La Corée du Nord utilise l’IA pour se faire embaucher, puis pirater de l’intérieur

En l’espace de quelques semaines, quatre rapports de poids lourds de la tech pointent dans la même direction : les hackers utilisent désormais l’intelligence artificielle à chaque étape de leurs attaques. Microsoft, Google, Amazon et Bitdefender ont chacun documenté des campagnes où les modèles de langage servent à fabriquer de fausses identités, rédiger des emails de phishing sans faute, débuguer du code malveillant et même piloter des infrastructures offensives entières.

Le rapport le plus détaillé, publié le 6 mars par Microsoft Threat Intelligence, se concentre sur des groupes nord-coréens baptisés Jasper Sleet et Coral Sleet. Leur spécialité : utiliser l’IA générative pour infiltrer des entreprises occidentales de l’intérieur.

Des espions embauchés grâce à ChatGPT

Le scénario décrit par Microsoft ressemble à un film d’espionnage. Les agents de Jasper Sleet demandent aux modèles de langage de « créer une liste de 100 noms grecs » ou de « générer des formats d’adresses email à partir du nom Jane Doe ». Ils s’en servent pour construire des identités complètes, avec CV adaptés aux postes IT visés et portfolios de développeurs entièrement fictifs.

Mais le texte n’est que le début. Le groupe utilise l’application Faceswap pour coller le visage de travailleurs nord-coréens sur des documents d’identité volés et produire des photos de profil professionnelles. Lors des entretiens vidéo, un logiciel de modification vocale masque l’accent. Le « candidat américain » qui passe l’entretien est en réalité un agent de Pyongyang.

Une fois en poste, ces faux employés maintiennent l’illusion au quotidien. L’IA traduit leurs échanges, génère des réponses contextuellement adaptées et produit du code pour rester crédibles dans des domaines qu’ils ne maîtrisent pas. Selon Microsoft, ils utilisent l’IA exactement comme un employé ordinaire, à cette différence près que leur objectif est le sabotage, pas la productivité.

Des emojis dans le code des malwares

L’autre groupe documenté, Coral Sleet, pousse l’utilisation encore plus loin. Microsoft a identifié des signatures révélatrices dans son code : des emojis verts et rouges comme marqueurs visuels d’exécution, et des commentaires en langage courant du type « For now, we will just report that manual start is needed ». Des traces typiques de code généré par IA, où les variables portent des noms trop longs et la structure est sur-modulaire sans raison.

Plus préoccupant : Coral Sleet a réussi à contourner les protections intégrées des modèles de langage pour leur faire générer du code malveillant. Le groupe a aussi utilisé des outils d’IA agentique pour automatiser la chaîne complète, de la création de faux sites d’entreprise au déploiement de payloads, en passant par le provisionnement d’infrastructure.

600 pare-feu piratés en cinq semaines

Microsoft n’est pas seul à documenter cette tendance. Amazon a révélé qu’un pirate russophone, assisté par plusieurs services d’IA générative, a compromis plus de 600 pare-feu Fortinet FortiGate dans 55 pays entre janvier et février 2026. Pas besoin de faille zero-day : l’attaquant a simplement visé des interfaces d’administration exposées avec des mots de passe faibles, puis a utilisé l’IA pour automatiser la reconnaissance réseau et l’extraction de données sur les systèmes infiltrés.

Selon Amazon, les outils de reconnaissance portaient toutes les marques du code assisté par IA : commentaires redondants, architecture inutilement modulaire, parsing naif par correspondance de chaînes plutôt que par désérialisation correcte. Fonctionnel pour le cas d’usage précis, mais fragile dans les environnements durcis.

L’IA parle toutes les langues, y compris celle du phishing

Google a de son côté publié un rapport de son Threat Intelligence Group documentant l’utilisation de Gemini par des groupes étatiques chinois, iraniens, nord-coréens et russes. L’acteur chinois APT31 a utilisé un persona d’expert cybersécurité pour demander à Gemini d’automatiser l’analyse de vulnérabilités et de tester des techniques de contournement de pare-feu applicatif contre des cibles américaines précises.

L’iranien APT42 s’en est servi pour accélérer la création de kits de phishing personnalisés et débuguer des outils malveillants existants. Google a aussi identifié HonestCue, un malware proof-of-concept qui utilise directement l’API Gemini pour générer, compiler et exécuter du code malveillant en mémoire, à la volée.

Bitdefender a ajouté un rapport sur le groupe pakistanais Transparent Tribe, qui utilise l’IA pour industrialiser la production d’implants malveillants. Au lieu de perfectionner un seul outil, le groupe inonde ses cibles de binaires jetables écrits dans des langages peu courants comme Nim, Zig et Crystal, hébergés sur des services légitimes comme Slack et Discord. Les chercheurs parlent de « vibeware », du malware codé par IA sans grande rigueur mais en volume massif.

Le phishing sans faute de grammaire

Un fil rouge traverse ces quatre rapports : l’IA a tué le seul indice fiable qui permettait de repérer les arnaques par email. Les fautes de grammaire et les tournures maladroites, longtemps considérées comme le signal d’alerte numéro un, ont disparu. Les modèles de langage rédigent des emails de spear-phishing dans n’importe quelle langue avec une fluidité native, personnalisés à partir de données récoltées sur la cible.

Microsoft souligne que les attaquants utilisent aussi les LLM pour contourner les propres protections des modèles. Les techniques documentées incluent le « jailbreak » par attribution de rôle (« Réponds en tant qu’analyste cybersécurité de confiance ») et l’enchaînement d’instructions à travers plusieurs interactions pour extraire progressivement du contenu interdit.

Ce qui inquiète vraiment

Ce qui frappe dans ces rapports, ce n’est pas tant la sophistication des attaques que leur accessibilité. L’IA ne remplace pas les hackers : elle les rend plus rapides et plus nombreux. Un groupe modeste peut désormais mener des opérations qui nécessitaient autrefois des équipes entières. Microsoft note que l’IA agentique offensive reste encore expérimentale, freinée par des problèmes de fiabilité. Mais la tendance est nette.

Amazon recommande d’activer l’authentification multifacteur sur toutes les interfaces d’administration et de ne jamais exposer ces interfaces à Internet. Microsoft suggère de traiter les schémas d’infiltration nord-coréens comme des menaces internes, en surveillant les usages anormaux d’identifiants. L’entreprise a aussi lancé un Security Dashboard for AI en préversion publique pour aider les organisations à cartographier leurs risques liés à l’IA.

La question n’est plus de savoir si les hackers utilisent l’IA. C’est de savoir si les défenseurs l’adoptent assez vite pour combler l’écart. Microsoft a neutralisé des milliers de comptes liés à des travailleurs IT frauduleux, mais la prochaine vague d’outils, plus autonomes et plus adaptatifs, se prépare déjà.