Google affirme que les pirates informatiques abusent de Gemini pour accélérer les cyberattaques, et cela ne se limite pas au spam de phishing ringard. Dans un nouveau rapport du Google Threat Intelligence Group, il indique que des groupes soutenus par l'État ont utilisé Gemini à travers plusieurs phases d'une opération, depuis les premières recherches de cibles jusqu'au travail post-compromis.
L'activité couvre des clusters liés à la Chine, à l'Iran, à la Corée du Nord et à la Russie. Google affirme que les invites et les résultats observés couvraient le profilage, la copie d'ingénierie sociale, la traduction, l'aide au codage, les tests de vulnérabilité et le débogage lorsque les outils tombent en panne lors d'une intrusion. Une aide rapide sur les tâches de routine peut toujours changer le résultat.
Aide de l'IA, même vieux playbook
Les chercheurs de Google considèrent l’utilisation de l’IA comme une accélération et non comme de la magie. Les attaquants effectuent déjà des reconnaissances, créent des leurres, modifient les logiciels malveillants et traquent les erreurs. Gemini peut resserrer cette boucle, en particulier lorsque les opérateurs ont besoin de réécritures rapides, de prise en charge linguistique ou de corrections de code sous pression.
Le rapport décrit une activité liée à la Chine dans laquelle un opérateur a adopté une personnalité experte en cybersécurité et a poussé Gemini à automatiser l'analyse des vulnérabilités et à produire des plans de test ciblés dans un scénario inventé. Google affirme également qu'un acteur basé en Chine a utilisé Gemini à plusieurs reprises pour le débogage, la recherche et les conseils techniques liés aux intrusions. Il s’agit moins de nouvelles tactiques que de moins de ralentisseurs.
Le risque n'est pas seulement le phishing
Le grand changement est le tempo. Si les groupes peuvent itérer plus rapidement sur le ciblage et l’outillage, les défenseurs disposent de moins de temps entre les premiers signaux et les dégâts réels. Cela signifie également moins de pauses évidentes où des erreurs, des retards ou des travaux manuels répétés peuvent apparaître dans les journaux.
Google signale également une menace différente qui ne ressemble pas du tout aux escroqueries classiques, à l'extraction de modèles et à la distillation de connaissances. Dans ce scénario, les acteurs disposant d'un accès autorisé à l'API martèlent le système avec des invites pour reproduire ses performances et ses raisonnements, puis utilisent ces connaissances pour former un autre modèle. Google le considère comme un préjudice commercial et de propriété intellectuelle, avec un risque potentiel en aval s'il évolue, y compris un exemple impliquant 100 000 invites visant à reproduire un comportement dans des tâches non anglaises.
Ce que vous devriez regarder ensuite
Google affirme avoir désactivé les comptes et l'infrastructure liés aux abus documentés de Gemini, et avoir ajouté des défenses ciblées dans les classificateurs de Gemini. Il affirme également qu'il continue ses tests et s'appuie sur des garde-corps de sécurité.
Pour les équipes de sécurité, la conclusion pratique est de supposer que les attaques assistées par l’IA se dérouleront plus rapidement, mais pas nécessairement plus intelligemment. Suivez les améliorations soudaines de la qualité des leurres, les itérations d'outils plus rapides et les modèles d'utilisation inhabituels des API, puis resserrez les runbooks de réponse afin que la vitesse ne devienne pas le principal avantage de l'attaquant.
