La crise de contexte à l’ère de l’IA de pointe : il faut de l’IA pour se défendre contre l’IA

Les opérations de sécurité ne sont plus limitées par la vitesse humaine. Elles sont dépassées par les adversaires qui opèrent à une vitesse de machine, exploitant les vulnérabilités souvent longtemps avant que les défenseurs ne détectent même le premier signal. Les modèles d’IA de pointe comme Claude Mythos ont entraîné un changement sur le terrain, capables de découvrir des vulnérabilités qui ont survécu à des décennies d’examen humain et à des millions de tests automatisés. Plus important encore, ces modèles d’IA de pointe peuvent chaîner des vulnérabilités en des chemins d’exploitation complexes et critiques en quelques secondes.

Le centre d’opérations de sécurité (SOC) moderne n’a pas été conçu pour cette vitesse. Pendant une décennie, nous avons augmenté la télémétrie, mais les analystes se noient dans des milliers d’alertes quotidiennes, cherchant désespérément un sens parmi des indices disparates. Pour survivre aux attaques orchestrées par l’IA, le SOC doit évoluer d’un centre humain vers une opération à vitesse de machine et dirigée par des agents.

Le succès nécessite un changement fondamental de la visibilité à la contextualisation en temps réel. Alors que l’IA permet aux acteurs malveillants d’accéder en profondeur aux réseaux avec une discrétion sans précédent, elle produit encore des artefacts observables comme des événements d’authentification, des mouvements de données et des comportements anormaux. Cependant, pour que les opérations de défense agissantes puissent contrer les menaces à vitesse de machine, les organisations doivent disposer d’une couche de contextualisation qui transforme la télémétrie brute en une connaissance structurée et lisible par machine. Sans cela, les agents d’IA sont aveugles.

Alors que les entreprises adoptent des outils de sécurité à base d’IA, il est important de se rappeler que l’autonomie sans contexte structuré introduira probablement plus de risques opérationnels. Les agents conçus pour surveiller et gouverner les systèmes d’IA eux-mêmes ont besoin de plus que juste une automatisation autonome – ils ont besoin de couches de contrôle contextuelles pour éviter l’hallucination ou le dérive de contexte. Sans cette fondation, les systèmes d’IA opèrent de manière réactive plutôt qu’intelligente.

Visibilité sans compréhension

La plupart des organisations reposent sur une photo statique incapable de suivre les changements dynamiques. La surface d’attaque moderne, qui s’étend aux fonctions cloud éphémères, à l’IT fantôme et aux points de terminaison de modèles d’IA, ne peut souvent pas exécuter un agent EDR traditionnel, laissant des angles morts où la logique de sécurité critique réside maintenant. Vous ne pouvez pas trier un flux de divulgations si vous ne savez pas ce que vous exécutez ou ce qu’il touche.

Les SOC traditionnels sont construits sur des inventaires statiques (instantanés périodiques), des alertes isolées qui manquent de séquence historique, et des flux de travail à vitesse humaine où l’analyste est le lien entre le contexte et les outils. Ce manque de compréhension ou de signification pousse le temps moyen de détection (MTTD) à des heures ou des jours, des délais simplement plus acceptables contre une attaque à vitesse de machine.

Alors que l’IA agissante passe de l’exploration au déploiement opérationnel dans les SOC, nous voyons un déplacement vers des systèmes capables d’exécuter des tâches de sécurité plutôt que de simplement soutenir les analystes humains. Ce déplacement change les attentes autour de ce que le SOC devrait faire par opposition à ce qui nécessite encore une implication humaine.

Mais alors que les organisations se précipitent pour déployer l’IA à travers les opérations du SOC, de nombreux dirigeants commettent une erreur critique, et c’est traiter l’IA comme un remplacement pour les analystes plutôt que comme un accélérateur basé sur le contexte. Alors que les grands modèles de langage (LLM) peuvent résumer les alertes, améliorer les enquêtes et recommander des actions, sans une compréhension précise de l’environnement dans lequel ils opèrent, les sorties sont limitées par la qualité des informations qu’ils reçoivent.

Les environnements d’entreprise ne sont pas statiques, et c’est le défi. Les actifs sont constamment ajoutés ou supprimés tandis que les identités changent de rôles et de permissions, et les processus commerciaux évoluent au fil du temps. Les équipes de sécurité ont historiquement reposé sur des analystes humains pour relier ces pièces mobiles pendant une enquête, mais cette approche ne se traduit pas en opérations autonomes. Les défenses à vitesse de machine nécessitent une compréhension fondamentale de la manière dont les systèmes, les utilisateurs, les applications et les données interagissent les uns avec les autres en temps réel.

Le contexte devient plus important qu’une capacité de soutien. C’est le système d’exploitation critique pour la sécurité agissante. Les organisations qui réussissent à intégrer l’IA dans le SOC ne seront pas nécessairement celles qui ont les outils d’IA les plus avancés, mais celles qui peuvent fournir à ces outils l’image la plus complète de l’environnement – étayée par des données. Tout le reste dans le SOC dépend de la façon dont ce contexte est complet et structuré au moment de la détection ou de la réponse.

