Un ver Zero-Click construit par l'IA pourrait pirater des comptes WeChat par appel téléphonique - Tencent l'a discrètement corrigé

Des chercheurs de la société de sécurité Calif ont démontré un ver auto-propagable capable de prendre le contrôle d'un compte WeChat par le biais d'un simple appel entrant : la cible n'a jamais besoin de répondre, d'appuyer sur un lien ou de toucher le téléphone. La société affirme que l’intelligence artificielle l’a aidée à trouver le bug sous-jacent et à écrire le premier exploit fonctionnel en deux jours environ.

La démonstration, rapportée le 8 septembre par The Hacker News et le New York Times, montre à quel point l’IA réduit considérablement le délai de développement d’outils d’attaque sérieux. Aucune attaque utilisant cette faille n'a été signalée, et Tencent affirme que l'exploit a été bloqué pour tous les utilisateurs depuis fin août – mais comme AI security news l'a relaté tout au long de 2026, l'exploitation accélérée par l'IA passe de la théorie à la pratique.

Un ver qui se propage en sonnant

L'attaque fonctionne via la fonction d'appel de WeChat. Le ver prend le contrôle du compte WeChat de la victime lorsque son téléphone reçoit un appel de l'attaquant, même si l'appel reste sans réponse et même si le téléphone sonne simplement sur une table de l'autre côté de la pièce. Répondre n'aide pas : Calif dit que la victime n'entend rien et que l'exploit réussit toujours. Refuser l’appel arrête cette tentative, mais un attaquant peut simplement réessayer plus tard, par exemple pendant que la cible dort.

Il y a une contrainte : l'appelant doit déjà être l'un des contacts WeChat de la cible. Calif affirme que cela ne constitue guère une barrière en pratique, car une fois qu'un contact est compromis, la confiance supplémentaire que WeChat accorde à la communication contact à contact joue en faveur de l'attaquant. Chaque compte piraté devient un nouveau point de lancement.

La démonstration a montré exactement cette réaction en chaîne. Un téléphone Android a appelé un iPhone et a repris son compte WeChat alors que le téléphone sonnait encore. L’iPhone nouvellement compromis a ensuite appelé un deuxième téléphone Android et en a pris le contrôle de la même manière.

Une fois l'exploit exécuté, l'attaquant prend le contrôle total du compte WeChat : il lit et envoie des messages, passe des appels et agit en tant que propriétaire du compte. Le contrôle du téléphone lui-même n'est pas inclus, mais pour une application dont la liste unique couvre les paiements, les comptes officiels et les mini-programmes, le piratage de compte est une issue sérieuse en soi. Tencent a signalé un total combiné de 1,439 milliard d'utilisateurs actifs mensuels pour WeChat et Weixin au 30 juin 2026.

La chronologie accélérée par l'IA

Le détail le plus important est peut-être la rapidité avec laquelle tout cela s’est réalisé. Selon Calif, son équipe a travaillé avec l'IA pour découvrir le bug et produire le premier exploit capable d'exécuter du code sur un téléphone en deux jours environ ; la construction du ver a pris encore une semaine.

Le calendrier publié par l'entreprise est plus conservateur mais néanmoins frappant : son équipe d'ingénieurs a identifié le bug le 23 juillet, a réalisé le premier exploit Android le 30 juillet et a démontré le fonctionnement du ver le 11 août.

Les chercheurs en sécurité préviennent depuis deux ans que de grands modèles de langage réduiraient les obstacles au développement de l'exploitation. Ce cas est un point concret : l’IA n’a pas remplacé les ingénieurs, mais elle a sensiblement accéléré à la fois la découverte des vulnérabilités et la militarisation.

La solution silencieuse de Tencent

Calif a signalé la faille à Tencent en juillet. La société affirme que Tencent a depuis atténué l'exploit pour tous les utilisateurs et que le 28 août, elle a confirmé que le blocage était appliqué sur les serveurs de Tencent, ce qui signifie que la protection ne dépend pas de l'installation de quoi que ce soit par les utilisateurs.

Tencent a livré la version 8.0.77 de WeChat pour Android et 8.0.76 pour iOS le 21 août, selon son propre journal de versions, et ces versions ont atténué le bug par Californie. Notamment, Tencent n'a publié aucun avis de sécurité concernant la faille. Ses notes de version décrivent les mises à jour uniquement comme des corrections de bogues, et aucun identifiant CVE n'avait été attribué au 8 septembre. Hacker News a contacté les deux sociétés pour commentaires.

Aucune des deux sociétés n'a indiqué quelles versions de WeChat étaient concernées, si la faille s'étendait aux clients WeChat sur HarmonyOS, Windows, Mac ou Linux, ou si elle avait déjà été exploitée dans la nature. Calif affirme qu'aucune attaque n'a été signalée et que les utilisateurs n'ont aucun moyen de vérifier s'ils ont été ciblés, puisqu'un appel manqué qui échoue silencieusement peut ne laisser aucune trace.

Ce que cela signifie pour la sécurité mobile

Les attaques sans clic de cette classe sont principalement associées à des fournisseurs de logiciels espions disposant de ressources suffisantes et opérant contre un petit nombre de cibles de grande valeur. Un ver – un code d’attaque qui se propage de victime en victime – modifie le calcul, car il rend la même fonctionnalité potentiellement évolutive sur des centaines de millions de comptes. Le New York Times, citant des experts, a rapporté que l'attaque aurait pu, en principe, compromettre un nombre considérable d'appareils en quelques heures si elle avait été utilisée de manière malveillante.

Calif ne divulgue pas les détails techniques de la vulnérabilité et du ver jusqu'à ce qu'elle puisse présenter l'analyse complète lors d'une conférence sur la sécurité, et elle n'a publié rien de ce que les défenseurs pourraient rechercher. Cette restriction limitera les copieurs, mais elle laissera également l’écosystème plus large – d’autres applications de messagerie avec des architectures d’appel similaires – s’auto-auditer sans référence.

Pour les utilisateurs, les avantages pratiques sont limités : le blocage côté serveur signifie qu’aucune action n’est requise, bien que l’exécution de la version actuelle de WeChat reste recommandée. Pour le secteur de la sécurité, les conclusions sont plus larges. Un flux de travail assisté par l'IA qui transforme un point de départ en un ver fonctionnel sans clic en moins de trois semaines n'est plus une expérience de pensée : il s'agit d'un pipeline documenté et démontré.

Gardez une longueur d'avance sur l'IA

Suivez les dernières nouveautés en matière de sécurité, d'utilisation abusive et de défense de l'IA sur AI Buzz Wire.

Lire plus d'actualités sur l'IA →