Quand une simple IA devient un levier de cyberattaque invisible

Et si votre propre intelligence artificielle devenait l’arme de votre compromission ? C’est exactement ce que révèle un incident récent impliquant Amazon. Un simple prompt dissimulé dans une extension VS Code a failli transformer un assistant IA en destructeur de données à grande échelle — sans qu’aucune ligne de code malveillant ne soit visible. Ce cas, loin d’être isolé, illustre un tournant critique : l’émergence d’un nouveau type de menace, difficile à détecter, exploitant l’autonomie croissante des IA intégrées dans les environnements de développement. Voici ce que cet incident dit de l’avenir de la cybersécurité.

Contexte de l’incident

En juillet 2025, Amazon a publié sur GitHub une version 1.84 de son extension Q Developer pour Visual Studio Code, permettant à l’assistant IA Amazon Q d’aider les développeurs directement depuis l’éditeur. Cette extension, installée par près d’un million d’utilisateurs, contenait un prompt malveillant, injecté via une contribution GitHub signée « lkmanka58 » le 13 juillet.

Mécanisme : du code‑prompt à une potentielle attaque

Le prompt malveillant instruit l’IA à agir comme un agent nettoyeur : effacer le contenu du répertoire utilisateur, supprimer des ressources AWS (instances EC2, buckets S3, utilisateurs IAM) via les commandes AWS CLI, logguer les actions dans /tmp/CLEANER.LOG et poursuivre jusqu’à complétion de la tâche.

Même si ce code n’était pas un script exécutable en soi, il avait le même niveau de danger qu’un script shell malveillant, car un prompt peut générer automatiquement des commandes potentiellement destructrices.

Ce qui a sauvé l’installation

Selon Amazon, le payload ne s’est jamais exécuté en raison d’une erreur de syntaxe. Aucun utilisateur ou environnement client n’a été affecté. Amazon a retiré la version 1.84 du marketplace et publié la version sécurisée 1.85 le 24 juillet et mis à jour ses lignes directrices de contribution GitHub cinq jours après la faille.

Implications de sécurité

a) Vecteur nouveau : l’injection d’instructions

Ce cas illustre un nouveau vecteur d’attaque : l’injection de prompt dans des outils d’IA internes, exploitant les capacités de l’IA sans code explicite. Ainsi, l’IA peut être manipulée via un « texte légitime », sans ligne de code malveillant classique.

b) Chaîne CI/CD et process Git faibles

L’attaquant aurait obtenu un jeton GitHub mal configuré, lui donnant des droits élevés. La revue de code et les pipelines CI/CD étaient insuffisants pour détecter une modification malicieuse subtile. Un bon exemple de ce qu’il faut éviter dans la revue de code ouverte, même sur des projets critiques.

c) Nombre important d’extensions à risque

Une étude académique menée en 2024 révélait que 5,6 % des extensions VS Code analysées présentaient des comportements suspects, comme des appels réseau arbitraires ou des abus de privilèges. Ce risque s’étend désormais aux IA intégrées comme Amazon Q.

Le ransomware sans ligne malveillante

Cette attaque démontre qu’un ransomware piloté par IA pourrait être déclenché via un prompt, sans code malveillant explicite, dès lors que l’IA a suffisamment de droits et exécute des instructions écrites comme texte. Cette évolution nécessite d’adapter les modèles de risque en cybersécurité pour y intégrer ce type de scénario.

Recommandations opérationnelles

• Principe du moindre privilège : restreindre l’accès aux ressources (fichiers, cloud, AWS CLI) et éviter que l’IA n’opère sans surveillance manuelle.
• Revue de code rigoureuse : inclure une vérification humaine pour toute PR, même issue de contributeurs externes.
• Contrôles CI/CD : exiger des validations automatiques des changements de prompts ou d’objet potentiellement dangereux.
• Approbation en dur : ne pas laisser une IA surveiller une autre IA pour la sécurité. Comme en industrie, adopter des garde-fous physiques ou logiques traditionnels pour arrêter un processus.
• Surveillance proactive : renforcer la traçabilité des invitations GitHub, tokens et accès CI/CD.

L’incident d’Amazon Q Developer confirme que l’IA peut être le vecteur d’attaque, pas seulement un outil d’aide au développement. L’utilisation de prompts comme éléments de risque est maintenant avérée ; et exploitable, même sans code exécutable visible. Il est urgent de repenser les pratiques de sécurité autour des IA, surtout celles intégrées dans des workflows critiques. Une approche hybride, mêlant rigueur classique de la sécurité et compréhension des prompt injections, devient incontournable.