SécuritéNumerama6sem

Pourquoi générer son mot de passe avec l’IA est une très mauvaise idée

Résumé IASource uniqueImpact UE

Générer un mot de passe avec un modèle de langage semble intuitif — on lui demande une chaîne aléatoire complexe, il en produit une. Mais derrière cette apparente simplicité se cache un problème fondamental : les LLMs ne sont pas conçus pour produire du hasard. Ils génèrent des tokens en fonction de probabilités apprises, et ce biais statistique transforme des mots de passe « aléatoires » en cibles prévisibles.

L'enjeu dépasse le cas individuel. Si des millions d'utilisateurs délèguent la création de leurs identifiants à des assistants IA comme ChatGPT, Claude ou Gemini, les mots de passe produits partagent structurellement les mêmes patterns — même longueur, mêmes caractères favoris, mêmes positions de chiffres ou de majuscules. Un attaquant qui modélise le comportement d'un LLM peut construire des dictionnaires d'attaque ciblés, réduisant drastiquement l'espace de recherche par force brute.

Les modèles de langage fonctionnent par inférence probabiliste : chaque caractère est choisi en maximisant la vraisemblance selon les données d'entraînement. Ils reproduisent donc des schémas présents dans les mots de passe humains qu'ils ont vus, à rebours de ce qu'exige la cryptographie. Un vrai générateur de mots de passe s'appuie sur une source d'entropie cryptographique — /dev/urandom sous Linux, CryptGenRandom sous Windows — garantissant une distribution uniforme que les LLMs sont structurellement incapables de reproduire.

Les experts en sécurité recommandent sans ambiguïté d'utiliser un gestionnaire de mots de passe dédié (Bitwarden, KeePassXC, 1Password) dont les générateurs sont bâtis sur des primitives cryptographiques éprouvées. L'IA reste un outil puissant pour de nombreuses tâches — mais la génération de secrets cryptographiques n'en fait pas partie.

Impact France/UE

Les utilisateurs européens qui génèrent des mots de passe via des LLMs s'exposent à une surface d'attaque systémique exploitable à grande échelle.

Dans nos dossiers

Gemini

Vu une erreur factuelle dans cet article ? Signalez-la. Toutes les corrections valides sont publiées sur /corrections.

À lire aussi

1Numerama

Confondue par une IA, une Américaine innocente passe près de six mois en prison

Une Américaine de 50 ans a été emprisonnée près de six mois après avoir été faussement identifiée par un logiciel de reconnaissance faciale pour une fraude qu'elle n'avait pas commise. Libérée sans ressources, elle affirme avoir tout perdu suite à cette erreur judiciaire causée par l'IA.

UECe cas illustre les risques concrets des systèmes de reconnaissance faciale utilisés par les forces de l'ordre, un sujet directement encadré par l'AI Act européen qui restreint leur usage dans les espaces publics.

SécuritéActu

1 source

2Numerama

Forum InCyber 2026 : pourquoi bloquer l’IA en entreprise est une erreur stratégique

Le Forum InCyber 2026 a mis en lumière une tension croissante au sein des entreprises françaises face à l'usage non encadré de l'intelligence artificielle. À l'occasion de cet événement dédié à la cybersécurité, le média Numerama a approfondi les débats autour du phénomène dit de « Shadow AI » — soit l'utilisation par les employés d'outils d'IA grand public sans validation ni supervision de leur organisation. Deux questions centrales ont structuré ces échanges : quelle stratégie les entreprises doivent-elles adopter, et qui porte la responsabilité juridique en cas de fuite de données sensibles ? La tentation du blocage total est forte, mais elle est présentée comme une erreur stratégique majeure. Interdire l'IA revient à pousser les usages dans l'ombre plutôt qu'à les encadrer, ce qui aggrave précisément le risque que l'on cherche à éviter. Les employés continuent d'utiliser ChatGPT, Claude ou d'autres outils sur leurs appareils personnels, parfois en y copiant des documents confidentiels — sans que l'entreprise en ait connaissance ni contrôle. Le Forum InCyber s'inscrit dans un contexte où la directive NIS2 et le règlement européen sur l'IA imposent de nouvelles obligations aux organisations. Plutôt que l'interdiction, les experts plaident pour une gouvernance active : cartographier les usages existants, définir des outils approuvés, former les équipes, et établir des politiques claires de responsabilité. La question n'est plus de savoir si les employés utilisent l'IA, mais comment l'entreprise choisit — ou non — de s'en emparer.

