CrowdStrike affirme que les leads déclenchés par l’IA ont bondi de 2,5x. Le chiffre compte son propre produit, pas les attaquants.

CrowdStrike a publié son 2026 Threat Hunting Report le 3 août, à partir de ses propres renseignements et des données de télémétrie OverWatch pour le premier semestre de l’année. Adam Meyers, qui dirige les opérations de contre-adversaire, a présenté le rapport ainsi : « l’IA est à la fois l’arme et la cible ».

Le chiffre qui résiste à l’examen

Lorsqu’il existe une preuve de concept publique, 88 % des exploitations observées par CrowdStrike ont eu lieu dans les 48 heures suivant la publication. Deux groupes liés à la Chine, VAULT PANDA et GENESIS PANDA, ont exploité une faille critique d’application web en moins de 24 heures après sa divulgation. Dans la campagne React2Shell, OverWatch a traité plus de 800 leads de chasse sur plus de 80 victimes en quatre jours. Les chiffres de la chaîne d’approvisionnement sont tout aussi précis : 87 % des menaces visant les registres logiciels au premier semestre impliquaient des paquets npm, et des acteurs liés à la Corée du Nord ont empoisonné 131 paquets de frameworks IA de confiance ainsi que plus de 300 dépendances en une seule journée.

Le chiffre qui ne veut pas dire ce qu’il prétend dire

La formule présentée comme la preuve que les attaques pilotées par l’IA ont augmenté de 2,5x dit en réalité autre chose : la détection déclenchée par agent fait désormais remonter 2,5 fois plus de leads de menace que l’activité lancée manuellement. Les deux termes du ratio relèvent de CrowdStrike. Cela décrit à quel point sa propre chasse agentique génère du bruit. L’entreprise a lancé la protection Falcon pour les agents Copilot Studio et Claude Code quatre jours avant la publication.

Vérifiez le dénominateur

Le 88 % correspond à 88 % des exploitations observées par CrowdStrike, sur des vulnérabilités qui disposaient déjà d’un code d’exploitation public — et non de l’ensemble des vulnérabilités, ni d’une population que quiconque en dehors de sa base installée pourrait auditer. Aucune méthodologie n’accompagne la publication. Une « hausse de 89 % de l’activité d’attaque assistée par machine » citée dans des reprises secondaires n’apparaît pas sur la page du rapport de CrowdStrike.

Ce que signifie vraiment LLMJacking

Une campagne a lancé près de 200 000 requêtes de modèle en deux minutes. Il s’agit de credentials d’entreprise volés, siphonnés pour le calcul — un vol de ressources, régulièrement rebaptisé attaque pilotée par l’IA.