Pourquoi l’exploitabilité devient un critère clé face à l’IA

L’IA accélère une économie cybercriminelle déjà établie

L’IA peut aider les criminels à produire plus rapidement des e-mails de phishing, du code malveillant et du matériel d’exploitation. Son impact dépend aussi d’une économie de services déjà en place qui fournit des identités volées, des failles logicielles exploitables et des opérateurs spécialisés.

Le rapport Global Threat Intelligence Report 2026 de Flashpoint : Midyear Edition décrit ces composantes comme évoluant de concert. Flashpoint est un fournisseur de threat intelligence et en tire un bénéfice commercial lorsque les organisations accordent de la valeur aux renseignements sur ces connexions. Ses conclusions posent une question concrète pour les dirigeants : à quelle vitesse les criminels peuvent-ils combiner des accès volés, des failles exploitables et des services spécialisés pour mener une attaque ?

Les identités volées transforment l’accès en service d’attaque

Un infostealer est un malware conçu pour collecter des identifiants et d’autres données à partir de systèmes infectés. Flashpoint indique que les infostealers ont infecté plus de 7,4 millions d’hôtes dans le monde au cours du premier semestre 2026, générant environ 1,7 milliard d’identifiants volés et d’autres données liées à l’identité.

Ces chiffres ne signifient pas que chaque identifiant a conduit à une compromission réussie. Ils montrent l’ampleur du vivier de données d’identité potentiellement disponible pour les criminels.

Des identifiants valides peuvent permettre à des attaquants de tenter un accès via les systèmes d’authentification habituels d’une organisation. Cela place les identifiants exposés, les contrôles d’authentification et la gestion des accès dans une même évaluation des risques pour les responsables de la sécurité.

L’exploitabilité est un signal de priorisation des vulnérabilités

Les vulnérabilités logicielles constituent une autre donnée d’entrée. Flashpoint a suivi 21 667 vulnérabilités divulguées entre janvier et juin 2026. Près d’une sur cinq était déjà associée à un code d’exploitation public ou fonctionnel.

Une équipe de sécurité qui gère un vaste parc logiciel doit prioriser la remédiation. La sévérité est un signal. La preuve de l’existence d’un code d’exploitation opérationnel en est un autre, car elle montre qu’une faille divulguée peut être mise en pratique.

Flashpoint affirme que les outils d’IA peuvent aider les acteurs de la menace à générer et affiner du matériel d’exploitation et à accélérer les tests contre des cibles potentielles. L’entreprise souligne également les retards dans l’enrichissement public des vulnérabilités et une liste croissante de failles connues comme exploitées. En tant que fournisseur de threat intelligence, Flashpoint a un intérêt commercial dans la valeur que les organisations accordent à des renseignements opportuns sur l’exploitabilité.

Les éléments disponibles étayent une affirmation causale limitée. L’IA peut aider au développement et aux tests d’exploits, mais ces constats n’établissent pas dans quelle mesure une éventuelle hausse observée de l’exploitation a été causée par l’IA.

La spécialisation transforme les capacités en échelle

Le lien entre ces évolutions est économique. Des spécialistes peuvent fournir différentes étapes d’une opération criminelle.

Ian Gray, vice-président du renseignement chez Flashpoint, décrit la cybercriminalité comme une économie de services avec une « spécialisation à chaque étape ». Il identifie les développeurs d’IA, les opérateurs d’infostealers, les courtiers en accès initial, les affiliés ransomware et les acteurs de la fraude comme des contributeurs dont les services peuvent « réduire les coûts, limiter les frictions et accélérer les opérations en aval ». Flashpoint vend des renseignements sur ces écosystèmes criminels et en tire donc un bénéfice commercial lorsque les organisations accordent de la valeur à la compréhension de ces relations.

Un courtier en accès initial est un criminel qui obtient un accès à des systèmes de victimes et le fournit à d’autres acteurs. Un affilié ransomware déploie un ransomware dans le cadre d’un modèle économique criminel partagé. Les acteurs de la fraude peuvent utiliser des comptes compromis et des éléments d’identité. Ces rôles permettent aux participants de se spécialiser au lieu de construire eux-mêmes chaque capacité.

Flashpoint affirme que l’IA peut aider à générer du contenu de phishing, du code malveillant et du matériel d’exploitation. L’entreprise signale également une évolution vers des modèles d’IA hébergés localement, sans les garde-fous ni la supervision que les plateformes grand public peuvent imposer. Selon Flashpoint, des groupes criminels peuvent utiliser ces modèles pour affiner du matériel destiné à des opérations impliquant des services cloud, des systèmes de gestion des identités et des accès, ainsi que des environnements mal configurés.

