Selon l'équipe de recherche Cisco Talos, relayée le 1er novembre 2026 par Tom's Hardware puis le 2 novembre par The Hacker News, un logiciel malveillant pour Windows baptisé VOLTA-AUTODOXER (ou simplement VOLTA) ajoute une étape inhabituelle au vol de données : il envoie le dossier constitué sur la victime à un modèle d'intelligence artificielle, qui estime ce que ses informations valent sur le marché criminel. Ce type de programme s'appelle un « infostealer », littéralement un voleur d'informations : il collecte mots de passe, cookies de navigateur et autres secrets stockés sur un ordinateur.
Ce que le programme vole et comment il profile sa victime
D'après The Hacker News, VOLTA récupère les mots de passe et cookies des navigateurs fondés sur Chromium, des données Outlook et Slack, des cartes de paiement, des phrases de récupération de portefeuilles de cryptomonnaies, des sessions Discord, Telegram, Steam et Roblox, des jetons d'authentification Microsoft, des clés SSH et de fournisseurs de cloud, des profils Wi-Fi et des captures d'écran. Il assemble ensuite un « dossier de preuves » : localisation, adresse du domicile, employeur, année de naissance estimée, quatre derniers chiffres de carte, et même une estimation de la valeur d'un compte Roblox.
Pour confirmer l'adresse, il peut, grâce à des sessions volées, chercher dans la messagerie Gmail de la victime des reçus de commerces et de services de livraison (Amazon, DoorDash, Uber Eats, Walmart ou PayPal, entre autres, cités par The Hacker News).
Le rôle de l'IA : un « analyste » qui attribue une valeur
Le dossier est envoyé à un modèle de langage via OpenRouter, un service qui sert d'intermédiaire entre de nombreux modèles. Un message d'instruction d'environ 240 mots lui demande de se comporter en analyste du renseignement et de produire deux sections : « ce qu'ils valent » (biens classés en valeur faible, moyenne ou élevée) et une évaluation de la sécurité personnelle de la victime, notamment ses habitudes de mots de passe.
Le modèle choisi par défaut est Claude Opus 4.6 d'Anthropic, un modèle publié en février selon Tom's Hardware. Si la réponse est un refus, le programme le détecte à des formules types et se rabat sur d'autres modèles : Kimi K2, de Moonshot AI, puis Gemini 2.5 Flash, de Google. Selon Tom's Hardware, le logiciel règle aussi le paramètre « temperature » à 0,2, un réglage qui rend les réponses plus stables, la valeur de référence étant 1,0. Les données et l'analyse partent ensuite vers un canal Telegram. L'étape d'IA est facultative : selon Tom's Hardware, sans clé d'accès à OpenRouter, le programme envoie quand même le dossier sur Telegram, sans l'analyse.
Ce que les chercheurs en concluent
Cisco Talos, cité par The Hacker News, décrit VOLTA comme un logiciel déjà mature auquel une couche d'IA a été ajoutée tardivement. Pour Talos, l'apport est surtout un « déplacement d'effort » : l'IA épargne à l'opérateur criminel un travail d'analyse, plutôt qu'elle n'accélère ou ne démultiplie les attaques. Le modèle de fabrication, avec six emplacements à remplir au moment de la compilation, laisse penser à une vente en kit ou à des exécutables compilés à la commande, dont les clients pourraient utiliser la fonction de dossier sans la développer. Ce point est une inférence, non un fait établi.
Les articles ne disent ni qui est derrière VOLTA, ni comment il infecte les ordinateurs, ni quelle a été la réaction des éditeurs d'IA cités. Les refus de Claude ne sont donc pas documentés dans ces comptes rendus, et on ignore combien de victimes sont concernées.
Ce que cela change pour vous
Rien dans cette affaire ne signifie que les assistants d'IA eux-mêmes sont piratés : ils sont ici détournés comme prestation, appelés par un programme déjà installé. Les mesures de protection restent donc celles qui limitent le vol de données.
- Dans une entreprise, des règles de contrôle des applications qui bloquent le lancement de Chrome en mode « headless » (sans fenêtre visible) peuvent bloquer le contournement du chiffrement des données de Chrome (App-Bound Encryption) employé par VOLTA, précise Tom's Hardware, sans arrêter les autres vols ni l'envoi des données.
- Tom's Hardware recommande, après une infection, de révoquer ou renouveler les clés d'API et jetons, de changer les mots de passe et, si une phrase de récupération de portefeuille était stockée en clair, de transférer les fonds vers un nouveau portefeuille.
À retenir
- Cisco Talos documente VOLTA-AUTODOXER, un voleur de données Windows qui utilise des modèles d'IA pour classer les victimes selon leur valeur.
- Le modèle par défaut est Claude Opus 4.6 ; en cas de refus, le programme bascule vers Kimi K2 puis Gemini 2.5 Flash.
- L'IA est optionnelle : le vol de données a lieu même sans elle.
- Après une infection, il faut révoquer clés et jetons et changer les mots de passe ; un contrôle des applications peut bloquer une des méthodes de vol.
- L'attribution, la méthode d'infection et l'ampleur des victimes ne sont pas précisées dans les sources consultées.
Pour structurer l'usage de l'IA et de l'automatisation en entreprise avec de bons réflexes de sécurité, voir Automatiser avec l'IA sans code.
Sources
- New VOLTA Infostealer Uses Claude, Gemini, and Kimi AI to Rank Victims by Financial Value — The Hacker News, 2 novembre 2026
- New AI-driven Windows malware feeds stolen data to Claude to rank victims' assets by value, then deletes itself — Tom's Hardware (via Yahoo Tech), 1er novembre 2026