Un malware Android utilise Gemini pour s’adapter en temps réel — Google rassure, mais la menace change d’échelle
Une nouvelle étape inquiétante dans l’évolution des logiciels malveillants Android : PromptSpy, découvert par des chercheurs d’ESET, intègre une intelligence artificielle en temps réel — en l’occurrence Gemini de Google — pour adapter son comportement à l’appareil infecté. Si, pour l’heure, Google assure qu’aucune application contenant PromptSpy n’a été détectée sur le Play Store, la simple existence de ce malware constitue un signal d’alarme majeur : les outils d’IA publics deviennent un amplificateur de menaces quand ils sont détournés par des cybercriminels.
Ce que fait PromptSpy : l’IA comme multiplicateur d’efficacité
PromptSpy n’est pas un malware « révolutionnaire » dans ses fonctions fondamentales : il conserve des modules classiques d’espionnage — accès à distance, collecte d’informations sur les applications installées, capture de données visibles à l’écran, tentative d’extraction de crédentiels éventuellement présents. Ce qui change, c’est la façon dont il orchestre ces actions. Au lieu de suivre un script rigide écrit à l’avance, PromptSpy envoie des extraits de ce qui est affiché sur l’écran de l’appareil infecté à Gemini et demande à l’IA quoi faire ensuite. Autrement dit, l’IA permet au logiciel de s’adapter automatiquement aux différences d’interface, de version d’Android ou de comportement d’une app ciblée.
Cette flexibilité rend le malware nettement plus robuste face aux instruments d’analyse et aux particularités des millions de configurations Android existantes. Là où, auparavant, une variation d’interface ou une mise à jour système pouvait rendre un malware inefficace, PromptSpy, en utilisant des instructions générées par l’IA, peut trouver la bonne séquence d’actions pour atteindre ses objectifs.
Les capacités techniques et les risques concrets
La composante Gemini accentue le danger : en interrogeant un modèle de langage, le malware peut, par exemple, déterminer comment désactiver des protections natives sur un modèle spécifique, repérer l’emplacement d’un bouton « exporter » dans une app bancaire, ou traduire des libellés d’interface locale pour mieux cibler l’utilisateur. La menace réelle n’est pas seulement la sophistication technique, mais l’efficacité accrue des campagnes malveillantes et la rapidité avec laquelle elles peuvent se déployer sur des types d’appareils auparavant plus résistants.
Quel est le niveau de menace aujourd’hui ?
Google a rapidement communiqué pour rassurer : aucune application contenant PromptSpy n’a été trouvée dans le Play Store, et Play Protect protège les appareils en bloquant les variantes connues. De plus, ESET a partagé ses découvertes avec Google avant publication, ce qui a permis d’agir de manière coordonnée. Concrètement, le risque immédiat reste limité si l’utilisateur respecte les bonnes pratiques : n’installer que des applications issues de sources vérifiées, maintenir le système à jour, et activer Play Protect.
Cependant, l’aspect imprévisible demeure : PromptSpy montre qu’un malware peut utiliser des services d’IA publics via des API pour augmenter son efficacité. Si ces services ne restreignent pas rigoureusement certains usages (taux d’appel, nature des prompts acceptés, détection d’automatisation abusive), ils peuvent être exploités par d’autres acteurs malveillants pour automatiser des campagnes d’hameçonnage, d’escroquerie ciblée (spear‑phishing) ou d’intrusion plus invasive.
Quelles mesures prennent les acteurs techniques ?
Ce que doivent faire les utilisateurs
Implications à moyen terme : une course entre offense et défense
PromptSpy marque un tournant : l’IA n’est plus seulement un outil d’optimisation pour les entreprises ou de création de contenu, elle devient un multiplicateur pour des acteurs malveillants. Cela transforme la dynamique de la cyberdéfense : il ne suffit plus d’analyser des signatures statiques ; il faut développer des moyens pour détecter des comportements adaptatifs, surveiller les patterns d’usage d’API tierces, et limiter l’usage abusif des services d’IA par des mécanismes d’authentification et de tarification adaptés.
Le mieux est encore une coopération renforcée entre les géants de l’IA, les éditeurs d’OS, les acteurs de cybersécurité et les fournisseurs de services cloud. Les incidents comme PromptSpy montrent que la menace évolue vite — et que la riposte doit être tout aussi rapide et coordonnée. En attendant, la prévention individuelle et la prudence restent des remparts indispensables contre ce type de menaces émergentes.
