IA générative et ransomwares : l'automatisation de l'intrusion arrive plus vite qu'on ne le croit

L'attaque 3AM contre un réseau scolaire britannique en septembre 2026 a quelque chose de différent des centaines d'incidents ransomware documentés avant elle. Ce n'est pas la sophistication technique — 3AM est un groupe de milieu de gamme. Ce n'est pas le montant de la rançon — inconnu, probablement modeste pour une école. C'est le comportement de l'opérateur pendant l'intrusion : régulier, itératif, méthodique d'une façon qui ne ressemble pas à un être humain fatigué à 3h du matin. Bitdefender n'a pas pu le prouver formellement. Mais le pattern est là. Et il faut en parler.

L'attaque 3AM UK comme signal faible

Replaçons les faits dans leur contexte. Entre le 10 et le 19 septembre 2026, un affilié du groupe ransomware 3AM a compromis un réseau scolaire britannique d'une cinquantaine de machines. L'attaquant a volé des credentials sur les serveurs Veeam, déployé Mimikatz, créé des backdoors admin de domaine, et finalement chiffré 37 des 47 systèmes avec l'encrypteur Rust de 3AM.

Jusque là, c'est une attaque ransomware assez classique dans sa méthodologie — les vecteurs d'accès initial via Veeam sont documentés depuis 2023, Mimikatz est dans la boîte à outils de tout affilié sérieux. Ce qui a interpellé les analystes de Bitdefender, c'est la cadence des commandes durant la phase de reconnaissance et d'escalade.

Des commandes exécutées toutes les 40 à 100 secondes. Chaque commande légèrement différente de la précédente — un paramètre changé, un chemin modifié, un outil remplacé. Pas le comportement d'un opérateur humain qui explore un réseau : les humains ont des irrégularités, des pauses, des erreurs de frappe, des moments d'hésitation. Ce pattern ressemble davantage à un opérateur qui pose une question à un assistant IA, lit la réponse, exécute la commande suggérée, copie le retour d'erreur, et soumet la prochaine requête.

C'est ce que Bitdefender appelle une boucle agentique — un pattern de type « humain + IA en boucle fermée ». Ce n'est pas un ransomware autonome. C'est quelque chose de plus subtil et, à certains égards, de plus inquiétant : un opérateur humain médiocrisant dont les capacités sont augmentées par un LLM.

Un signal faible, donc. Pas une certitude. Mais dans mon expérience terrain, les signaux faibles qui préfigurent les attaques de demain ressemblent exactement à ça : un incident qui paraît normal sauf pour un détail qui ne colle pas avec les patterns connus.

Ce que l'IA change dans la chaîne d'attaque ransomware

Pour comprendre l'enjeu, il faut décomposer la chaîne d'attaque ransomware en ses phases opérationnelles et identifier où l'IA générative apporte un avantage réel à l'attaquant.

Phase 1 — Reconnaissance initiale. Un LLM peut générer en quelques secondes des listes de sous-domaines probables, des patterns de naming convention Active Directory basés sur le nom de l'organisation, des vecteurs d'accès initial adaptés au secteur d'activité ciblé. Ce qui prenait à un attaquant 2-3 heures de OSINT peut être condensé en quelques minutes de prompt engineering.

Phase 2 — Accès initial et élévation de privilèges. C'est ici que le gain est le plus spectaculaire. Un opérateur de niveau intermédiaire qui se retrouve bloqué face à un message d'erreur PowerShell peut simplement coller l'erreur dans un LLM et obtenir la correction immédiate, avec explications. Les forums cybercriminels (Raidforums, Exploit, BreachForums) contenaient des centaines de fils de discussion sur comment effectuer certaines actions dans différents environnements. Les LLMs remplacent avantageusement ces forums, en temps réel, avec des réponses contextualisées.

