’effort de guerre immédiat, en particulier s’ils révèlent des technologies susceptibles d’influencer les futures capacités de défense européennes.

La cible n’est plus une institution isolée

La campagne démontre pourquoi les objectifs de cyberespionnage de la Russie s’étendent de plus en plus au-delà des seuls réseaux gouvernementaux. L’accès à une entreprise de défense peut fournir des informations techniques ; l’accès à un fournisseur peut révéler des relations d’approvisionnement ; l’accès à un compte de communication peut exposer les personnes qui se trouvent derrière ces réseaux. Ensemble, ces fragments peuvent donner à un service de renseignement une image beaucoup plus large des capacités et du processus décisionnel d’un adversaire.

Les pays européens qui soutiennent l’Ukraine forment un écosystème de sécurité de plus en plus interconnecté. Les fabricants d’armement dépendent de sous-traitants, de fournisseurs de logiciels et d’entreprises logistiques, tandis que les gouvernements s’appuient sur des infrastructures technologiques privées et des plateformes de communication. Cela signifie qu’une opération cyber n’a pas nécessairement besoin de pénétrer directement un système gouvernemental ou militaire hautement protégé pour obtenir des informations stratégiquement précieuses.

La campagne russe s’inscrit dans ce modèle. Des agences gouvernementales européennes, des institutions diplomatiques, des organisations de défense, des entreprises et des organismes de recherche figuraient parmi les cibles. L’objectif n’était pas nécessairement de compromettre un seul système critique, mais de recueillir des informations dans de multiples parties de l’environnement de sécurité européen.

Cette approche est particulièrement pertinente alors que l’Europe cherche à développer sa capacité industrielle de défense. Les gouvernements du continent augmentent leurs dépenses militaires, élargissent leur production nationale et recherchent de nouveaux fournisseurs, tandis que les entreprises développent drones, capteurs, logiciels et autres technologies à un rythme accéléré. L’écosystème qui en résulte génère davantage de propriété intellectuelle précieuse et davantage de connexions numériques — donc davantage de points d’entrée potentiels pour les services de renseignement étrangers.

L’IA modifie l’économie du piratage

L’aspect le plus significatif de la campagne n’est pas que les opérateurs russes aient découvert une nouvelle technique de piratage. C’est que l’IA leur a permis d’automatiser des parties substantielles du processus existant.

Claude a été utilisé pour aider à la reconnaissance, à l’infrastructure d’hameçonnage, aux tâches liées aux identifiants, au développement de logiciels malveillants et à l’analyse des informations dérobées. Le modèle pouvait aussi aider les opérateurs à résoudre des problèmes techniques pendant une attaque, réduisant la quantité de travail manuel nécessaire à différentes étapes de l’opération.

Cela compte parce que les campagnes cyber sophistiquées ont traditionnellement dépendu d’équipes dotées de compétences diverses. La reconnaissance, la recherche de vulnérabilités, le développement de logiciels malveillants, l’intrusion dans les réseaux, la collecte d’identifiants et l’analyse de données exigent chacun des connaissances spécialisées. L’IA ne supprime pas le besoin d’expertise humaine, mais elle peut permettre à un nombre réduit d’opérateurs d’accomplir simultanément un plus grand nombre de ces tâches.

Il en résulte un déplacement de l’économie des opérations cyber. Le coût du lancement d’une campagne contre un grand nombre de cibles potentielles peut baisser si les systèmes d’IA sont capables d’effectuer des recherches répétitives, d’analyser des informations techniques et de générer ou de modifier du code. Les attaquants peuvent consacrer plus de temps à décider où concentrer leurs efforts tout en déléguant une grande partie de la charge technique à des machines.

Pour les défenseurs européens, cela crée une asymétrie difficile. Les équipes de sécurité ne peuvent plus supposer que la neutralisation d’un outil ou le blocage d’une attaque suffira nécessairement à arrêter une opération. Si un adversaire peut modifier rapidement son code ou générer des approches alternatives, le cycle défensif se raccourcit et devient plus exigeant.

