Les agents autonomes vont-ils vraiment industrialiser le piratage ?

Depuis un an, un récit s’installe : les agents autonomes fondés sur de grands modèles vont industrialiser la cyberattaque, et la défense n’aura plus qu’à courir derrière. Des professionnels de la sécurité, des chercheurs et plusieurs organismes publics avancent une réponse moins spectaculaire. Pour l’instant, non.

L’argument qui fait le plus mal : le prix

Une attaque menée par un agent coûte cher. Très cher. On parle de centaines de milliers de dollars de facturation API pour mener une campagne de bout en bout, parce qu’un agent qui explore, se trompe, recommence et raisonne consomme des quantités de tokens sans rapport avec ce qu’imagine celui qui n’a jamais regardé une facture. Or le pirate ordinaire est un entrepreneur : il suit l’argent, pas la technologie. Tant qu’une campagne d’hameçonnage bien tournée rapporte davantage pour cent fois moins cher, elle reste le choix rationnel.

Ce qui menace vraiment, et qui n’a rien de neuf

Le vol de sessions ouvertes, l’ingénierie sociale, les failles connues et jamais corrigées. Trois techniques anciennes, peu coûteuses, et largement suffisantes. Un chiffre remet d’ailleurs les priorités en place : 1,5 % seulement des vulnérabilités connues sont réellement exploitées dans la nature. La difficulté de la défense n’est pas de suivre les agents autonomes, elle est de corriger la poignée de failles qui comptent, et de repérer un employé qui donne son code par téléphone.

Pourquoi ce récit existe quand même

Parce qu’il arrange plusieurs mondes à la fois. Il valorise la puissance des modèles pour ceux qui les vendent, il justifie des budgets pour ceux qui vendent de la défense, et il fait de très bons titres pour tout le monde. Un rapport de transparence promis sous 90 jours et jamais publié en dit parfois plus long qu’une démonstration réussie.

Le contrepoint honnête

Il faut se méfier de la démonstration inverse, qui est tout aussi confortable. Le raisonnement repose sur les prix d’aujourd’hui, et ces prix baissent régulièrement : ce qui est prohibitif cette année ne le sera pas forcément dans trois ans. Les modèles ouverts, exécutables en local sans facture API, changent aussi l’équation, et la plupart des analyses citées portent sur les modèles propriétaires. Enfin, un déséquilibre demeure, souligné par les mêmes chercheurs : attaquer devient progressivement abordable pendant que se défendre reste coûteux en compétences et en temps. Dire que la menace est exagérée aujourd’hui n’est pas dire qu’elle est imaginaire demain. (Cela dit, entre une intelligence artificielle qui pirate mon réseau et un collègue qui clique sur une pièce jointe, je sais encore lequel des deux me réveille la nuit ! 🙂)

En bref

• Plusieurs chercheurs et organismes estiment que les agents autonomes ne changent pas encore la donne en cybercriminalité.
• Une campagne menée par agent coûte des centaines de milliers de dollars de facturation API.
• Les menaces dominantes restent le vol de sessions, l’ingénierie sociale et les failles non corrigées.
• 1,5 % des vulnérabilités connues sont réellement exploitées.
• L’argument repose sur les prix actuels, appelés à baisser, et sur les modèles propriétaires fermés.

Sources : analyses de chercheurs en cybersécurité et d’organismes publics, tests techniques indépendants, Next.

Le Bien Heureux · Redaction Capibara · Mercredi 9 septembre 2026