Lorsque l’ingénieur logiciel Sammy Azdoufar s’est assis pour piloter son nouveau robot aspirateur DJI Romo à l’aide d’une manette de jeu vidéo PlayStation 5, il ne s’attendait pas à prendre accidentellement le contrôle d’un réseau de surveillance mondial. À l’aide d’un assistant de codage IA pour procéder à l’ingénierie inverse de la manière dont l’aspirateur communiquait avec les serveurs distants de DJI, Azdoufar a extrait un jeton de sécurité pour prouver qu’il possédait un appareil particulier. Au lieu de cela, le serveur principal l’a traité comme le propriétaire d’environ 7 000 robots aspirateurs opérant dans 24 pays, comme le rapporte Popular Science.
Azdoufal a découvert qu’en appuyant simplement sur quelques touches, il pouvait accéder au flux d’une caméra en direct, activer un microphone ou modifier le plan 2D de la maison d’un étranger. Bien qu’il ait signalé le bug de sécurité de manière responsable (à The Verge) plutôt que de l’exploiter, cette vulnérabilité surprenante met en lumière une réalité effrayante. L’intégration rapide et incontrôlée des systèmes automatisés crée une faille de sécurité d’une ampleur sans précédent.
Des millions d’Américains accueillent de plus en plus ces appareils connectés à Internet dans leurs espaces les plus intimes. Selon Parks Associates, en 2020, environ 54 millions de foyers américains disposaient d’au moins un appareil domestique intelligent installé. De plus, des entreprises telles que Tesla, Figure et 1X s’empressent de déployer des robots autonomes humanoïdes sophistiqués capables de vivre dans les maisons et d’effectuer des tâches ménagères complexes.
Les capacités de surveillance des appareils intelligents sont devenues un sujet national au début de cette année. Les appareils Google Nest semblent avoir stocké dans le cloud des images de l’enlèvement présumé de Nancy Guthrie, la mère de l’animatrice de l’émission Today, Savannah Guthrie. Elle a été rapidement suivie par la publicité d’Amazon pour le Super Bowl pour les produits Ring, qui était censée être une récupération glamour d’une affaire perdue, mais qui révélait en réalité qu’il y avait partout des caméras réseau capables d’espionner les Américains. En réponse à ce contrecoup, Amazon semble avoir mis fin à son partenariat avec la société de surveillance policière. L’ajout d’agents d’IA autonomes à ce mélange crée ce que le géant du cyber Thales décrit comme « un nouveau scénario de cauchemar ».
Un scénario de cauchemar approche à grands pas
Selon le rapport Thales 2026 sur les menaces liées aux données récemment publié, 70 % des organisations citent spécifiquement l’IA comme le plus grand risque pour la sécurité des données. Et comme les aspirateurs DJI qui s’appuient sur des serveurs cloud distants, les entreprises intègrent avec empressement l’IA dans leurs flux de travail quotidiens, donnant ainsi aux systèmes automatisés un accès généralisé aux vastes données d’entreprise.
Le problème principal est un manque alarmant de visibilité et de gestion de base des données. Un rapport Thales révèle que seules 34 % des organisations savent réellement où résident toutes leurs données sensibles. De plus, étant donné que les systèmes d’IA ingèrent et agissent en permanence des informations dans de vastes environnements cloud, il est extrêmement difficile d’appliquer « l’accès au moindre privilège » ou d’accorder uniquement le minimum d’accès nécessaire. Si les informations d’identification de la machine (telles que les jetons ou les clés API) sont compromises, la fuite de données qui en résulte peut être catastrophique.
En fait, le vol d’identifiants est désormais la principale méthode d’attaque contre l’infrastructure de gestion cloud, citée par 67 % des organisations confrontées à des attaques cloud. Au lieu de 7 000 robots aspirateurs, imaginez une communauté entière d’appareils Nest ou Ring contrôlés par un agent IA.
Rodney Brooks, co-fondateur d’iRobot et créateur de l’aspirateur Roomba, a déclaré que la vision d’Elon Musk d’un avenir avec des robots humanoïdes est une « pure pensée fantastique » car les robots sont trop maladroits.
« Les robots humanoïdes d’aujourd’hui n’apprendront pas à utiliser leur dextérité, malgré les centaines de millions, voire les milliards de dollars donnés par les investisseurs en capital-risque et les grandes entreprises technologiques pour leur formation », a déclaré Brooks dans un article de blog. On ne sait pas si cette idée s’étend aux humains ou aux agents IA contrôlant les robots à distance.
« Le risque interne n’est plus seulement un problème pour les personnes, mais aussi pour les systèmes automatisés auxquels on a trop vite fait confiance », prévient Sebastian Cano, vice-président senior des produits de cybersécurité chez Thales. Si les mesures de sécurité de base telles que la gouvernance des identités et les politiques d’accès sont faibles, Kano a déclaré que « l’IA peut amplifier ces vulnérabilités dans l’environnement de l’entreprise beaucoup plus rapidement que les humains ne le pourraient jamais ».
Pour aggraver les choses, les outils utilisés pour créer les logiciels eux-mêmes créent une faible barrière à l’entrée pour l’exploitation de ces systèmes. Les outils de codage basés sur l’IA, tels que ceux utilisés par Azdufal pour procéder facilement à l’ingénierie inverse des serveurs DJI, permettent aux personnes moins expertes en technologie de découvrir et d’exploiter beaucoup plus facilement les failles logicielles. Malgré cette escalade des menaces automatisées, seules 30 % des entreprises interrogées disposent actuellement d’un budget dédié à la sécurité de l’IA, s’appuyant plutôt sur des défenses périmétriques traditionnelles conçues pour les utilisateurs humains.
Comme l’a souligné Eric Hanselman, analyste principal chez 451 Research de S&P Global, un changement de paradigme fondamental est nécessaire de toute urgence.
« À mesure que l’IA est de plus en plus intégrée aux opérations de l’entreprise, la visibilité et la protection continues des données ne sont plus une option », a déclaré Hanselman.
Sans une refonte fondamentale des protocoles d’identité et de cryptage, la société laissera effectivement la porte grande ouverte au prochain ingénieur logiciel possédant un contrôleur de jeu vidéo.