Phase 3 — Mouvement latéral. Le mouvement latéral dans Active Directory nécessite une compréhension des relations de confiance entre domaines, des délégations Kerberos, des ACL mal configurées. C'est une compétence difficile à acquérir. Un LLM entraîné sur BloodHound, PowerView et les techniques d'escalade AD peut guider un attaquant pas à pas — « tu es admin local sur cet host, voilà les 3 prochaines étapes pour atteindre le DC ».

Phase 4 — Exfiltration et destruction de preuves. Automatisation de la suppression de logs, génération de scripts d'exfiltration adaptés à l'environnement découvert. Là encore, l'IA permet de gagner du temps et de réduire les erreurs.

Phase 5 — Chiffrement. Le chiffrement lui-même est déjà automatisé dans tous les encrypteurs modernes (3AM/Rust, LockBit, BlackCat). L'IA n'apporte rien de particulier ici.

La conclusion est inconfortable : l'IA générative ne rend pas les attaquants expérimentés plus efficaces de façon significative. Elle rend les attaquants de niveau intermédiaire capables d'opérations qui nécessitaient auparavant une expertise de haut niveau. Elle abaisse la barre d'entrée. Et il y a beaucoup plus de criminels de niveau intermédiaire que d'experts.

Les vecteurs d'automatisation observés en 2026

L'hypothèse 3AM n'est pas la seule donnée disponible. Plusieurs incidents et publications de 2026 dessinent un tableau cohérent.

Les toolkits « IA-augmented » sur les forums cybercriminels. Depuis le début 2026, plusieurs acteurs sur Telegram et les forums du dark web proposent des outils d'intrusion intégrant des assistants LLM. Ces outils sont généralement des wrappers autour de modèles open-source (Llama, Mistral) ou de modèles mal alignés comme WormGPT et FraudGPT. Ils offrent des fonctionnalités de type « suggestion de prochaine étape » basées sur le contexte de l'environnement découvert.

Les campagnes de phishing LLM-généré. Les équipes de threat intelligence de Proofpoint et Cofense ont documenté en 2026 une augmentation significative de la qualité linguistique des emails de phishing ciblant des entreprises françaises et européennes. Les emails ne contiennent plus les fautes de syntaxe caractéristiques des campagnes non-natives. L'hypothèse d'une génération LLM est retenue dans plusieurs rapports.

L'automatisation de la négociation de rançon. Certains opérateurs ransomware utilisent désormais des chatbots LLM pour gérer la phase initiale de négociation avec les victimes — répondre aux questions de base sur le déchiffrement, maintenir la pression psychologique, adapter le ton selon les réponses de la victime. C'est documenté dans le cas du groupe BianLian depuis fin 2025.

La génération de faux rapports d'audit. Un vecteur moins médiatisé mais redoutable : des attaquants utilisent des LLMs pour générer de faux rapports d'audit de sécurité convaincants, envoyés à des DSI pour les inciter à cliquer sur des liens de « correction » — un social engineering à très haute valeur ajoutée.

La tendance de fond : l'IA générative est en train de devenir une couche d'abstraction au-dessus des outils d'attaque existants. Elle ne remplace pas Mimikatz, BloodHound, Cobalt Strike. Elle les rend accessibles à un public plus large et les orchestre plus efficacement.

L'asymétrie défenseur/attaquant se creuse

Il faut être honnête sur un point que beaucoup de RSSI préfèrent ne pas entendre : l'IA bénéficie davantage à l'attaquant qu'au défenseur, au moins dans la phase actuelle.

Côté attaquant, les bénéfices sont immédiats et concrets : réduction du temps de reconnaissance, assistance à l'escalade de privilèges, suggestion de techniques de persistence, génération de leurres convaincants. L'investissement requis est minimal — un abonnement à un service LLM ou une instance locale d'un modèle open-source.

Côté défenseur, les promesses de l'IA sont réelles mais les délais de déploiement sont longs. Les SIEM AI-powered, les solutions XDR avec détection comportementale LLM-augmentée, les copilotes SOC — tout cela existe, mais son déploiement opérationnel dans une PME ou une collectivité locale prend 12 à 18 mois minimum. La plupart des organisations qui vont être touchées par un ransomware IA-assisté dans les 24 prochains mois ne disposent pas encore des outils pour le détecter.

