Une IA a trouvé la faille de WeChat, puis fabriqué le programme qui l’exploite
Un appel entrant suffisait à prendre le contrôle du compte, sans que la victime décroche. Le programme se propageait ensuite tout seul au carnet d’adresses.
WeChat est la messagerie utilisée par plus d’un milliard de personnes en Chine, aussi bien pour discuter que pour payer ou travailler. Des chercheurs en sécurité y ont trouvé un défaut de programmation, puis démontré ce qu’on pouvait en faire : appeler un numéro, prendre la main sur le compte en quelques secondes, lire et envoyer des messages à la place de son propriétaire, puis appeler à son tour tous ses contacts. La victime n’a rien à cliquer, rien à décrocher.
Le point marquant n’est pas la faille, c’est le calendrier. L’IA a repéré le défaut en juillet, produit un programme d’attaque fonctionnel en deux jours, et l’ensemble a été assemblé en une semaine de plus. Le même travail demandait auparavant plusieurs mois à une équipe expérimentée. L’éditeur a corrigé le problème le 21 août, puis bloqué toute exploitation sur ses serveurs une semaine plus tard. Aucune attaque réelle n’a été observée.
Ce qu’il faut en retenir tient en une phrase : le délai entre la découverte d’un défaut et son exploitation se compte désormais en jours. Les mises à jour que l’on repousse à la semaine suivante sur les téléphones et les postes de travail n’ont plus la même marge de sécurité. Savoir quels appareils accèdent aux comptes de l’entreprise, et appliquer les correctifs sans attendre, redevient une décision de dirigeant plutôt qu’une corvée informatique.