ChatGPT peut créer un virus en 3 étapes. Voici ce qui se passe vraiment.

Un chercheur a demandé à une IA de concevoir un malware. Il a obtenu une réponse en moins de 2 minutes.

Ce n'est pas une hypothèse de science-fiction. C'est un test documenté, réalisé en 2023 par des chercheurs en cybersécurité. Et il a provoqué une onde de choc dans la communauté tech mondiale. La question n'est plus de savoir si l'intelligence artificielle peut aider à créer des logiciels malveillants. La vraie question, bien plus inconfortable, est : qui contrôle réellement cette capacité — et depuis quand ?

Ce que l'IA sait faire (et que personne ne dit clairement)

Les grands modèles de langage comme ChatGPT, Claude ou Gemini sont entraînés sur des milliards de lignes de code, de documentation technique et de publications en cybersécurité. Cela inclut, inévitablement, des analyses de malwares, des exploits connus et des techniques d'attaque documentées. Le problème n'est pas que ces modèles soient malveillants. C'est qu'ils sont extraordinairement compétents — et que la frontière entre "expliquer comment fonctionne un virus" et "aider à en écrire un" est d'une minceur troublante.

En pratique, plusieurs types de capacités émergent :

• La génération de code malveillant de base : scripts d'automatisation, ransomwares simplifiés, keyloggers — souvent obtenus par des formulations détournées.
• L'optimisation d'attaques existantes : un attaquant peut soumettre un code brut et demander à l'IA de le rendre plus discret, plus efficace, mieux ciblé.
• La personnalisation des campagnes de phishing : rédaction d'emails frauduleux ultra-convaincants, adaptés à une entreprise ou à un individu spécifique.
• L'identification de vulnérabilités : certains modèles spécialisés peuvent analyser du code pour détecter des failles exploitables — utile pour la défense, mais redoutable entre de mauvaises mains.

Le cas concret qui a tout changé

En avril 2023, des chercheurs de la firme CyberArk ont publié un rapport montrant comment ils avaient utilisé l'API de ChatGPT pour générer du code de malware polymorphe — c'est-à-dire un logiciel capable de modifier son propre code pour échapper aux antivirus. La technique utilisée ? Des requêtes fragmentées, reformulées, envoyées en plusieurs étapes pour contourner les filtres de sécurité.

Résultat : un malware fonctionnel, difficile à détecter, produit sans expertise préalable en développement malveillant. Ce que des groupes criminels mettaient des semaines à concevoir devenait accessible en quelques heures. Le niveau d'entrée dans la cybercriminalité venait de s'effondrer.

La défense, miroir de l'attaque

Il serait injuste de ne montrer qu'un côté du tableau. L'IA est aussi, et peut-être surtout, un outil de défense d'une puissance sans précédent.

Des systèmes comme Microsoft Security Copilot ou les solutions de Darktrace utilisent des modèles d'IA pour analyser des millions d'événements réseaux en temps réel, détecter des comportements anormaux et répondre aux incidents en quelques secondes — là où une équipe humaine aurait besoin d'heures. L'IA permet aussi d'anticiper les vecteurs d'attaque émergents, en simulant des scénarios adversariaux avant qu'ils ne se produisent réellement.

Le problème structurel est là : les mêmes capacités servent les deux camps. La sophistication qui rend une IA utile pour la défense est exactement celle qui la rend dangereuse si mal utilisée.

Trois questions que personne ne veut vraiment poser

Derrière la prouesse technique, il y a des angles morts que la communauté tech préfère souvent éviter :

• Les guardrails sont-ils suffisants ? Les restrictions intégrées aux modèles sont contournées régulièrement. Ce n'est pas une opinion — c'est documenté dans des dizaines de publications académiques depuis 2022.
• Qui est responsable légalement ? Si une IA aide à créer un ransomware qui paralyse un hôpital, quelle est la responsabilité de l'entreprise qui l'a déployée ? Le droit international est silencieux sur ce point.
• La démocratisation est-elle un risque existentiel ? Des groupes comme l'AI Safety Institute britannique considèrent que la prolifération des capacités offensives IA pourrait atteindre un seuil critique d'ici 2027, rendant la défense structurellement asymétrique.

Ce que cela change pour vous, concrètement

Que vous soyez dirigeant d'entreprise, développeur ou simple utilisateur, la réalité est la suivante : le coût d'une cyberattaque sophistiquée vient de diminuer drastiquement pour les attaquants, pendant que la surface d'exposition continue de croître. Les PME, longtemps épargnées par des attaques trop coûteuses à concevoir, entrent désormais dans le radar des cybercriminels.

La réponse n'est pas de diaboliser l'IA. C'est de cesser de la traiter comme un outil neutre dont les risques se régleront d'eux-mêmes.

Conclusion : l'urgence n'est pas technique, elle est politique

La technologie est là. Elle fonctionne. Elle s'améliore chaque trimestre. Ce qui manque, ce n'est pas une meilleure IA — c'est un cadre de gouvernance mondial qui n'existe toujours pas. Les régulations comme l'AI Act européen posent des bases, mais elles restent largement en deçà de la vitesse à laquelle les capacités offensives évoluent.

La création de virus par l'IA n'est pas une menace future. C'est une réalité présente, documentée, sous-estimée. Et le premier pas pour y faire face, c'est d'arrêter de détourner les yeux.

— Reservoir Live