Une entreprise américaine de cybersécurité a conçu un ver informatique capable de prendre le contrôle d'un compte WeChat dès que le téléphone de la victime sonne, sans qu'elle décroche. Tencent, propriétaire de WeChat, a corrigé la faille fin août. D'anciens spécialistes du renseignement américain redoutent désormais une escalade dans le cyberespace.
Si vous utilisez WeChat, vous pourriez donner l'accès à votre compte sans faire le moindre clic, juste via un appel manqué d'un contact piraté.
Des chercheurs de la société Calif ont reproduit ce scénario cet été, en conditions contrôlées. La société est plus habituée aux test de solidité des défenses numériques pour le compte de grandes entreprises technologiques.
Ceci dit, son équipe a mis au point WeWorm. Ce ver exploite une faille de mémoire dans le système d'appels vocaux de WeChat. Il prend le contrôle du compte visé pendant la sonnerie, avant même que la victime ne réponde. Le compte détourné appelle ensuite les contacts de la victime. Ceux-ci sont infectés à leur tour, et la contagion se propage de proche en proche.
WeChat compte 1,4 milliard d'utilisateurs actifs par mois, principalement en Chine et dans les communautés chinoises de la diaspora.
L'équipe de Calif a construit son exploit en deux semaines à l'aide de l'intelligence artificielle
La faille a été repérée mi-juillet. L'équipe de recherche a alerté Tencent 10 jours plus tard, puis a construit un premier exploit fonctionnel sur Android moins d'une semaine après, à la fin du mois et début août pour iOS.
Le ver complet était opérationnel le 11 août et pouvait alors se propager de compte en compte sans intervention humaine. Pour accélérer chaque étape, les chercheurs de Calif ont eu recours à plusieurs modèles d'intelligence artificielle. Ils ont néanmoins choisi eux-mêmes les cibles et vérifié chaque résultat produit par ces outils avant de l'intégrer à l'exploit.
Cette entreprise consacre une partie de son activité à la recherche de vulnérabilités dans les systèmes d'intelligence artificielle. Elle publie ensuite librement ses résultats, sans mandat d'aucun gouvernement. Tencent a corrigé le problème le 28 août, à la fois dans l'application et sur ses serveurs, avant toute divulgation publique.
L'entreprise indique n'avoir constaté aucune preuve qu'un compte réel ait été compromis. La réputation sécuritaire de WeChat est néanmoins fragile. Comme on vous en avait parlé dans un article sur les tentatives de phishing qui redirigent vers l'application, leur part dans les e-mails frauduleux détectés est passée de 0,04 % à un pic de 5,1 % en novembre 2025.
D'anciens spécialistes du renseignement américain redoutent un engrenage dans le cyberespace
« Le ver WeChat est un incident extrêmement grave », a publié sur son compte X.com Ryan Fedasiuk, chercheur en politique de l'intelligence artificielle, qui affirme n'avoir vu aucune preuve que l'opération ait été autorisée par le gouvernement américain. Le journaliste Dustin Volz a rapporté, de son côté, les propos de Vinh Nguyen, ancien scientifique en chef des données à la NSA. Ce ver représentait, d'après lui, l'une des cyberattaques les plus préoccupantes qu'il ait jamais vues, et pouvait toucher des centaines de millions d'appareils en quelques heures.
Ryan Fedasiuk a relié cet épisode à Superintelligence Strategy, un rapport publié en 2025 par le chercheur Dan Hendrycks, l'ancien dirigeant de Google Eric Schmidt et l'entrepreneur Alexandr Wang. Ses auteurs proposent une doctrine de dissuasion mutuelle entre puissances rivales en intelligence artificielle, sur le modèle de la dissuasion nucléaire. Si un pays tentait de prendre une avance décisive, ses rivaux menaceraient de saboter ses systèmes pour l'en empêcher.
Les auteurs recommandent aussi de suivre la circulation des puces électroniques les plus avancées et de protéger les paramètres des modèles les plus puissants avec le même niveau de sécurité que des secrets d'État.
« Plus que jamais, il est important que les deux parties maintiennent un canal de communication ouvert et privilégient le partage proactif d'informations non sensibles sur les capacités de l'IA », a écrit Ryan Fedasiuk.
