Un nouveau malware pour Windows demande à une IA combien valent ses victimes. Baptisé VOLTA, cet voleur d'informations, ou infostealer, fait analyser les données volées par Claude, et prévoit même d’autres modèles en cas de refus.
Un malware qui vole vos données, puis demande à une intelligence artificielle de calculer votre valeur marchande, voilà qui a de quoi choquer, mais qui fin 2026, n'est même plus étonnant. Quoi qu'il en soit, VOLTA, le nom de cet infostealer, ne se contente plus de piller un ordinateur, il fait aussi juger son butin par une machine. Autrement dit, un voleur d'information disons traditionnel vole des données et les envoie au pirate, qui doit ensuite trier lui-même ce qu'il a récupéré. VOLTA ajoute une étape, car avant d’envoyer quoi que ce soit, il fait analyser ce qu’il a volé par une IA, qui dit au pirate ce que la victime « vaut » et ce qui est le plus rentable à exploiter.
Repéré par Cisco Talos dans un rapport publié le 31 octobre 2026, ce programme pour Windows fouille jusque dans vos reçus de commande pour reconstituer votre quotidien, avant de soumettre le dossier à un modèle de langage. Et si l'IA sollicitée a le mauvais goût de refuser la besogne, il frappe simplement à la porte d'à côté, vers d'autres modèles.
Un infostealer trop curieux, qui lit jusqu'à vos tickets de caisse
Sur le papier, VOLTA coche toutes les cases du voleur de données classique. Il se nourrit de tout, qu'il s'agisse des cookies des navigateurs, mots de passe, cartes bancaires enregistrées, phrases de récupération de portefeuilles crypto, sessions Telegram, Discord, Steam ou Roblox, et ce jusqu'aux profils Outlook, Thunderbird et Slack. Il emporte aussi les jetons de connexion Microsoft, les clés SSH et d'accès au cloud, des captures d'écran, et le mot de passe de chaque réseau Wi-Fi enregistré sur le PC, en clair. Les portefeuilles crypto protégés par un mot de passe ? Figurez-vous qu'il tente de les craquer sur place.
C'est ensuite que les choses deviennent franchement intrusives. Muni de vos propres accès, VOLTA ouvre votre boîte Gmail pour y dénicher les reçus d'Amazon, PayPal, Uber Eats, DoorDash, Grubhub et Walmart, histoire de confirmer votre adresse postale. Il réclame directement l'historique de vos commandes à Uber Eats et DoorDash, avec vos propres sessions, enrichit votre profil Discord grâce au jeton dérobé et fait même estimer la valeur de votre inventaire Roblox par un site spécialisé. Votre dernier burger livré devient un peu comme une pièce à conviction.
Toutes ces trouvailles finissent dans une véritable fiche de police, enregistrée sous le nom Identity_Report.txt. On y retrouve tout un tas d'éléments, avec votre localisation et votre adresse, votre employeur et le nom de domaine de votre entreprise, comme celui de votre adresse mail professionnelle, votre année de naissance probable et les quatre derniers chiffres de votre carte bancaire. Mais aussi les espaces de la messagerie de groupe Slack auxquels vous êtes connecté, le nom d'auteur que les logiciels de bureautique glissent discrètement dans vos documents, ou encore la trace d'une sauvegarde d'iPhone sur le PC. Shane Barney, responsable de la sécurité des systèmes d'information chez Keeper Security, nous alerte en nous disant que « VOLTA montre que l'IA est utilisée pour évaluer la valeur des identités volées ». Car ce dossier a un premier lecteur, et vous allez voir qu'il n'est pas humain.
Une IA promue analyste du crime
Le dossier est transmis à un grand modèle de langage en passant par OpenRouter, qui est une plateforme qui donne accès à de nombreuses intelligences artificielles du marché. La consigne est de se comporter en analyste du renseignement forensique et de rédiger une évaluation de la cible. Le rapport attendu détaille ce que vaut la victime, ses biens étant classés selon leur potentiel de monétisation, de faible à élevé, puis juge sa prudence numérique, mots de passe compris. La « température » du modèle, qui règle sa part d'improvisation, est fixée très bas, à 0,2, signe, selon Talos, que l'auteur mise sur des réponses précises et constantes, plutôt que sur la créativité.
