Un IA gratuite pénètre dans TikTok : que s'est-il passé ?

Une expérience menée par la start-up de cybersécurité DepthFirst a révélé que des modèles d'IA chinois gratuits et open source peuvent être utilisés pour détecter et exploiter des failles logicielles.

Dans une vidéo présentant les capacités de l'entreprise, partagée avec le journal The Washington Post, un employé de DepthFirst a pu accéder à distance à la caméra et à la galerie photo d'un smartphone utilisé pour naviguer sur l'application TikTok.

Cela s'est produit en exploitant une série de failles logicielles présentes dans l'application populaire. Cette intrusion a été réalisée uniquement à des fins expérimentales et n'a pas ciblé des utilisateurs réels.

Le système d'IA développé par l'entreprise a découvert des failles dans le logiciel open source utilisé par TikTok avant même que l'entreprise ne soit informée du problème, qui a ensuite été confirmé et corrigé, selon des messages consultés par le journal.

DepthFirst utilise ce système pour aider ses clients à renforcer leurs défenses. Son PDG, Qasim Methani, affirme que l'entreprise a identifié des dizaines de failles critiques dans des logiciels utilisés par des millions de personnes.

Ces événements surviennent alors que des entreprises américaines comme Anthropic et OpenAI restreignent les capacités de leurs modèles d'IA, « Claude » et « ChatGPT », dans les tâches de cybersécurité, en permettant un usage complet uniquement après vérification pour certains utilisateurs et entreprises. En revanche, des modèles chinois comme « DeepSeek » et « Z.ai » sont accessibles à presque tout le monde, gratuitement, avec possibilité de téléchargement et de modification.

John Hultquist, analyste principal chez Threat Intelligence Group, filiale de Google, affirme que la diffusion plus large de cette technologie renforce les cybercriminels avancés et réduit le seuil d'entrée pour les individus aux compétences limitées souhaitant commettre des crimes numériques.

La société Unit 42, filiale de Palo Alto Networks, a indiqué avoir utilisé des outils alimentés par l'IA pour analyser environ 4 000 projets logiciels open source, découvrant plus de 14 000 vulnérabilités confirmées, dont plus de 99 % n'avaient jamais été signalées auparavant.

Elle a également repéré des attaques permettant aux auteurs d'exploiter plus de 50 techniques pour pénétrer dans une entreprise logicielle européenne en moins de 10 heures — une opération qui aurait normalement pris plus de 10 jours à réaliser.