L’IA peut s’adapter au défenseur

L’un des éléments les plus révélateurs de l’opération a été l’usage de l’IA pour répondre aux mesures défensives. Lorsque des logiciels de sécurité détectaient des composants malveillants, les attaquants pouvaient recourir à l’IA pour analyser les raisons de cette identification, modifier le code et préparer une nouvelle version à déployer.

Cela crée une boucle de rétroaction entre l’attaque et la défense. Traditionnellement, un opérateur cyber pouvait devoir interrompre une opération, déterminer pourquoi un outil avait été détecté, réécrire des parties du code et le tester à nouveau. Avec l’IA intervenant tout au long de ce processus, le temps entre la détection et l’adaptation peut être considérablement réduit.

Les implications dépassent la Russie. Si des capacités similaires se généralisent, la barrière à la conduite d’opérations cyber sophistiquées pourrait s’abaisser pour les acteurs étatiques comme non étatiques. Une technologie initialement conçue pour rendre plus efficaces le développement logiciel légitime et l’analyse d’informations peut aussi servir à rendre les opérations malveillantes plus rapides et plus extensibles.

Cela ne signifie pas que l’IA a mené seule la campagne russe. Des opérateurs humains sont restés responsables de la sélection des cibles, de la conduite de l’opération et des décisions stratégiques. L’important réside dans la répartition des tâches : les humains décident de plus en plus ce qu’ils veulent obtenir, tandis que les systèmes d’IA peuvent prendre en charge des portions plus importantes du processus technique nécessaire pour y parvenir.

La chaîne d’approvisionnement devient un champ de bataille

La campagne met aussi en évidence l’importance croissante de la sécurité de la chaîne d’approvisionnement. Les opérateurs russes ont compromis au moins trois fournisseurs de Wi-Fi d’hôtels et obtenu des identifiants administratifs, puis ont manipulé des enregistrements DNS afin de rediriger le trafic des utilisateurs via une infrastructure placée sous leur contrôle.

L’objectif n’était pas simplement de compromettre les hôtels eux-mêmes. L’infrastructure pouvait servir à collecter des informations sur les appareils connectés et à identifier des personnes susceptibles d’être des cibles de valeur. Des individus liés à l’Ukraine, notamment des responsables gouvernementaux et des fabricants de drones, figuraient parmi les personnes d’intérêt.

Cette tactique illustre un problème plus large pour la sécurité européenne. Les organisations investissent souvent massivement dans la protection de leurs propres réseaux tout en ayant beaucoup moins de contrôle sur la cybersécurité de prestataires externes. Or un attaquant peut utiliser un service moins protégé comme intermédiaire et obtenir potentiellement des informations sur les personnes et les organisations qui l’utilisent.

C’est particulièrement difficile en Europe, car des activités critiques dépendent de plus en plus de réseaux complexes d’entreprises privées. Les entreprises de défense s’appuient sur des fournisseurs de technologie, les gouvernements utilisent des infrastructures commerciales de cloud et de communication, et les responsables se déplacent via des hôtels et d’autres réseaux publics. Les frontières entre infrastructures civiles et stratégiques deviennent de plus en plus difficiles à définir du point de vue de la cybersécurité.

Les communications privées offrent un autre type de renseignement

La campagne russe a également ciblé des comptes WhatsApp appartenant à d’anciens hauts responsables ukrainiens. Les attaquants ont utilisé une infrastructure automatisée de navigation pour connecter des comptes compromis en tant qu’appareils supplémentaires et extraire de grands volumes de correspondance.

L’accès aux communications privées peut être particulièrement précieux pour un service de renseignement, car il fournit des informations rarement accessibles par les seuls documents officiels. Les messages peuvent révéler des réseaux personnels, des relations informelles, des sources, des projets et les discussions entourant des décisions avant qu’elles ne deviennent une politique formelle.