L'IA doit aussi jouer les détectives en reliant des indices dispersés. Si un mot de passe reprend votre nom, votre adresse ou le nom de votre ancienne université, par exemple, elle est censée le repérer, c'est une information précieuse pour un pirate. On ne lui demande donc plus seulement de trouver des données, mais d'en tirer des conclusions. Talos parle d'« effort displacement », un déplacement de l'effort. Le tri fastidieux des données volées, jusqu'ici fait à la main par un humain, est confié à la machine. Shane Barney le résume d'une formule : « l'IA remplace l'analyste humain ». Les chercheurs le soulignent, le malware ne vole ni plus vite ni davantage. Il épargne surtout du travail à l'escroc, qui reçoit un dossier argumenté plutôt qu'une montagne de fichiers bruts.
Le détail le plus savoureux porte sur la gestion des refus. Le modèle appelé par défaut est Claude Opus 4.6, d'Anthropic. Le malware guette dans sa réponse des formules comme « I can't », pour Je ne peux pas, ou « I'm not able », Je ne suis pas capable, et, s'il en repère une, il se tourne vers Kimi K2, de Moonshot AI, puis vers Gemini 2.5 Flash, de Google. On comprend donc que l'auteur du logiciel malveillant s'attendait à buter sur des garde-fous. Il a donc prévu des modèles plus petits, et plus conciliants. Talos ne dit pas, en revanche, si l'une de ces IA a effectivement accepté la besogne.
L'IA reste d'ailleurs en option ici. Pour y accéder, l'acheteur du malware doit fournir sa propre clé d'API, une sorte de code d'accès aux modèles d'IA. Sans elle, VOLTA vole et transmet les données comme n'importe quel infostealer, simplement sans le tri.
Un malware en kit, et les réflexes pour lui fermer la porte
L'autre élément notable, c'est que VOLTA a tout, selon Talos, d'un produit vendu clé en main. Son code prévoit en effet six emplacements que l'acheteur remplit à la compilation, dont sa clé d'API et son canal Telegram. Ces paramètres sont chiffrés, mais de façon surtout cosmétique. Un client même peu aguerri reçoit ainsi les fiches de ses victimes dans sa messagerie, en plusieurs archives : le butin brut d'abord, puis le verdict de l'IA, consigné dans un fichier AI_Analysis.txt. Aucun serveur n'appartient à l'attaquant, et l'appel à l'IA passe par la connexion internet de la victime, depuis sa propre machine. Le programme, lui, finit par s'effacer.
Si vous pensiez que le risque s'arrêtait à la vie privée des victimes, ce qui est déjà beaucoup, VOLTA va encore plus loin, car il touche aussi les entreprises. Parmi les données volées figurent notamment des jetons Microsoft, les espèces de badges numériques qui gardent une session ouverte sans redemander le mot de passe, des clés d'accès au cloud et des espaces Slack. De quoi ouvrir la porte des systèmes d'une société. Shane Barney rappelle que les infostealers servent souvent de première étape à une attaque par rançongiciel ou à un chantage aux données, car « un identifiant ou un jeton de session volé peut se faire passer pour l'accès d'un utilisateur légitime ».
L'expert cyber recommande le zero trust, qui consiste à ne jamais accorder sa confiance par défaut à une connexion, et le moindre privilège, qui limite chaque accès au strict nécessaire. Il invite aussi à « traiter chaque identifiant et chaque session présents sur un terminal comme une cible de grande valeur ». Talos conseille enfin de surveiller les lancements de Chrome en mode invisible, sans fenêtre à l'écran, puisque c'est par ce biais que VOLTA contourne le chiffrement qui protège notamment les cookies de Chrome.
Pour les particuliers, il y a quelques bons réflexes à adopter. Il ne faut par exemple jamais stocker sa phrase de récupération crypto dans un simple fichier. Il est nécessaire d'activer la double authentification pourtant où il n'y est pas encore et, au moindre doute, déconnecter toutes ses sessions et changer ses mots de passe. Si une phrase de récupération a fuité, Talos recommande de transférer les fonds vers un nouveau portefeuille créé sur un appareil hors ligne. Pensez aussi que même effacé, VOLTA peut laisser derrière lui un journal, volta_debug.txt, dans le dossier AppData, qui liste ce qui a été dérobé et indique si l'appel à l'IA a abouti. Pour le coup, mieux vaut le conserver. Les voleurs ont appris à déléguer ; aux victimes d'apprendre à verrouiller désormais.
