Thèse du jour : L’IA passe de l’exploitation des systèmes à l’exploitation des humains

Jusqu’ici, les cyberattaques ciblaient surtout des failles techniques : un mot de passe faible, une API mal sécurisée, un logiciel non mis à jour. Mais aujourd’hui, avec l’essor des systèmes d’IA générative et prédictive, une nouvelle ère s’ouvre : celle où nos propres comportements deviennent le vecteur d’attaque principal.

Prenons l’exemple des Payroll Pirates (ces escrocs qui détournent les salaires via des plateformes RH comme Workday). Ce qui est frappant, ce n’est pas tant la sophistication technique de l’attaque que son exploitation systématique de deux failles humaines :

La confiance aveugle dans les notifications (un email qui semble venir des RH, une demande de "vérification urgente").
La paresse procédurale (peu d’employés vérifient manuellement que leur RIB est toujours le bon dans le système).

L’IA ne fait pas que pirater un compte – elle pirate notre façon de penser.

Et ce n’est qu’un début. Regardez autour de vous :

Les wearables (The Verge en parle très bien) nous transforment en sources de données permanentes, où chaque battement de cœur, chaque pas, chaque micro-stress devient une variable à monétiser.
Les "IA-as-an-OS" (comme le nouveau ChatGPT que décrit The Verge) ne se contentent plus de répondre à des questions – elles structurent notre quotidien, décidant à notre place quelles infos méritent notre attention, quels contacts prioriser, quelles tâches automatiser.
Les deepfakes sociaux (comme ceux générés par Sora) ne servent pas seulement à tromper – ils servent à créer des dépendances émotionnelles (un faux message d’un proche, une vidéo "personnalisée" qui joue sur nos biais).

L’IA n’est plus un outil qui s’adapte à nous. Nous devenons des variables dans son équation.

Contexte : Pourquoi maintenant ?

Trois facteurs expliquent cette accélération :

1. L’IA générative a franchit un seuil critique de crédibilité

Avant, un phishing grossier se repérait facilement. Aujourd’hui, avec des outils comme Sora (OpenAI) ou VALL-E (Microsoft), un deepfake vocal ou vidéo peut être indistingable de la réalité pour 90% des gens. Et quand la technologie permet de cloner une voix en 3 secondes ou de générer une vidéo "personnalisée" à partir de quelques photos volées sur LinkedIn, la méfiance naturelle s’érode.

2. Nos données comportementales sont devenues une matière première

Les wearables (The Verge a raison de s’en inquiéter) ne sont que la partie visible de l’iceberg. Chaque interaction avec une IA (une recherche, un like, un temps de pause sur une vidéo) est enregistrée, analysée, et réinjectée dans des modèles prédictifs.

Un employé qui clique trop vite sur les liens ? Cible idéale pour un Payroll Pirate.
Un utilisateur qui passe 20% de son temps sur des vidéos "motivationnelles" ? Parfait pour lui vendre un coaching IA (ou lui soutirer des données via une fausse appli).

3. Les plateformes tech ont adopté un modèle "IA-first"

Microsoft, OpenAI, Meta… Tous transforment leurs produits en systèmes d’exploitation pilotés par l’IA (comme le suggère The Verge avec ChatGPT-OS). Résultat :

Moins de contrôle utilisateur (l’IA décide ce qui est "pertinent" pour vous).
Plus de dépendance (pourquoi chercher une info soi-même quand l’IA la "devine" avant même que vous la demandiez ?).
Une surface d’attaque comportementale élargie (si l’IA sait que vous êtes stressé un lundi matin, elle peut vous proposer… ou vous piéger avec une fausse urgence).

Analyse : Trois exemples concrets de l’exploitation algorithmique des failles humaines

Cas 1 : Les Payroll Pirates, ou comment l’IA automatise la manipulation sociale

Mécanisme : Les attaquants utilisent des IA conversationnelles pour générer des emails ultra-personnalisés (ton, vocabulaire, références internes à l’entreprise) et des deepfakes vocaux pour appeler les victimes en se faisant passer pour un collègue ou un supérieur.
Faille exploitée : Le biais d’autorité ("C’est les RH qui demandent") + l’urgence fabriquée ("Votre paiement est bloqué, cliquez ici").
Pourquoi c’est pire qu’avant : Avant, un phishing raté était visible. Aujourd’hui, l’IA ajuste son approche en temps réel en fonction de vos réactions (vous hésitez ? Elle envoie un faux SMS de "confirmation").

Cas 2 : Les wearables, ou la quantification obsessionnelle du moi

Mécanisme : Les montres et bagues connectées (comme l’Oura Ring ou l’Apple Watch Ultra) ne se contentent plus de compter vos pas. Elles analysent votre humeur, votre niveau de stress, votre productivité, et vendent ces insights à des tiers (assurances, employeurs, publicitaires).
Faille exploitée : Le syndrome de l’auto-optimisation ("Si je ne mesure pas, je n’existe pas") + la peur du FOMO ("Et si mon score de sommeil est mauvais ?").
Pourquoi c’est pire qu’avant : Ces données ne servent pas qu’à vous "aider". Elles servent à vous classer (un mauvais score de stress ? Votre prime d’assurance augmente). Et bientôt, avec l’IA, elles serviront à prédire (et influencer) vos décisions avant même que vous les preniez.

Cas 3 : Sora et les réseaux sociaux IA, ou la fabrication du désir

Mécanisme : OpenAI teste Sora Social, un réseau où les vidéos sont générées en temps réel en fonction de vos réactions. Vous aimez les paysages ? L’IA en crée des milliers, de plus en plus "parfaits". Vous regardez longtemps les visages ? Elle génère des deepfakes de célébrités qui vous "parlent" directement.
Faille exploitée : Le biais de récompense instantanée (comme les likes sur Instagram, mais en 100x plus addictif) + l’illusion de personnalisation ("Cette vidéo est faite RIEN que pour moi !").
Pourquoi c’est pire qu’avant : Vous ne consommez plus du contenu – vous consommez une version algorithmique de vous-même. Et comme l’IA sait exactement quels boutons pousser, elle peut vous rendre dépendant de façon chirurgicale.

Contrepoints : "Mais l’IA peut aussi nous protéger !"

Bien sûr, certains diront que l’IA est aussi une solution. Et c’est vrai… en partie.

Argument 1 : L’IA peut détecter les fraudes mieux que les humains

Réponse : Oui, mais qui contrôle l’IA qui surveille ? Si Microsoft utilise une IA pour détecter les Payroll Pirates, rien n’empêche cette même IA d’être détournée pour cibler des employés "à risque" (ceux qui cliquent souvent sur des liens, par exemple) et leur vendre des formations… ou pire, les licencier "pour négligence".

Argument 2 : Les wearables peuvent améliorer notre santé

Réponse : À quel prix ? Quand votre assureur sait que vous avez dormi 5h et bu 3 cafés, votre prime explose. Et si demains les employeurs utilisent ces données pour ajuster vos horaires (ou vous virer), on bascule dans une dystopie du score social.