Mots de passe et IA : pourquoi PassGAN impose de mieux protéger ses comptes

Un mot de passe tel que « Azerty123 » n’a jamais été une bonne barrière. L’arrivée d’outils d’intelligence artificielle capables d’apprendre les habitudes de choix humaines rend ce type de code encore plus fragile. Le sujet ne se résume pourtant pas à une machine qui « lit » instantanément tous les secrets : l’IA accélère avant tout une activité déjà connue des attaquants, la génération de tentatives crédibles contre des mots de passe trop prévisibles.

PassGAN est devenu l’un des exemples les plus souvent cités de cette évolution. Ce programme illustre une réalité essentielle de la sécurité numérique : les utilisateurs ne créent pas leurs mots de passe au hasard. Ils réemploient des prénoms, des années, des noms de services, des suites de chiffres et quelques substitutions convenues, comme remplacer un « a » par un « @ ». Lorsqu’un algorithme apprend ces régularités à partir de grandes collections de mots de passe divulgués, il peut prioriser les essais qui ont le plus de chances de fonctionner.

Pour les particuliers, l’enjeu est très concret. Une boîte mail compromise peut servir à réinitialiser d’autres comptes. Un mot de passe réutilisé peut ouvrir la voie à un compte marchand, un espace de travail ou un réseau social. La meilleure défense ne consiste donc pas à tenter d’être plus inventif qu’une machine, mais à retirer aux attaquants les avantages que leur donnent les mots de passe courts, communs ou recyclés.

Ce que fait vraiment PassGAN

PassGAN est présenté dans un travail de recherche comme une approche de devinette de mots de passe reposant sur les réseaux génératifs adversariaux, ou GAN. Ce type d’apprentissage met en concurrence deux réseaux : l’un génère des données candidates, l’autre tente de distinguer les productions artificielles de données réelles. Au fil de l’entraînement, le générateur apprend à fabriquer des propositions qui ressemblent davantage à l’échantillon dont il s’inspire.

Dans le cas des mots de passe, l’objectif n’est pas de connaître un individu ni de récupérer le mot de passe conservé par un site. Il s’agit de produire une liste ordonnée de candidats plausibles : des combinaisons de caractères qui reflètent les habitudes observées dans des jeux de données de mots de passe déjà exposés. Cette nuance est capitale.

Un mot de passe ne se « déchiffre » pas nécessairement. Les services correctement conçus ne doivent pas stocker les mots de passe en clair. Ils en conservent une empreinte calculée avec une fonction adaptée, appelée hachage. Lors d’une attaque hors ligne, après le vol d’une base d’empreintes par exemple, l’assaillant essaie des candidats, calcule leur empreinte et compare le résultat. Plus le secret est simple et prévisible, plus il risque d’apparaître tôt dans la liste des essais.

Les chiffres souvent associés à PassGAN, notamment la capacité à retrouver plus de 50 % des mots de passe analysés, doivent donc être lus avec prudence. Un tel résultat dépend du jeu de données, de la puissance de calcul, du temps accordé à l’attaque et, surtout, de la qualité initiale des mots de passe testés. Il ne signifie pas que plus d’un mot de passe sur deux, sur n’importe quel service et dans n’importe quelles conditions, tombe en quelques secondes.

Pourquoi l’IA rend les mauvais mots de passe plus vulnérables

Les attaques par dictionnaire et par force brute existent depuis longtemps. La première teste des listes de mots, de prénoms et de combinaisons connues. La seconde explore méthodiquement de nombreuses possibilités. L’intelligence artificielle ajoute une capacité de tri : elle peut privilégier des constructions réalistes plutôt que de parcourir les combinaisons dans un ordre aveugle.

Cette efficacité touche particulièrement les secrets qui suivent des recettes humaines familières. Ajouter « 2025 » après le nom d’un animal de compagnie ou placer un point d’exclamation à la fin d’un mot courant donne l’impression d’une personnalisation. Or ce sont précisément des transformations que des outils automatisés peuvent apprendre et reproduire.

Le risque ne vient pas uniquement d’une attaque directe contre un site. Après une fuite de données, des criminels peuvent tenter les identifiants et mots de passe récupérés sur de nombreux services, une pratique souvent appelée bourrage d’identifiants. L’IA peut aider à enrichir ces listes avec des variantes probables. C’est la raison pour laquelle la réutilisation est si dangereuse : même un mot de passe assez robuste devient un point faible s’il a déjà été exposé ailleurs.

Les protections mises en place par les plateformes comptent également. Un service peut ralentir les tentatives répétées, imposer une vérification supplémentaire, détecter des connexions inhabituelles ou verrouiller temporairement un compte. Ces mécanismes rendent les attaques en ligne bien moins faciles que ne le laisse penser l’image d’une IA tentant des millions de combinaisons contre une page de connexion.

Les gestes qui protègent réellement vos comptes

La première règle est simple : un mot de passe différent pour chaque service. Elle paraît exigeante si l’on tente de mémoriser tous ses secrets, mais elle devient réaliste avec un gestionnaire de mots de passe. Cet outil génère des codes longs et aléatoires, les chiffre dans un coffre-fort et les remplit sur le bon site. L’utilisateur n’a alors plus qu’à retenir un mot de passe maître solide.