Josh Lefkowitz, cofondateur et PDG de Flashpoint, déclare : « L’IA compresse le délai entre l’opportunité et l’exploitation. » Il soutient que des capacités exigeant une expertise importante, de la coordination et du temps de développement peuvent devenir plus rapides à construire et plus faciles à faire évoluer. Lefkowitz dirige une entreprise qui vend de la threat intelligence et a donc un intérêt commercial dans la manière dont les organisations évaluent ces évolutions.

Le ransomware illustre l’ampleur que Flashpoint observe dans l’économie de services environnante. Flashpoint a documenté 6 256 victimes vérifiées de ransomware au premier semestre 2026, soit une hausse de 45 % par rapport à la même période un an plus tôt. Flashpoint indique que moins d’organisations paient les demandes de rançon et suggère que les opérateurs compensent en augmentant le volume des attaques via des structures matures de ransomware-as-a-service. Le ransomware-as-a-service est un modèle dans lequel les participants se répartissent des fonctions telles que le développement, l’accès, le déploiement et l’extorsion.

Cette hausse ne démontre pas que l’IA a causé la croissance du ransomware. La conclusion plus restreinte étayée par les constats de Flashpoint est que les outils d’IA entrent dans un écosystème où des acteurs spécialisés se fournissent déjà mutuellement des capacités.

Flashpoint cite également le conflit militaire au Moyen-Orient au cours du premier semestre de l’année, ainsi que des campagnes coordonnées contre les chaînes d’approvisionnement, les institutions financières, les systèmes industriels et les infrastructures critiques. Ces exemples élargissent l’éventail des activités d’acteurs externes que les dirigeants peuvent devoir prendre en compte lorsqu’ils évaluent leur exposition.

La défense doit suivre les connexions

La question de gestion est de savoir si les priorités de sécurité reflètent l’interaction entre les identités, les vulnérabilités et les services criminels.

Pour les RSSI et les responsables technologiques, des questions pratiques s’ensuivent. L’organisation peut-elle détecter une utilisation suspecte d’identifiants ? La priorisation des vulnérabilités inclut-elle l’exploitabilité observée en plus de la sévérité ? La threat intelligence sur les marchés de l’accès et les écosystèmes criminels spécialisés éclaire-t-elle les décisions concernant l’identité, les environnements cloud et la remédiation ?

Ces signaux peuvent modifier les priorités. Un code d’exploitation opérationnel montre qu’une vulnérabilité peut être mise en pratique. Le renseignement indiquant que les identifiants d’une organisation circulent peut ajouter du contexte à l’activité d’authentification, tandis que le renseignement sur les courtiers en accès initial peut indiquer qu’un accès compromis est fourni à d’autres criminels.

Gray soutient que la compréhension des relations entre les écosystèmes d’acteurs peut fournir des indications plus solides sur l’orientation des menaces, même si la perturbation de campagnes individuelles reste importante. Il s’agit de l’évaluation de Flashpoint sur la manière dont la threat intelligence devrait être utilisée, et l’entreprise bénéficie commercialement de la demande pour cette capacité. Pour les dirigeants, la décision opérationnelle consiste à déterminer si les défenseurs disposent d’un contexte suffisant pour évaluer ensemble l’accès, l’exploitabilité et l’activité adverse lors de la définition des priorités.

Points clés

• Les identités volées transforment l’accès en service d’attaque : Flashpoint fait état de 1,7 milliard d’identifiants volés et d’autres données liées à l’identité provenant d’infections par infostealer au premier semestre 2026. Les dirigeants devraient évaluer l’exposition des identifiants, les contrôles d’authentification et la gestion des accès comme des risques interconnectés.
• L’exploitabilité est un signal de priorisation des vulnérabilités : Près d’une vulnérabilité sur cinq suivie par Flashpoint disposait d’un code d’exploitation public ou fonctionnel. Les équipes de sécurité devraient prendre en compte les preuves d’exploitabilité en plus de la sévérité lorsqu’elles définissent les priorités de remédiation.
• La spécialisation transforme les capacités en échelle : L’IA peut accélérer le phishing, le développement de malware et les tests d’exploit au sein d’un marché existant de courtiers en accès, d’affiliés ransomware et d’autres spécialistes. Les dirigeants devraient évaluer les menaces activées par l’IA dans le contexte plus large de l’économie de services criminels plutôt que comme un risque isolé.
• La défense doit suivre les connexions : L’exposition des identités, les vulnérabilités exploitables et les services criminels peuvent se combiner dans une même chaîne d’attaque. Les RSSI devraient relier les renseignements sur les identifiants, les vulnérabilités et l’activité adverse lorsqu’ils définissent les priorités de défense.