Un pirate informatique a utilisé une intelligence artificielle pour usurper l'identité de Sam Altman, le créateur de ChatGPT, et dérober des données sensibles. L'attaque, qualifiée d'« inédite » par les experts, soulève des inquiétudes sur les capacités des IA génératives à imiter les humains.
Une attaque sans précédent
Selon un rapport de l'entreprise de cybersécurité Resecurity, l'attaquant a utilisé un outil d'IA pour générer une copie vocale quasi parfaite de Sam Altman. Il a ensuite passé un appel téléphonique à un employé d'OpenAI, se faisant passer pour le PDG, et a obtenu des accès confidentiels. « Ce qui est sûr, c'est que c'est inédit », a déclaré un porte-parole de Resecurity à Libération.
L'incident s'est produit le 15 juillet dernier. L'employé, qui travaillait dans le département de sécurité, a reçu un appel d'un numéro semblant provenir du bureau de Sam Altman. La voix synthétisée imitait parfaitement le ton et les intonations du dirigeant. Le pirate a demandé des identifiants pour accéder à un serveur contenant des données sur les modèles de langage.
Des données sensibles compromises
OpenAI a confirmé que certaines données ont été consultées, mais assure que les modèles d'IA eux-mêmes n'ont pas été compromis. « Nous avons immédiatement révoqué les accès et renforcé nos protocoles », a indiqué un porte-parole d'OpenAI. L'entreprise collabore avec les autorités fédérales américaines pour identifier le pirate.
Resecurity estime que cette attaque pourrait être le signe d'une nouvelle ère de cybermenaces. « L'IA permet de reproduire la voix, l'écriture, voire le visage d'une personne avec une précision terrifiante », explique le rapport. Les experts appellent les entreprises à mettre en place des systèmes de vérification multi-facteurs, y compris pour les communications vocales.
Un précédent inquiétant
Ce n'est pas la première fois qu'une IA est utilisée pour usurper une identité, mais c'est la première fois qu'elle cible un dirigeant d'une entreprise technologique majeure. En 2023, un cas similaire avait été rapporté au Royaume-Uni, où un PDG avait été imité par IA pour ordonner un virement bancaire frauduleux de 243 000 dollars.
L'attaque contre OpenAI intervient alors que les régulateurs du monde entier examinent les risques liés à l'IA. La Commission européenne a récemment proposé des règles obligeant les entreprises à étiqueter les contenus générés par IA. Aux États-Unis, le Sénat a convoqué une audience sur la sécurité de l'IA en septembre.
« Nous devons repenser la notion de confiance », a conclu le porte-parole de Resecurity. « Dans un monde où une IA peut imiter n'importe qui, la vérification ne peut plus reposer sur la seule reconnaissance vocale ou visuelle. »