Ces éléments peuvent compléter les informations obtenues à partir de systèmes gouvernementaux ou de réseaux d’entreprise. Un compte de messagerie compromis peut montrer ce qu’une organisation a décidé, tandis que des conversations privées peuvent aider à révéler pourquoi une décision a été prise et qui l’a influencée.

Pour l’Ukraine et ses partenaires européens, la menace dépasse donc le vol de données classique. La cybersécurité consiste de plus en plus à protéger les réseaux de relations à travers lesquels se prennent les décisions politiques, militaires et commerciales.

Les capacités cyber existantes de la Russie font de l’IA un multiplicateur de force

L’efficacité de l’IA dans cette campagne ne peut être dissociée de l’infrastructure cyber et de renseignement déjà en place en Russie. Les groupes soutenus par l’État russe ont passé des années à développer une expertise en ingénierie sociale, en intrusion dans les réseaux, en vol d’identifiants et en ciblage de gouvernements et d’infrastructures critiques.

L’IA ajoute une nouvelle couche à cette capacité établie. Elle peut traiter de grandes quantités d’informations, aider à identifier des schémas, accélérer le développement technique et permettre aux opérateurs de gérer davantage de cibles sans augmentation proportionnelle du personnel.

Cette distinction est importante. L’avantage stratégique ne vient pas d’une IA agissant de manière indépendante, mais de la combinaison de l’IA avec des opérateurs de renseignement expérimentés qui savent déjà sélectionner des cibles et exploiter des informations compromises.

Le même principe s’applique à d’autres domaines de l’activité hybride. La Russie a bâti de vastes capacités dans les opérations cyber, la désinformation, l’espionnage et l’influence clandestine. Des systèmes d’IA plus performants peuvent potentiellement accroître l’efficacité de plusieurs de ces activités en réduisant le temps et les ressources nécessaires pour produire des contenus sur mesure, analyser des informations ou identifier des cibles potentielles.

Le renforcement de la défense européenne crée de nouvelles cibles de renseignement

Le calendrier est significatif pour le secteur européen de la défense. Les gouvernements européens augmentent leurs budgets de défense, développent leur production nationale et cherchent à réduire leur dépendance à des fournisseurs extérieurs. La guerre en Ukraine a accéléré les investissements dans les drones, la guerre électronique, l’intelligence artificielle, les communications de champ de bataille et les systèmes autonomes.

Cette expansion crée des opportunités stratégiques pour l’industrie européenne, mais elle crée aussi une cible de renseignement croissante pour la Russie. Des informations sur les nouvelles lignes de production, les fournisseurs, les composants, les logiciels et les plans d’acquisition peuvent donner à Moscou une image plus claire de l’évolution des capacités de défense européennes.

L’Ukraine est une source d’information particulièrement précieuse parce que son industrie militaire se développe dans des conditions réelles de combat. Les entreprises ukrainiennes peuvent tester des technologies face à un adversaire technologiquement capable et intégrer rapidement les enseignements du combat. Le renseignement russe a donc intérêt à surveiller non seulement ce que l’Ukraine produit aujourd’hui, mais aussi les technologies susceptibles de façonner la prochaine génération de la guerre européenne.

Ces mêmes informations peuvent aussi avoir une valeur militaire directe pour la Russie. Comprendre les logiciels et les composants utilisés dans les systèmes ukrainiens peut aider à identifier des vulnérabilités, à développer des contre-mesures ou à anticiper l’évolution de certaines technologies.

La frontière entre cyberespionnage et compétition militaire s’efface

La campagne illustre un changement plus large de la nature de la compétition de sécurité en Europe. La cyberespionnage ne se limite plus au vol de documents diplomatiques ou à la compromission de comptes de messagerie gouvernementaux. Il cible de plus en plus les fondements technologiques de la puissance militaire.

