Vibe hacking et vibe coding ou l'impératif d'une nouvelle gouvernance des identités

L'Intelligence artificielle est parvenue, en l'espace de quelques années, à profondément transformer la manière dont les développeurs conçoivent les logiciels.

L'intelligence artificielle est parvenue, en l’espace de quelques années, à profondément transformer la manière dont les développeurs conçoivent les logiciels et dont les cybercriminels mènent leurs attaques. Ce qui, autrefois, exigeait une expertise technique avancée, peut être réalisé à partir de "simples" instructions rédigées en langage naturel. Nous parlons de vibe coding. Et, comme pour toute technologie de rupture, ces avancées génèrent de nouveaux risques majeurs : le vibe hacking ou le détournement des outils d’IA générative à des fins de tromperie. Dans ce nouveau paysage des menaces, les organisations doivent adopter une nouvelle gouvernance des identités en plaçant la gestion de la confiance au cœur de leur stratégie de cybersécurité.

Cyberattaques et sophistication psychologique

Le danger de l’IA est l’IA lui-même. Inutile d’énumérer toutes les avancées permises par l’IA tant elles sont nombreuses. En revanche ce qui préoccupe, aujourd’hui c’est l’accélération des usages de l’IA à des fins de manipulation et d’exploitation. D’après les chiffres d’une étude BCG de 2025, AI IS Raising the Stakes in Cybersecurity, menée auprès de 500 dirigeants internationaux, 60% d’entre eux estiment avoir déjà été confrontés à une cyberattaque reposant sur l’intelligence artificielle. 

Le vibe hacking est en train de recomposer la nature même de la conception que nous avons de la cybersécurité. Et pour cause, les cybercriminels, ne ciblent plus uniquement les systèmes d’information, mais la confiance. Grâce au recours à l’IA, ils sont capables d'imiter les émotions, le ton et le contexte d'une communication. Une fois cette première barrière passée, ils contournent les mécanismes de protection traditionnels et peuvent influencer aussi bien les décisions humaines que celles prises par les agents d'intelligence artificielle.

En d’autres termes, les cyberattaquants ne cherchent plus seulement à exploiter des failles techniques, mais à manipuler le contexte et la confiance. En somme, plutôt que de forcer des mots de passe, ils manipulent les comportements.

Ce phénomène de vibe hacking est rendu d’autant plus complexe qu’il s’appuie sur des modèles d'intelligence artificielle entraînés sur d'immenses volumes de données, afin de reproduire les comportements humains. Ces modèles analysent les échanges, les communications internes et les habitudes d'une organisation pour imiter la manière dont un dirigeant rédige ses messages, dont une équipe communique ou encore dont les différents systèmes "dialoguent" entre eux.

Imaginons un scénario concret : un cyberattaquant s’empare de l’assistant IA d'une entreprise à la suite de la compromission d'une clé API. À partir de simples requêtes en langage naturel, il peut désormais orchestrer l'ensemble d'une attaque. L'IA est invitée à analyser les outils internes, identifier des vulnérabilités, demander des modifications des règles du pare-feu ou encore extraire des données sensibles, tout en présentant ces demandes comme des opérations courantes et urgentes. Aux yeux des collaborateurs comme des agents IA, rien ne paraît anormal : le "ton" est crédible, le contexte parfaitement cohérent. 

L'intelligence artificielle, le nouvel adversaire ?

L'IA est capable de mener des opérations de reconnaissance sur des systèmes publics comme internes, d'analyser les données collectées afin d'identifier des identifiants ou des comportements exploitables, de générer des campagnes de phishing parfaitement alignées sur le style de communication d'une organisation, mais aussi de s'introduire dans les systèmes via des intégrations tierces ou des robots d'automatisation mal configurés. Elle peut ensuite exfiltrer des données sensibles tout en adaptant en permanence ses méthodes aux réactions des systèmes de défense. Ceci conduit inévitablement à se demander si l’IA ne serait finalement pas devenue le nouvel adversaire.

Un tel niveau de sophistication, comme celui décrit dans les lignes précédentes, nécessitait autrefois une équipe entière de spécialistes. Aujourd’hui il est à la portée de tout attaquant suffisamment expérimenté pour formuler les bonnes requêtes. Autrement dit, dès lors qu'un individu dispose des bons outils d'IA générative, il peut lancer des attaques aussi dévastatrices sur le plan technique que psychologique.

Aujourd’hui, chaque identité, qu'elle soit humaine ou machine, devient une porte d'entrée potentielle. Chaque identifiant, chaque privilège et chaque autorisation d'accès peuvent être exploités...

Renforcer la sécurité des identités à l'ère de l'intelligence artificielle

Ce nouvel environnement des menaces exige de repenser profondément nos défenses. Pour replacer la gestion de la confiance au cœur de la stratégie de cybersécurité, quatre impératifs s'imposent désormais aux organisations :

1. Neutraliser le vibe hacking grâce au principe du moindre privilège

Les conséquences d'une identité compromise ou manipulée peuvent être considérablement réduites en limitant les droits d'accès de chaque utilisateur et de chaque identité machine. Chaque identité ne doit disposer que des autorisations strictement nécessaires à l'exécution de ses missions, uniquement au moment où elles sont requises, avant d'être automatiquement révoquées. L'application systématique du principe du moindre privilège permet de limiter considérablement l'ampleur des dommages, même lorsqu'un attaquant est parvenu à manipuler la confiance.

2. Rompre la chaîne d'attaque grâce à la gestion sécurisée et à la rotation des identifiants

De nombreuses attaques reposant sur l'IA exploitent des boucles automatisées dans lesquelles un agent IA compromis continue d'exécuter des instructions malveillantes. La rotation régulière des identifiants ainsi que leur stockage dans un coffre-fort numérique permettent d'interrompre ce cycle. En supprimant l'accès direct aux secrets, aussi bien pour les utilisateurs que pour les machines, les organisations empêchent un agent compromis de réutiliser des identifiants ou d'enchaîner des requêtes afin de conserver un accès persistant.

3. Réduire les risques grâce aux accès "Just-in-Time"

Les identifiants temporaires à durée de vie limitée neutralisent l'un des principaux atouts du vibe hacking : la persistance des accès. En privilégiant des jetons d'authentification spécifiquement conçus pour expirer rapidement, les organisations limitent la durée pendant laquelle une relation de confiance compromise peut être exploitée, interrompant ainsi les sessions avant qu'elles ne provoquent des dommages significatifs.

4. Détecter le "vibe" grâce à l'intelligence des identités

Faire face aux cyberattaques modernes nécessite une approche globale dépassant les simples contrôles statiques. L'intelligence des identités permet d'élever le niveau de protection en analysant en continu les comportements et le contexte des identités humaines comme des identités machines. Une variation inhabituelle du ton employé, des habitudes d'accès ou des demandes adressées aux systèmes peut révéler une tentative de manipulation. En détectant ces signaux faibles dès leur apparition, les organisations passent d'une logique de réaction à une véritable capacité d'anticipation.

Le vibe hacking, met en lumière une réalité de la cybersécurité moderne : la véritable bataille ne se limite plus aux infrastructures, mais concerne la manière dont la confiance est établie, interprétée et exploitée. Les cybercriminels ont compris qu'en contrôlant le "vibe", ils peuvent influencer les mécanismes de protection à grande échelle. Les organisations les mieux préparées à cette nouvelle génération de menaces seront celles qui disposeront d'une gouvernance rigoureuse des identités, capable de limiter l'impact des manipulations, même les plus convaincantes.