Actualité : “Tout ce que je possède est compromis” : l’IA a déjoué la sécurité de tous ses périphériques en seulement 13 heures

Que se passe-t-il lorsqu'on demande à une IA de décortiquer les mécanismes de sécurité de nos propres périphériques ? Ne vous embêtez pas à essayer : Chaz Schlarp, chercheur en cybersécurité, a tenté l’expérience avec Claude Opus 5. À sa demande, l’intelligence artificielle a analysé les firmwares de sa webcam, son microphone, son écran et ses lampes, trouvant en un peu plus d’une dizaine heures les vulnérabilités critiques pour en prendre le contrôle complet.

Relayée dans un article nommé “Everything I own, owned” , traduisable en français par “Tout ce que je possède est compromis” , la démarche de Chaz Schlarp reposait sur un principe simple : fournir le micrologiciel de ses appareils à Claude Opus 5 et lui demander d’en disséquer les mécanismes de sécurité. Aucun d’entre eux n’a malheureusement résisté aux capacités de l’IA d’Anthropic.

Sur la webcam Insta360 Link , elle a par exemple réussi à désactiver la LED verte indiquant son utilisation en cours. L’utilisateur peut ainsi être filmé à son insu, sans aucune alerte visuelle. Le microphone Shure MV7 s’est révélé tout aussi vulnérable, l’agent ayant découvert un terminal de commandes en clair, accessible directement depuis un navigateur web. Un point d’entrée qui a permis d’outrepasser les restrictions matérielles, permettant par exemple d'éteindre le voyant de sourdine alors que l’appareil continuait de capter l’audio ambiant.

Du côté de la lampe connectée Elgato Key Light Mini, bien qu’elle intègre un système de signature cryptographique afin de protéger ses mises à jour, une simple requête HTTP non authentifiée envoyée sur le réseau local suffit à contourner cette protection pour y injecter un code corrompu. L’écran ASUS et la carte d’acquisition vidéo Elgato testés n’opposaient, quant à eux, absolument aucune barrière de sécurité véritable. Une situation qui pourrait en théorie ouvrir la voie à des attaques furtives capables, à terme, de siphonner les données d’un PC à l’insu de l’utilisateur.

Ces découvertes illustrent une rupture technologique majeure liée aux micrologiciels de ce type de produits, connectés à nos PC. Historiquement, implanter un logiciel malveillant dans un périphérique spécifique exigeait un temps d’ingénierie conséquent, alors qu’aujourd’hui, un modèle de langage accomplit cette prouesse en une poignée d’heures.

Dans le cas de Chaz Schlarp, il a suffi de 13 heures pour contourner les firmwares de ses divers appareils (avec au passage 98 prompts, étalés sur deux semaines de soirées). Le chercheur en cybersécurité tire ainsi la sonnette d’alarme face à l’émergence potentielle de vers informatiques autonomes, qui seraient capables de se propager seuls et d’infecter tous les autres équipements du réseau sans intervention humaine. “Je ne serais pas surpris que cela existe déjà” , ajoute-t-il.

En automatisant l’analyse et l’exploitation des vulnérabilités, l’IA réduit drastiquement le coût d’entrée pour les cybercriminels. Un programme malveillant pourrait en prime s’adapter en temps réel afin de compromettre n’importe quel équipement branché à un ordinateur infecté.