« Vibe-hacking » : quand Claude et l'IA deviennent complices des cybercriminels

Les hackers ont bien compris tout l’intérêt d’exploiter des bots IA pour leurs méfaits. Les capacités de ChatGPT ou de Claude sont telles qu’il est possible de les utiliser pour non seulement obtenir des conseils afin de truander les gens ou des organisations, mais aussi pour mener directement des attaques sophistiquées.

Claude détourné par les hackers pour arnaquer et extorquer

Dans son nouveau rapport de sécurité du mois d’août, Anthropic détaille trois cas de mauvais usage de Claude. Un groupe criminel a ainsi piraté 17 organisations, dans les secteurs de la santé, des services d’urgence ou encore des institutions publiques, en les menaçant d’exposer publiquement leurs données sans passer par la case habituelle du chiffrement des données, comme un ransomware classique.

Ils se sont servis de Claude pour collecter des identifiants, analyser les données financières et rédiger des notes personnalisées pour des rançons. Les exigences pouvaient atteindre 500 000 $. Pour Anthropic, cette opération montre comment l’IA agentique — qui prend des décisions de manière autonome pour le compte de ses utilisateurs — réduit la nécessité d’avoir plusieurs spécialistes dans une équipe de hackers, et complique la défense en s’adaptant en temps réel.

Dans le second cas, il s’agit de pirates nord-coréens qui ont utilisé Claude pour fabriquer de faux profils et réussir des tests techniques pour décrocher des emplois dans des entreprises étrangères. Le bot a également servi aux hackers pour garder leurs emplois à distance. Anthropic en conclut que l’IA permet à des individus sans compétences réelles de passer des entretiens d’embauche et de rester en place le temps d’espionner leurs victimes (et au passage, d’alimenter les caisses du régime nord coréen malgré les sanctions internationales).

Enfin, un cybercriminel s’est servi des compétences de Claude en matière de développement pour créer plusieurs variantes de ransomwares vendues jusqu’à 1 200 $ sur des forums clandestins. L’IA a été exploitée pour le développement et l’assistance technique, le pirate n’ayant pas les capacités de coder seul des malwares aussi avancés.

Ces cas illustrent bien ce qu’est le « vibe-hacking » : une pratique qui consiste à laisser l’IA improviser et prendre des décisions tactiques et stratégiques à la place du pirate. En clair, le logiciel ne se contente plus de répondre à des instructions précises, il choisit lui-même la meilleure approche pour maximiser la pression psychologique sur les victimes, personnaliser les menaces ou optimiser le code malveillant.

Anthropic affirme avoir banni les comptes suspects, prévenu les autorités compétentes et mis au point de nouveaux outils de détection… que les hackers réussiront fatalement à contourner ! Le « vibe-hacking » a encore de beaux jours devant lui.