Les adversaires, s’appuyant sur l’IA, ont accru l’intensité de leurs opérations de 89 %, d’une année à l’autre, en tirant profit de l’IA, tant dans les phases de reconnaissance, de vol d’identifiants que de contournement de la détection. Les intrusions se déplacent désormais via des identités de confiance, des applications SaaS et des infrastructures cloud, en s’intégrant à l’activité normale tout en limitant le temps de réaction des défenseurs. L’IA est à la fois l’accélérateur et la cible.
Principaux enseignements du rapport :
Ces enseignements sont issus des renseignements de terrain fournis par les équipes d’élite de threat hunting et les analystes du renseignement de CrowdStrike, qui suivent plus de 280 adversaires identifiés. Ils mettent en lumière les points suivants :
L’IA est la nouvelle surface d’attaque - les prompts sont les nouveaux malwares : des adversaires ont exploité des outils GenAI légitimes au sein de plus de 90 organisations en injectant des prompts malveillants afin de générer des commandes destinées à voler des identifiants et des cryptomonnaies. Ils ont aussi exploité des vulnérabilités dans des plateformes de développement d’IA pour établir une persistance et déployer des ransomwares, ainsi que publié des serveurs d’IA malveillants usurpant l’identité de services de confiance afin d’intercepter des données sensibles.
Le délai d’intrusion (breakout time) le plus rapide jamais enregistré : alors que l’IA a accéléré les attaques, le délai moyen de propagation d’une attaque eCrime (breakout time) est tombé à 29 minutes, soit une accélération de 65 % par rapport à 2024, et l’intrusion la plus rapide jamais observée a eu lieu en seulement 27 secondes. Dans une des intrusions, l’exfiltration de données avait débuté au bout de quatre minutes après l’accès initial.
L’usage de l’IA s’accélère chez les acteurs étatiques et eCrime : l’activité des adversaires assistés par l’IA a augmenté de 89 %. L’acteur lié à la Russie FANCY BEAR a déployé un malware s’appuyant sur des LLM (LAMEHUG) pour automatiser la reconnaissance et la collecte de documents. L’acteur eCrime PUNK SPIDER a utilisé des scripts générés par l’IA pour accélérer l’extraction d’identifiants et effacer des preuves forensiques, tandis que l’acteur lié à la Corée du Nord FAMOUS CHOLLIMA a tiré parti de personas générées par l’IA pour industrialiser des opérations menées depuis l’interne des organisations infiltrées.
Les opérations liées à la Chine et à la Corée du Nord explosent : les activités liées à la Chine ont augmenté de 38 % en 2025, dont celles visant le secteur de la logistique qui ont connu la plus forte hausse avec 85%. 67 % de l’ensemble des vulnérabilités exploitées par des acteurs liés à la Chine ont permis un accès immédiat aux systèmes, tandis que 40 % visaient des équipements en périphérie (edge devices) exposés sur internet. Les incidents liés à la Corée du Nord ont augmenté de plus de 130 %, l’activité de FAMOUS CHOLLIMA ayant plus que doublé. Le vol de 1,46 milliard de dollars de cryptomonnaies attribué à PRESSURE CHOLLIMA est devenu le braquage financier le plus important jamais rapporté.
L’exploitation de vulnérabilités zero-day et du cloud progresse : 42 % des vulnérabilités ont été exploitées avant divulgation publique, les adversaires instrumentalisant des vulnérabilités zero-day pour l’accès initial, l’exécution de code à distance et l’escalade de privilèges. Les intrusions « cloud-conscious » ont augmenté de 37 % au total, dont une hausse de 266 % des activités émanant d’acteurs liés à des États-nations ciblant des environnements cloud à des fins de collecte de renseignements.
« C’est une course à l’armement autour de l’IA », déclare Adam Meyers, Head of Counter Adversary Operations chez CrowdStrike. « Le délai d’intrusion (breakout time) est l’indicateur le plus clair de l’évolution des intrusions. Les adversaires passent de l’accès initial aux mouvements latéraux en quelques minutes. L’IA réduit le délai entre l’intention et l’exécution, tout en transformant les systèmes d’IA des entreprises en cibles. Pour gagner, les équipes de sécurité doivent opérer plus vite que l’adversaire. »