Les logiciels, les données d’ingénierie, les processus de production et les relations avec les fournisseurs peuvent être aussi importants sur le plan stratégique que le renseignement militaire traditionnel. À mesure que les forces armées modernes dépendent davantage de logiciels et de systèmes en réseau, l’accès à la couche numérique qui sous-tend une arme peut fournir des informations sur son fonctionnement, sur la manière de la perturber et sur son évolution possible.

C’est particulièrement visible dans le secteur des drones. Les systèmes sans pilote sont devenus l’un des domaines de la technologie militaire qui évoluent le plus vite, l’Ukraine les développant et les adaptant à un rythme dicté par les nécessités du champ de bataille. La course technologique autour des drones devient donc aussi une course au renseignement.

La campagne russe montre que Moscou tente de participer à cette course par des moyens cyber, en recherchant des informations susceptibles de l’aider à comprendre et potentiellement à contrer l’avantage technologique ukrainien.

L’IA élargit la menace hybride

L’usage de l’IA dans la cyberespionnage s’inscrit dans une transformation plus large de la guerre hybride. L’intelligence artificielle peut aider les acteurs à passer plus vite de la reconnaissance à la collecte d’informations, à l’intrusion informatique et à l’analyse, tout en réduisant les ressources humaines nécessaires pour coordonner des campagnes complexes.

Anthropic a également identifié des usages abusifs de l’IA liés à des applications militaires, à la surveillance et à des opérations d’influence impliquant des acteurs de plusieurs pays. La tendance générale suggère que la valeur stratégique de l’IA ne se limite plus à la productivité économique ou aux applications civiles. Les gouvernements et les services de renseignement voient de plus en plus dans les modèles avancés des outils pouvant être intégrés à leurs capacités de sécurité et militaires existantes.

Pour l’Europe, cela crée un défi politique. Restreindre l’accès aux modèles d’IA peut réduire certaines formes d’usage abusif, mais ne peut pas éliminer la demande sous-jacente pour ces capacités. Les acteurs étatiques peuvent développer leurs propres systèmes, utiliser des modèles open source ou tenter d’exploiter des plateformes commerciales.

La réponse la plus durable consiste donc à renforcer l’ensemble de l’écosystème de sécurité autour de l’IA : les fournisseurs de modèles doivent disposer de meilleurs dispositifs de détection des usages abusifs, tandis que les gouvernements, les entreprises et les opérateurs d’infrastructures critiques doivent partir du principe que des attaques de plus en plus automatisées feront partie de l’environnement de menace.

Une nouvelle compétition autour de la technologie et de l’information

L’opération russe démontre que la prochaine étape du conflit cyber ne se définira pas simplement par des logiciels malveillants plus sophistiqués. Le changement le plus lourd de conséquences est la capacité à combiner des capacités de renseignement existantes avec des systèmes d’IA capables d’automatiser une grande partie du processus opérationnel.

Pour l’Ukraine, cela fait du secteur des technologies de défense un atout de sécurité particulièrement important. Protéger les logiciels, les données d’ingénierie et les réseaux de fournisseurs qui sous-tendent les drones et d’autres technologies militaires devient aussi important que de protéger les bases de données gouvernementales.

Pour l’Europe, les implications sont plus larges. Le continent bâtit une base industrielle de défense plus vaste et plus interconnectée au moment même où la Russie cherche les moyens de pénétrer les réseaux qui la soutiennent. Les entreprises produisant armes et technologies, les fournisseurs de leurs composants et l’infrastructure numérique qui les relie font de plus en plus partie d’un même ensemble de cibles stratégiques.

L’IA ne change pas fondamentalement ce que la Russie cherche à savoir sur l’Europe. Elle change l’efficacité avec laquelle Moscou peut tenter d’obtenir ces informations. La combinaison d’opérateurs de renseignement expérimentés, d’une infrastructure cyber établie et d’outils d’IA de plus en plus performants offre à la Russie un moyen supplémentaire de mettre ses activités à l’échelle sans nécessairement accroître ses effectifs humains au même rythme.