Le cabinet de sécurité Zimperium montre comment des agents d'intelligence artificielle peuvent mener seuls toute une attaque contre une application mobile, du rootage du téléphone jusqu'à la fraude à grande échelle. Une simple demande en langage courant suffit, sans aucune compétence technique.
Pirater une application protégée demandait autrefois des années d'expertise en rootage et en rétro-ingénierie. Mais les choses ont bien changé et les experts en sécurité de Zimperium montrent comment des frameworks agentiques comme OpenClaw ou Hermes suppriment cette barrière, en laissant une IA exécuter chaque étape à la place de l'attaquant.
Une attaque pilotée de bout en bout par de simples instructions
Contrairement au chatbot, une IA agentique ne se contente pas de répondre. Elle planifie une tâche, agit, observe le résultat et corrige sa méthode jusqu'à atteindre son but, sans intervention humaine. Appliquée au piratage mobile, elle lit l'écran du téléphone comme un utilisateur réel, grâce aux fonctions d'accessibilité pensées pour les malvoyants, à une capture d'écran et à un outil de reconnaissance de texte. Elle remplit un formulaire, valide une autorisation ou crée un compte exactement comme une personne, sans jamais passer par les serveurs de l'application.
Et puis il y a la prise de contrôle du téléphone. Il n'y a pas si longtemps, rooter un Android ou débrider un iPhone exigeait de choisir la bonne faille pour chaque modèle, puis de cacher ces modifications aux vérifications du système, au risque de briquer l'appareil. L'agent choisit désormais seul la méthode et la technique de camouflage. Si l'application visée est mal protégée, il peut même s'en passer. Il récupère le fichier d'installation, y glisse des outils d'instrumentation pour observer et modifier son fonctionnement, puis le réinstalle sur un téléphone resté d'origine.
Sur une application mieux protégée, l'agent combine deux méthodes. Il lit le code sans l'exécuter pour repérer l'obfuscation et les protections anti-sabotage, puis observe le programme en fonctionnement avec des outils comme Frida, capables d'intercepter ses fonctions en direct. Une fois la faille trouvée, elle devient un script réutilisable, lancé en parallèle sur plusieurs émulateurs. Un piratage isolé se transforme alors en fraude à grande échelle. Même une mise à jour de l'application ne change pas grand-chose. Régénérer l'attaque ne coûte presque rien à l'agent.
Zimperium avait déjà repéré cette automatisation sur le terrain. Nous rapportions récemment la découverte de RatHat, un malware bancaire Android capable d'interpréter seul l'écran pour voler des codes et des identifiants, et de se réinstaller après sa suppression.
