Les criminels outillés par l'IA, devant l'UIT

L’atelier ITU-T sur la sécurisation de l’IA, organisé par l’organisme de normalisation des télécommunications de l’ONU, portait surtout sur la protection des systèmes et des agents fondés sur l’IA. Nicolas Thomas, notre fondateur, y a pris le sujet par l’autre bout : l’usage que les criminels font déjà de ces mêmes outils.

Sa présentation, « Les criminels alimentés par l’IA, une nouvelle frontière en cybersécurité », est disponible en vidéo, en anglais sous-titré.

Des outils pensés pour la fraude

Les criminels emploient des modèles de langage et de l’IA générative pour produire du contenu frauduleux convaincant. Des outils spécialisés existent, vendus sous des noms explicites, pour forger des documents d’identité difficiles à distinguer des originaux.

Une barrière à l’entrée devenue basse

C’est le point le plus préoccupant : pour une centaine d’euros par mois, une personne sans compétence technique accède à des outils capables de produire des clones vocaux indétectables. La compétence n’est plus le facteur limitant.

Un cas réel

En 2024, un employé du groupe Arup a participé à une visioconférence dont les autres participants étaient des deepfakes, dont celui de son dirigeant. L’attaque a abouti à un transfert de 25 millions de dollars. La police de Hong Kong a résumé l’affaire d’une phrase : tout le monde était faux.

Les limites des détecteurs

Les outils de détection produisent des faux positifs, y compris sur des textes rédigés bien avant l’existence de l’IA générative. Une défense qui repose entièrement sur eux hérite de leurs erreurs.

Prouver le vrai plutôt que traquer le faux

La proposition faite lors de l’atelier consiste à changer de cible. Plutôt que de chercher à reconnaître un contenu généré, il s’agit de construire des systèmes qui permettent à une personne de démontrer sa légitimité numérique au moment où elle agit. Cela suppose aussi des partenariats entre organisations, pour échanger des informations déjà vérifiées.

La présentation s’est conclue sur la protection des données d’identité personnelle : ce sont elles qui alimentent les fraudes une fois qu’elles circulent.