Le risque n’est plus seulement de recevoir un faux SMS bancaire rédigé à la main. Visa se prépare désormais à une génération d’attaques capables d’utiliser des agents d’intelligence artificielle pour rechercher des failles, adapter leur stratégie et agir beaucoup plus vite.
Le groupe développe en parallèle ses propres agents défensifs afin de détecter et corriger les vulnérabilités à la vitesse des machines.
Sommaire
Quand la fraude passe de l’automatisation à l’autonomie
La fraude bancaire est déjà largement automatisée. Des criminels utilisent depuis longtemps des logiciels pour tester des cartes volées, envoyer des milliers de messages de phishing ou tenter de récupérer des identifiants.
L’intelligence artificielle ajoute cependant une nouvelle dimension. Un outil classique exécute généralement une série d’actions préparées à l’avance. Un agent IA peut, lui, analyser une situation, choisir l’étape suivante et modifier son comportement en fonction de ce qu’il rencontre.
Pour un fraudeur, cela pourrait permettre de repérer plus rapidement une faiblesse, de produire des messages d’usurpation plus crédibles ou de multiplier les tentatives sur plusieurs services. Une attaque qui nécessitait auparavant plusieurs interventions humaines peut donc devenir plus rapide et plus autonome.
Cela ne signifie pas que les agents IA détournent déjà massivement les comptes bancaires. Visa présente surtout cette évolution comme un risque auquel les infrastructures financières doivent se préparer.
Pourquoi Visa est particulièrement concerné
Visa se trouve au cœur d’une infrastructure utilisée à très grande échelle. Pour son exercice 2025, le groupe a comptabilisé environ 329 milliards de transactions Visa, traitées par son réseau ou d’autres réseaux, soit près de 901 millions par jour. Son volume total de paiements et retraits atteignait environ 17 000 milliards de dollars.
À cette échelle, une vulnérabilité informatique peut avoir des conséquences importantes. Mais le problème ne concerne pas uniquement Visa. Les paiements numériques reposent sur une chaîne d’acteurs : commerçants, banques, prestataires de paiement, applications, plateformes et systèmes d’authentification.
Un attaquant n’a donc pas nécessairement besoin de « pirater Visa ». Il peut chercher le maillon le plus faible : un compte marchand compromis, un faux site, un mot de passe volé ou un utilisateur trompé par un message convaincant.
Visa utilise aussi des agents IA pour se défendre
Pour répondre à cette accélération, Visa a développé le Visa Vulnerability Agentic Harness (VVAH). Une partie de cet outil a été publiée en open source en juin 2026.
Le système utilise des modèles d’IA pour analyser du code et des environnements informatiques, identifier des vulnérabilités, les classer et produire des informations utiles aux équipes de sécurité. Visa a ensuite étendu le système afin qu’il puisse également aider à proposer des corrections et vérifier si celles-ci fonctionnent.
L’objectif est simple : réduire le délai entre la découverte d’une faille et sa correction. Visa affirme que certaines opérations qui pouvaient auparavant prendre des semaines peuvent désormais être ramenées à quelques heures.
L’entreprise précise toutefois que la supervision humaine reste présente aux étapes importantes. Les agents accélèrent le travail des spécialistes, mais les décisions sensibles ne sont pas entièrement abandonnées à la machine.
Ce que cela peut changer pour les titulaires de cartes
Pour un particulier, la première conséquence pourrait être largement invisible. Une banque ou un réseau de paiement capable de détecter et corriger plus vite une vulnérabilité réduit la période pendant laquelle elle peut être exploitée.
L’autre changement se situe du côté des tentatives de fraude. Les messages de phishing peuvent devenir plus personnalisés, plus naturels et plus difficiles à repérer simplement grâce aux fautes ou aux formulations maladroites.
Les réflexes classiques restent donc essentiels : ne pas valider une opération inattendue, éviter de communiquer un code de confirmation, vérifier directement l’application bancaire et se méfier d’un interlocuteur qui crée un sentiment d’urgence.
La bataille qui se dessine est ainsi moins celle de « l’IA contre les banques » que celle d’outils automatisés utilisés des deux côtés. Pour les clients, l’enjeu sera surtout que cette course technologique améliore réellement la sécurité sans rendre les paiements inutilement complexes.
Sources
- Reuters – Visa joins growing alarm over AI-powered risks (anglais)
- Visa – Visa Releases Its AI-Powered Cyber Defense System to Open Source (anglais)
- Visa – Visa Expands Support for its Clients and the Industry as Organizations Navigate New AI Era of Cybersecurity (anglais)
- Visa – Annual Report 2025, CEO Message (anglais)