Le piratage assisté par l’IA s’enfonce davantage dans le processus d’exploitation. La Réserve fédérale avertit désormais que les modèles d’IA de pointe peuvent, semble-t-il, détecter des vulnérabilités logicielles inconnues, concevoir des exploits et enchaîner plusieurs failles dans des attaques exécutées à la vitesse de la machine.
Le rapport du 4 septembre reconnaît également que le programme de sécurité de l’information du Conseil de la Réserve fédérale a reçu une note de niveau 3, « non efficace », dans le cadre de l’évaluation FISMA 2025 du Bureau de l’inspecteur général. La Fed affirme que des évaluations techniques ultérieures ont établi que les faiblesses étaient principalement non techniques et concentrées sur la gouvernance.
Les dépendances partagées vis-à-vis du cloud, des logiciels et des fournisseurs de services augmentent les enjeux. Le rapport de la Fed sur la résilience du système financier et la cybersécurité 2026 indique que les incidents touchant des tiers critiques peuvent affecter plusieurs organisations, tandis que l’exploitation plus rapide assistée par l’IA pourrait réduire le temps disponible pour corriger les failles avant que les attaquants ne puissent les utiliser.
Les chaînes d’exploitation par l’IA réduisent le délai de défense
La Fed attribue cette capacité à des chercheurs de premier plan, et non à ses propres tests. Ces chercheurs rapportent que les modèles de pointe peuvent identifier des vulnérabilités encore jamais découvertes, créer des méthodes pour les exploiter et relier les failles en chaînes d’attaque capables de s’exécuter à la vitesse de la machine.
Cette même technologie transforme également la sécurité défensive. Microsoft a indiqué que l’IA aide ses chercheurs à détecter davantage de vulnérabilités logicielles, ce qui illustre la façon dont une détection plus rapide peut profiter aux défenseurs tout en accentuant la pression pour évaluer et corriger rapidement les failles.
La Fed affirme qu’un accès contrôlé à des modèles puissants pourrait permettre aux défenseurs d’identifier et de corriger les vulnérabilités les premiers. Cette même capacité pourrait fournir à des acteurs malveillants des informations sur les vulnérabilités ou des outils offensifs avant que les faiblesses ne soient entièrement corrigées dans les établissements financiers et chez leurs fournisseurs technologiques.
La menace reste un avertissement concernant une capacité, et non la preuve d’une compromission bancaire. La Fed, l’Office of the Comptroller of the Currency et la Federal Deposit Insurance Corporation ont déclaré n’avoir observé aucun impact significatif sur le secteur financier lié à l’environnement de menace décrit dans le rapport.
Le développement des modèles de pointe montre néanmoins à quelle vitesse ce seuil de capacité évolue. Le dernier modèle Astra d’OpenAI a atteint le niveau de capacité le plus élevé de l’entreprise en matière de cybersécurité, qui, selon OpenAI, concerne les systèmes capables de détecter des vulnérabilités inconnues et de développer des exploits contre des cibles bien protégées.
Le Conseil de la Fed présente lui aussi une lacune en matière de gouvernance
L’audit du Conseil réalisé par l’ OIG en octobre 2025 offre l’image la plus claire de son problème de gouvernance. Le programme de sécurité de l’information est passé du niveau 4, « géré et mesurable », au niveau 3, « mis en œuvre de manière constante », soit en dessous du niveau considéré comme efficace dans le cadre fédéral de maturité.
L’OIG a indiqué que les difficultés de gouvernance découlant du modèle informatique décentralisé du Conseil avaient contribué au recul, parallèlement à des faiblesses concernant les profils de cybersécurité, la sécurité des appareils mobiles et la classification des informations confidentielles de supervision. Onze des 13 divisions du Conseil disposaient de groupes informatiques intégrés. Seuls 48 des 88 membres du personnel de cybersécurité à temps plein relevaient du DSI.
Le rapport de septembre de la Fed indique que le Conseil avait identifié les faiblesses de gouvernance avant l’audit et qu’il mettait en place un nouveau modèle opérationnel pour la sécurité de l’information. Selon la Fed, des évaluations ultérieures réalisées par des tiers ont établi que les faiblesses restantes étaient principalement non techniques et concentrées sur la gouvernance, tandis que d’autres domaines de la sécurité s’étaient améliorés ou étaient restés stables.
Cette conclusion reflète un problème plus vaste à l’échelle des entreprises : les organisations déploient l’IA plus vite que nombre d’entre elles ne formalisent les contrôles qui l’encadrent. Une étude menée en juillet a constaté que les programmes de gouvernance de l’IA en entreprise accusaient un retard sur le déploiement, environ la moitié seulement des organisations interrogées faisant état de programmes de gouvernance formels malgré un recours généralisé à l’IA.
Ce qu’a constaté eWeek : le modèle de menace lié à l’IA de la Fed est passé des attaques assistées aux chaînes d’exploitation automatisées
Les propres rapports de la Fed montrent à quelle vitesse son modèle de menace lié à l’IA a évolué. Les précédents rapports sur la cybersécurité se concentraient principalement sur l’aide apportée par l’IA aux attaquants pour automatiser la reconnaissance, l’hameçonnage et l’ingénierie sociale. En 2026, le régulateur met en avant des modèles capables de détecter des vulnérabilités jusqu’alors inconnues, de concevoir des exploits et de les combiner en chaînes d’attaque à la vitesse de la machine.
Cette évolution déplace le problème des entreprises, qui passe des attaques assistées par l’IA à une exploitation toujours plus automatisée. Les organisations dépendent encore de correctifs appliqués sous la conduite d’humains, de la coordination avec les fournisseurs, de la gouvernance des accès et de la réponse aux incidents, ce qui rend la fragmentation des responsabilités en matière de sécurité plus lourde de conséquences à mesure que le cycle technique des attaques s’accélère.
À lire aussi : alors que les modèles de pointe s’enfoncent davantage dans les opérations de sécurité, OpenAI Astra et CrowdStrike SafeMind montrent comment les IA cyber à usage général et spécialisées commencent à converger dans l’ensemble de la pile de sécurité des entreprises.
Envie d’en savoir plus sur les astuces, les conseils et les techniques de formulation pour l’IA ? Les lecteurs d’eWeek bénéficient d’un accès gratuit de 7 jours à The Neuron Academy, notre plateforme d’apprentissage pratique conçue pour aider les professionnels à utiliser l’IA avec davantage d’assurance au travail. Parcourir toutes les leçons →