C’est un article au titre intraduisible en français.

« Everything I own, owned » joue sur le double sens de owned. Dans le jargon du hacking, le mot ne renvoie pas à la possession, mais à la compromission d’un système et à sa prise de contrôle au détriment de son propriétaire légitime. C’est précisément l’expérience que raconte le chercheur en sécurité Chaz Schlarp.

Dans un article publié le 23 août 2026, il explique avoir confié à un agent IA basé sur Claude Opus 5 une tâche de rétro-ingénierie : analyser les firmwares et mécanismes de mise à jour de cinq périphériques déjà présents sur son bureau : webcam, moniteur, microphone, carte d’acquisition vidéo et lampe Wi-Fi.

Surfshark One à partir de 2,49€ / Mois !

Jusqu’au 7 septembre, Surfshark surclasse tous ses nouveaux clients ! La suite de cybersécurité complète + VPN débarque au prix de la formule de base, soit 2,49€ par mois seulement. VPN, antivirus, bloqueur de pub à prix mini !

Le résultat ne prouve pas que n’importe qui peut désormais transformer n’importe quel objet connecté en implant malveillant. Mais il donne une idée préoccupante de ce qui se profile à mesure que les agents IA rendent la rétro-ingénierie plus rapide, moins coûteuse et plus accessible.

Comportement de la LED d’une caméra, avant et après le piratage. // Source : Via schlarp.com

Une expérience de deux semaines

La méthode varie peu d’un appareil à l’autre : récupérer le firmware et l’outil de mise à jour du fabricant, les confier à l’agent avec quelques objectifs (décortiquer le protocole de mise à jour, recenser les fonctions cachées et examiner les protections) puis le laisser confronter ses hypothèses à l’appareil physique, connecté en direct.

« Au total, les cinq appareils ont nécessité environ 13 heures de travail effectif de l’agent et 98 messages de ma part, répartis sur deux semaines de soirées », écrit Chaz Schlarp.

Les résultats sont impressionnants :

• Webcam Insta360 Link : l’agent a désactivé le voyant lumineux d’enregistrement en modifiant la table qui définit les comportements de la LED dans le firmware.
• Micro Shure MV7 : l’agent a découvert que l’appareil exposait un shell de commandes en clair comptant 48 instructions. Accessible depuis une page web, il a notamment donné accès au contrôle des LED et même à des opérations de lecture et d’écriture mémoire.
• Moniteur ASUS ROG Swift PG42UQ : le mécanisme de mise à jour repose sur deux emplacements de firmware et une simple somme de contrôle, ce qui permet théoriquement de le modifier sans contrainte cryptographique. Le chercheur précise cependant ne pas avoir encore osé flasher son écran, trop cher pour prendre le risque de l’endommager.
• Carte d’acquisition Elgato Cam Link 4K : même constat, aucun contrôle de sécurité notable ne protège la chaîne de mise à jour.
• Lampe Elgato Key Light Mini : le seul périphérique à vérifier cryptographiquement les mises à jour. Mais cette vérification n’intervient qu’à la mise à jour, sans contrôle d’intégrité au démarrage. Une simple commande envoyée à la lampe sur le réseau local permettait de contourner la protection des mises à jour et d’y installer un logiciel modifié.

L’effondrement du coût d’entrée

Au-delà de ces résultats, l’auteur en tire une conclusion qui dépasse largement le cadre de son expérience. « Cela m’inquiète pour plusieurs raisons », écrit-il.« Je partirais désormais du principe que n’importe quel périphérique connecté à un ordinateur peut être infecté par un logiciel malveillant. Auparavant, cela aurait exigé un investissement considérable et aurait été perçu comme une activité réservée à des acteurs étatiques. »

Le chercheur reconnaît aussi le potentiel positif de cette approche. L’IA peut faciliter l’interopérabilité, aider à diagnostiquer des dysfonctionnements et rendre des appareils abandonnés à nouveau réparables ou modifiables.

Mais elle change aussi l’échelle du problème, des équipements jusqu’ici obscurs, fermés ou difficiles à analyser deviennent, en quelques heures, plus accessibles grâce à des outils automatisés peu coûteux.

« Je ne peux m’empêcher de penser à ce qu’un ver informatique doté d’une IA, capable de mener automatiquement une rétro-ingénierie, pourrait faire aujourd’hui », prévient-il.

Un édito exclusif, un guide, une reco de lecture et l’agenda de la rédaction : c’est ce que vous trouverez tous les jeudis dans ToujoursPlus, la newsletter tech écrite par Julien Cadot. Inscrivez-vous gratuitement ici !