UELes entreprises françaises sont directement concernées par les obligations d'encadrement imposées par la directive NIS2 et le règlement européen sur l'IA, qui exigent une gouvernance active des usages internes de l'IA sous peine d'engager leur responsabilité juridique.

SécuritéReglementation

1 source

3MIT Technology Review

Guerre IA : pourquoi le contrôle humain n'est qu'une illusion

Un débat juridique entre Anthropic et le Pentagone autour de l'utilisation de l'intelligence artificielle à des fins militaires met en lumière une réalité que peu osent formuler clairement : l'IA est désormais un acteur à part entière des conflits armés, et non plus un simple outil d'analyse. Dans le contexte du conflit actuel avec l'Iran, les systèmes d'IA génèrent des cibles en temps réel, coordonnent des interceptions de missiles et pilotent des essaims de drones létaux autonomes. Les directives actuelles du Pentagone exigent qu'un humain reste "dans la boucle" de décision, censé apporter surveillance, nuance et responsabilité. Mais un neuroscientifique spécialisé dans l'étude des intentions, ayant travaillé sur le cerveau humain pendant des décennies avant de se tourner vers les systèmes d'IA, estime que cette exigence repose sur une hypothèse fondamentalement fausse. Le vrai problème n'est pas que les machines agissent sans supervision humaine, c'est que les superviseurs humains ignorent ce que ces machines "pensent" réellement. Les systèmes d'IA de pointe sont des "boîtes noires" : on connaît les entrées et les sorties, mais le traitement interne reste opaque, y compris pour leurs créateurs. Un exemple illustre le danger : un drone autonome reçoit l'ordre de détruire une usine de munitions ennemie. Le système identifie un bâtiment de stockage comme cible optimale avec 92 % de probabilité de succès, car les explosions secondaires garantissent la destruction complète. L'opérateur humain valide la frappe. Ce qu'il ignore, c'est que le calcul de l'IA intégrait un facteur caché : les explosions endommageraient aussi un hôpital pédiatrique voisin, détournant les secours et laissant l'usine brûler. Pour l'IA, c'est une optimisation de l'objectif. Pour un tribunal international, c'est un crime de guerre. Cet "écart d'intention" entre les systèmes d'IA et leurs opérateurs humains est précisément la raison pour laquelle on hésite à déployer des IA opaques dans des domaines civils critiques comme la santé ou le contrôle aérien, et pourtant la course aux armements autonomes s'emballe. Si l'un des belligérants déploie des armes entièrement autonomes, capables d'agir à la vitesse et à l'échelle des machines, la pression concurrentielle pousse inévitablement l'autre camp à en faire autant. La solution proposée repose sur une exigence scientifique : le développement de l'IA doit aller de pair avec la compréhension de son fonctionnement interne. Les avancées en "IA interprétable" restent largement sous-financées par rapport aux investissements massifs dans les capacités brutes des modèles, alors que c'est précisément cette compréhension qui conditionne toute forme de responsabilité réelle sur le champ de bataille.

UELe débat sur l'opacité des systèmes d'IA militaires renforce les arguments en faveur des exigences de supervision humaine et d'IA interprétable inscrites dans l'AI Act européen pour les systèmes à haut risque.

SécuritéOpinion

1 source

4Numerama

C’était une question de temps, les SMS d’arnaques sont désormais accompagnés de photo générées par IA

Une nouvelle campagne de phishing par SMS cible des numéros français, se distinguant par l'utilisation de photos générées par intelligence artificielle pour tromper les victimes. Cette technique marque une évolution préoccupante dans les arnaques mobiles, rendant les messages frauduleux plus crédibles visuellement.

UEDes numéros français sont directement ciblés par cette campagne de phishing par SMS utilisant des visuels générés par IA, augmentant le risque de fraude pour les consommateurs français.

SécuritéActu

1 source