Le 27 août 2025, les chercheurs d’ESET ont annoncé avoir découvert le premier ransomware conçu à l’aide de l’IA. Baptisé « PromptLock », ce logiciel malveillant inaugure une nouvelle ère dans la menace numérique. S’il ne circule pas encore activement, son existence démontre le potentiel inquiétant de l’IA dans l’automatisation et l’optimisation des cyberattaques. Dans un secteur déjà dominé par les campagnes de ransomware, cette avancée soulève de sérieuses préoccupations pour les experts en sécurité informatique.
Un ransomware inédit conçu par l’IA et non par un humain
Le cas de PromptLock est singulier : pour la première fois, le cœur de la logique malveillante n’est pas entièrement programmé par des humains, mais généré par une IA. Selon Anton Cherepanov, chercheur à ESET, « ce qui n’était qu’une hypothèse depuis plusieurs mois est désormais réalité – le premier ransomware alimenté par l’IA est apparu, heureusement sous forme de travail en cours et non de menace active ».
Concrètement, PromptLock embarque des prompts intégrés, qu’il soumet au modèle gpt-oss-20b via l’API Ollama, dans le but de produire à la volée des scripts Lua malveillants. Ces scripts sont ensuite exécutés pour explorer le système, sélectionner des fichiers et déclencher l’exfiltration ou le chiffrement. ESET souligne que ce mécanisme rend chaque attaque potentiellement différente, car l’IA ne génère jamais deux scripts identiques.
Le malware est développé en Golang, un langage apprécié pour sa portabilité. Les chercheurs ont identifié des variantes ciblant Windows et Linux, mises en ligne sur la plateforme VirusTotal, preuve que le projet est déjà testé dans des environnements variés. Cette approche multi-systèmes démontre la volonté de ses concepteurs de viser un large spectre de cibles. Toutefois, il reste classé comme un proof-of-concept, c’est-à-dire une démonstration technique plutôt qu’un outil prêt à l’emploi dans une campagne criminelle.
Des fonctionnalités classiques mais boostées par l’IA
Si le principe de base reste celui d’un ransomware – explorer, exfiltrer et chiffrer les fichiers –, l’originalité de PromptLock réside dans la manière dont ces étapes sont orchestrées par une IA. Les experts d’ESET expliquent que « PromptLock exploite des scripts Lua générés à partir de prompts codés en dur pour énumérer le système de fichiers, inspecter les fichiers cibles, exfiltrer certaines données et procéder au chiffrement ».
Le chiffrement repose sur l’algorithme SPECK en 128 bits, une méthode connue mais jugée atypique pour des usages criminels, ce qui tend à confirmer le caractère expérimental du projet.
Les chercheurs relèvent aussi que le code contient des références à une possible fonction de destruction de fichiers, non encore mise en oeuvre. Autrement dit, les futures évolutions pourraient rendre l’attaque encore plus destructrice. Par ailleurs, les exécutables actuels restent détectables par des solutions de protection robustes, ce qui limite pour l’instant l’impact potentiel. Cependant, la flexibilité et la rapidité conférées par l’IA laissent entrevoir des menaces beaucoup plus difficiles à contrer à moyen terme.
Une alerte pour l’avenir de la cybersécurité
Même s’il ne s’agit que d’un prototype, PromptLock est perçu comme un signal d’alarme par la communauté. « Bien que plusieurs indicateurs suggèrent qu’il s’agit d’un proof-of-concept ou d’un projet en cours plutôt que d’un malware opérationnel, nous estimons de notre responsabilité d’informer la communauté cybersécurité de telles évolutions », commente Anton Cherepanov.
Le risque majeur réside dans la démocratisation de l’IA : avec des modèles toujours plus performants et accessibles, de futurs groupes criminels pourraient automatiser des attaques sophistiquées, rendant leur détection beaucoup plus complexe.
ESET met en garde contre un futur où les ransomwares deviendront plus rapides, plus furtifs et plus ciblés, impactant aussi bien les grandes entreprises que les PME et particuliers. Le cas PromptLock, même limité, illustre cette bascule : l’IA n’est plus seulement une alliée pour la cybersécurité, mais un outil que les attaquants savent désormais exploiter.
Vous avez aimé cet article ? Abonnez-vous à notre Newsletter gratuite pour des articles captivants, du contenu exclusif et les dernières actualités.
Pour plus d’actualités comme celle-ci, visitez Armees.com.