Pour y parvenir, les équipes de sécurité doivent repenser la façon dont elles collectent et exploitent les données à travers le SOC.

Cinq déplacements vers la préparation

Pour reprendre l’avantage, les organisations doivent donner la priorité à la capacité d’interpréter rapidement les données plutôt qu’à la simple capacité de les collecter.

1. Des listes d’actifs à une surface d’attaque vivante

La plupart des organisations reposent sur une photo statique incapable de suivre les changements dynamiques. La surface d’attaque moderne, qui s’étend aux fonctions cloud éphémères, à l’IT fantôme et aux points de terminaison de modèles d’IA, ne peut souvent pas exécuter un agent EDR traditionnel, laissant des angles morts où la logique de sécurité critique réside maintenant. Vous ne pouvez pas trier un flux de divulgations si vous ne savez pas ce que vous exécutez ou ce qu’il touche.

Éliminer cet écart nécessite une visibilité en temps réel mise en contexte. Cela permet au SOC de maintenir un graphique d’actifs mis à jour en continu qui capture non seulement ce qui existe, mais également son activité typique et son réseau de connexions.

2. Des alertes à la compréhension comportementale

Les détections sont des événements isolés, mais les attaques réelles sont des modèles qui doivent être reconnus sur une période de temps. Par exemple, un agent d’IA compromis n’installe pas seulement un logiciel malveillant ; il utilise un accès autorisé de manière non autorisée jusqu’à ce que le logiciel malveillant soit installé. Remarquer des comportements inhabituels avant les comportements d’attaque est clé à cet égard. Avec des références de comportement et des compréhensions, les analystes de sécurité peuvent s’éloigner des événements disparates et corréler l’activité en un récit cohérent.

3. Des opérations axées sur l’analyste à des opérations prêtes pour les agents

Si un SOC a une confiance totale dans les humains pour assembler le contexte pendant une enquête, ils perdront presque toujours contre une menace alimentée par l’IA. Cependant, les agents autonomes nécessitent un contexte préconstruit, donc lorsque l’agent de triage détecte un signal, il doit être confronté à un dossier immédiat et de haute fidélité – et non à un dump de données brut. En mettant en œuvre une couche d’enrichissement dédiée qui corrèle les données sur quatre couches d’actifs, d’identité, de comportement et de pertinence des menaces, le contexte devient une véritable fondation.

Les agents d’IA SOC sont une classe de capacité émergente conçue pour augmenter et automatiser les flux de travail de base du SOC. Mais leur efficacité dépend de savoir si ils sont déployés dans des environnements où le contexte est déjà structuré, corrélatif et maintenu.

4. De la télémétrie brute à une raison efficiente

La télémétrie brute est massive, bruyante et prohibitivement coûteuse pour être alimentée dans les LLM. Pointer un LLM sur des journaux non filtrés conduit à une raison dégradée ou à des hallucinations, ajoutant plus de travail de devinette à l’analyste humain et ralentissant les enquêtes.

Le passage à une densité de signal élevée, des données déjà enrichies et corrélatives, résout ce problème. Une télémétrie déjà résumée, y compris qui, quoi et comment d’une détection, et la déviation par rapport à la référence, peut facilement signaler si une enquête immédiate est justifiée. En se concentrant sur les preuves de paquet profond uniquement lorsque une hypothèse spécifique le demande, cela rend l’économie du SOC agissante vraiment fonctionnelle.

Les systèmes d’IA efficaces dans le SOC requièrent des contrôles structurés à travers tout le cycle de vie, de l’ingestion à la réponse. C’est parce que le contexte est ce qui convertit les signaux en une raison actionnable.

5. Des données unidimensionnelles à des preuves multicouches

Différentes tâches nécessitent différents types de données pour identifier les tendances, les relations et les anomalies, y compris les métriques, les métadonnées, les détections et les paquets. Une stratégie étagée à la fois de données légères pour une raison continue et de preuves profondes est essentielle pour l’équilibre.

L’IA de pointe n’a pas seulement introduit de nouvelles menaces ; elle a imposé une nouvelle architecture pour la défense. La sécurité doit devenir unifiée, adaptable et, surtout, incorporer des capacités agissantes. Les entreprises qui construisent des couches de contexte aujourd’hui seront mieux préparées à répondre à la nouvelle norme de sécurité à l’ère de l’IA. Ceux qui s’appuient sur les anciennes méthodes de corrélation manuelle seront contraints de réagir à un monde qui bouge trop vite pour qu’ils puissent le voir.

Les opérations de sécurité alimentées par l’IA nécessitent des modèles de gouvernance et d’exploitation fondamentalement nouveaux, soulignant que la capacité de produire des données hautement contextualisées (et non seulement des outils) déterminera quelles organisations peuvent évoluer de manière la plus sécurisée et efficace. Sans cela, l’automatisation ne fera que amplifier le bruit, et non l’intelligence nécessaire.