Quand l’IA de Meta permet de pirater des comptes

Introduction

C’est l’un des nombreux revers de l’intelligence artificielle et il ne risque pas de disparaître de sitôt, vu la confiance aveugle accordée à ces outils par leurs principaux concepteurs. Déléguant désormais une grosse partie du support client à son IA, Meta permet à des pirates malins de s’approprier le compte d’autrui, simplement en demandant au chatbot de modifier leur adresse email, rapporte 404 Media.

Barack Obama pris pour cible

Un pirate a ainsi partagé sur un canal Telegram une méthode permettant de berner Meta AI, l’intelligence artificielle désormais intégrée au cœur de l’ensemble des applications Meta (WhatsApp, Instagram, Threads, Facebook). Concrètement ? Il suffirait d’être poli, rapporte 404 Media. Facile à tromper, le robot conversationnel ne se ferait pas prier lorsqu’un pirate un peu insistant lui assure être le propriétaire d’un compte qui ne lui appartient pas. L’auteur de la vidéo assure être parvenu à faire changer l’adresse email liée au compte de sa victime et avoir demandé à Meta AI de réinitialiser son mot de passe, rendant, de fait, sa récupération impossible à moins de lancer une véritable procédure.

C’est potentiellement ce qui serait arrivé à l’ex-Président américain Barack Obama le week-end dernier. Sur Instagram, le compte officiel @obamawhitehouse s’est mis à publier des messages identifiés comme de la propagande iranienne sans que Barack Obama en soit à l’origine. Le chef de la Space Force américaine, ainsi que le compte officiel de l’enseigne de cosmétiques Sephora auraient aussi subi le même sort, relaie le site d’investigation.

Heureusement, Meta a réagi rapidement. Laconique, le responsable de la communication, Andy Stone, expliquait hier dans la soirée que « le problème [avait] été résolu » et que les comptes affectés étaient en train d’être sécurisés.

L’IA, un assistant de piratage comme un autre

La simplicité avec laquelle l’intelligence artificielle de Meta a offert les clés d’un compte à un pirate interroge, mais ne surprend pas. Voilà des années que les experts en cybersécurité alertent sur les dangers que représente l’IA pour la sécurité informatique. De la même manière qu’il était facile de ruser sur les premières versions de ChatGPT pour générer une image d’un personnage célèbre, les robots conversationnels qui s’occupent du service client sont faillibles et crédules. Si la firme a été prompte à corriger le problème, nul doute que d’autres surviendront. C’est le propre des pirates : jouer au jeu du chat et de la souris, et tenter de s’infiltrer par tous les interstices.

L’intelligence artificielle revêt à ce titre le rôle d’assistant rêvé pour les cybercriminels. Tout comme elle permet d’accélérer le processus de développement et de programmation, elle permet aux hackers de rendre leurs attaques plus efficaces et d’intensifier leurs assauts en les automatisant grâce à des agents. Pour résumer : on a d’une part une cybersécurité qui s’effrite à cause de la crédulité des chatbots, et de l’autre des pirates qui misent justement sur les capacités techniques de l’IA pour trouver les failles plus rapidement que jamais.

Cité par The Verge, l’ingénieur en cybersécurité Gergely Orosz, éditeur de la newsletter The Pragmatic Engineer, rapporte que l’équipe de modération d’Instagram était « profondément dégoutée » des revirements internes de ces dernières semaines. Après une nouvelle vague de licenciements au sein de l’entreprise, les employé·es restant·es sont désormais assigné·es à des tâches visant à épauler l’IA. « Mais les ingénieurs d’Instagram vont trop loin en utilisant l’IA pour tout et n’ont aucune incitation pour des choses comme… la sécurité. »