La publication d’origine recommande des codes d’au moins 12 caractères, mêlant lettres minuscules et majuscules, chiffres et caractères spéciaux. Cette recommandation reste un seuil pratique face aux codes courts et conventionnels. Dans les faits, la longueur et l’unicité sont généralement plus déterminantes que l’accumulation de symboles selon une recette fixe. Une phrase de passe longue, composée de plusieurs mots sans lien et non réutilisée, peut être plus facile à retenir et difficile à deviner qu’un mot court truffé de substitutions prévisibles.

Voici une méthode pragmatique pour reprendre le contrôle de ses accès :

• commencer par l’adresse e-mail principale, qui permet souvent de réinitialiser les autres comptes ;
• changer les mots de passe réutilisés, en priorité sur les services financiers, administratifs, professionnels et marchands ;
• activer l’authentification à deux facteurs partout où elle est proposée ;
• privilégier une application d’authentification ou une clé de sécurité lorsque le service le permet, plutôt que de dépendre uniquement des SMS ;
• surveiller les alertes de connexion et vérifier les appareils ou sessions encore ouverts dans les paramètres des comptes.

L’authentification à deux facteurs, aussi appelée MFA pour authentification multifacteur, ne rend pas un mot de passe invulnérable. Elle ajoute toutefois une seconde preuve, par exemple un code temporaire ou une validation sur un appareil. Un pirate qui connaît le mot de passe ne peut alors pas toujours se connecter.

Mots de passe ou passkeys : deux protections très différentes

Les passkeys, parfois appelées clés d’accès, proposent une évolution importante. Au lieu de transmettre un mot de passe à un site, l’appareil prouve cryptographiquement qu’il possède une clé associée au compte. L’utilisateur déverrouille cette opération avec son code d’appareil, son empreinte ou la reconnaissance faciale disponible localement. Le secret biométrique ne quitte pas l’appareil pour être envoyé au service.

Cette approche peut limiter le phishing et supprimer le problème des mots de passe réutilisés sur les services qui la prennent en charge. Elle ne dispense pas de protéger son appareil et son compte principal, mais elle réduit l’intérêt même d’un outil comme PassGAN contre un compte équipé de cette méthode.

Pourquoi les entreprises doivent aussi revoir leurs défenses

La responsabilité ne repose pas seulement sur les internautes. Les entreprises et administrations qui recueillent des identifiants doivent concevoir leurs services en tenant compte du fait que les attaques sont de plus en plus automatisées. Cela suppose de ne pas stocker les mots de passe en clair, d’utiliser des méthodes de hachage adaptées, de limiter les essais de connexion et de détecter les comportements anormaux.

L’intelligence artificielle peut aussi servir à la défense. Des systèmes de détection peuvent repérer une vague de tentatives depuis une même infrastructure, une succession d’échecs inhabituelle, des connexions depuis des emplacements incohérents ou des changements brusques de comportement. Cette surveillance doit être calibrée avec soin : elle ne remplace pas des bases techniques solides et ne doit pas conduire à multiplier les faux blocages pour les utilisateurs légitimes.

La sécurité d’un mot de passe dépend également de la manière dont il est traité par le service. Un internaute peut adopter une phrase de passe excellente, mais rester exposé si une plateforme néglige ses propres protections. Inversement, une plateforme sérieuse ne peut pas totalement compenser un code réutilisé et déjà divulgué. C’est pourquoi la protection est nécessairement partagée.

Quel rôle pour la réglementation sur les données personnelles ?

Les fuites de mots de passe et d’adresses e-mail rappellent que la cybersécurité est aussi une question de protection des données personnelles. En Europe, les règles encadrant les traitements de données imposent aux organisations de prendre des mesures de sécurité adaptées aux risques. L’encadrement plus large de l’intelligence artificielle participe au même débat : comment tirer parti de systèmes puissants sans faciliter les abus ni fragiliser les droits des personnes ?

Dans le cas précis des mots de passe, la règle la plus utile reste technique et organisationnelle : minimiser les données collectées, protéger rigoureusement celles qui sont nécessaires, prévenir les personnes concernées lorsqu’un incident l’exige et permettre l’adoption de moyens d’authentification plus sûrs.

Il serait trompeur d’attendre de la réglementation qu’elle neutralise à elle seule les outils de devinette. Les techniques utilisées par PassGAN sont issues de recherches publiques et les mots de passe faibles constituent une faiblesse ancienne. Les normes, les contrôles et les obligations de sécurité peuvent toutefois élever le niveau minimal de protection et inciter les organisations à abandonner des pratiques dépassées.

Ce qu’il faut surveiller

En mars 2025, la leçon de PassGAN est moins l’apparition d’une menace entièrement nouvelle que l’accélération d’un problème connu. Les attaquants disposent d’outils capables de faire varier, classer et tester les mots de passe avec davantage de rapidité. À mesure que ces outils progressent, les défenses qui reposent sur des secrets courts et mémorisés deviennent moins satisfaisantes.

Pour les particuliers, la priorité est claire : protéger l’e-mail principal, supprimer toute réutilisation, adopter un gestionnaire de mots de passe et activer l’authentification à deux facteurs. Pour les organisations, l’enjeu est d’ajouter des garde-fous contre l’automatisation, de protéger convenablement les identifiants et de déployer, lorsque c’est possible, des méthodes résistantes au phishing comme les passkeys.

L’IA peut faire gagner du temps à ceux qui attaquent, mais elle ne change pas la règle fondamentale : un secret long, aléatoire, unique et soutenu par une seconde vérification reste beaucoup plus difficile à exploiter. La sécurité numérique ne dépend pas d’un geste spectaculaire, mais d’une série d’habitudes simples, appliquées de façon constante.