Ajoutons à cela le problème de la démocratisation des 0-days. Les groupes APT étatiques — Armory Castle/UNC5221 pour la Chine, Sandworm pour la Russie, Lazarus pour la Corée du Nord — ont depuis longtemps accès à des exploits 0-day de haute qualité. Ce qui change avec l'IA, c'est que la recherche de vulnérabilités elle-même peut être partiellement automatisée via des outils de fuzzing IA-assisté et de mutation de PoC. Le délai entre la découverte d'une faille et son exploitation va continuer à se réduire.

Ce tableau n'est pas pour autant catastrophiste. Il est factuel. Et le fait de le regarder en face est la condition nécessaire pour prendre les bonnes décisions.

Ce que doivent faire les RSSI maintenant

La bonne nouvelle, c'est que les mesures défensives les plus efficaces contre les attaques IA-assistées sont les mêmes que contre les attaques ransomware classiques — elles doivent simplement être appliquées avec plus de rigueur et à une vitesse plus élevée.

Durcir Active Directory en profondeur. La majorité des attaques ransomware passent par AD. Les mesures fondamentales — Tiering d'administration, suppression des délégations Kerberos non contraintes, audit des ACL sensibles, déploiement de Protected Users — restent les défenses les plus efficaces. Un attaquant IA-augmenté sera certes plus efficace pour trouver les chemins d'escalade dans BloodHound ; mais si ces chemins n'existent pas, l'IA ne peut pas les suggérer.

Protéger les sauvegardes comme s'il s'agissait de votre actif le plus critique. L'attaque 3AM UK illustre une fois de plus que Veeam est une cible prioritaire. Les serveurs de sauvegarde doivent être sur un segment réseau dédié, avec des comptes de service sans droits interactifs, des sauvegardes immuables sur stockage objet, et une validation régulière de restauration.

Surveiller les patterns comportementaux anormaux. Le cas 3AM suggère que les attaques IA-assistées produisent des signatures comportementales détectables : régularité temporelle, itérations incrémentales. Configurez des alertes sur les exécutions de processus à haute fréquence depuis des comptes de service, les créations de comptes admin en dehors des plages horaires normales (Event ID 4720), et les suppressions de logs (Event ID 1102).

Accélérer le patch management. CVE-2026-102764 dans BeyondTrust a été exploitée 47 jours avant sa divulgation publique. CVE-2026-118527 dans Ivanti a été exploitée comme zero-day. Les attaquants — humains ou IA-augmentés — ciblent en priorité les produits d'accès distant et les solutions de gestion des identités. Ces produits doivent avoir un SLA de patch de 24h maximum pour les CVE critiques.

Tester la résilience, pas seulement la prévention. Un exercice de red team avec tabletop sur un scénario ransomware IA-augmenté vaut mieux que dix audits de conformité. L'objectif n'est pas de savoir si vous allez être attaqué — c'est de savoir combien de temps vous tiendrez et quelle est votre capacité de restauration.

Conclusion

L'attaque 3AM UK restera peut-être une anecdote dans les archives de la cybersécurité — un incident ambigu qu'on ne pourra jamais confirmer formellement. Ou elle sera le premier point documenté d'une tendance qui va définir la prochaine décennie des opérations ransomware.

Je penche pour la seconde hypothèse. Non pas parce que l'hypothèse IA est prouvée dans ce cas précis, mais parce que toute la logique économique de l'écosystème cybercriminel pousse vers l'automatisation IA-assistée. Les affiliés ransomware sont des acteurs rationnels qui optimisent leur temps et leur efficacité. Les LLMs leur offrent précisément cela. La question n'est pas de savoir si l'IA va s'intégrer massivement dans les opérations ransomware. C'est de savoir à quelle vitesse.

Et la réponse, au vu des signaux actuels, est : plus vite qu'on ne le prédit en salle de conférence.