L’IA n’a pas créé de nouveaux problèmes de sécurité. Elle ne les a fait qu’accélérer.

Chaque année à cette période, je reçois une variante de la même question de la part des clients : « Quelle est la nouvelle menace liée à l’IA dont nous devons nous préoccuper ? » C’est une question légitime. Les gros titres sur les attaques agentiques, les logiciels malveillants autonomes et la fraude alimentée par l’IA donnent l’impression qu’une toute nouvelle catégorie de risque est apparue du jour au lendemain. Mais après trois décennies dans ce secteur, je contesterais cette façon de voir les choses. L’IA n’a pas fourni aux attaquants un nouveau livret de stratégies. Elle leur a donné une copie plus rapide de l’ancien.

Réfléchissez aux fondamentaux qui ont toujours compté en cybersécurité : qui a accès à quoi, la rapidité avec laquelle vous pouvez détecter quelque chose d’inhabituel, et la vitesse à laquelle vous pouvez récupérer lorsqu’un problème survient. Rien de tout cela n’a changé. Ce qui a changé, c’est la vitesse d’exécution. Le phishing prenait auparavant une heure humaine à rédiger et à envoyer. Aujourd’hui, il peut être généré, personnalisé et déployé en quelques secondes. Un logiciel malveillant qui nécessitait autrefois un développeur qualifié pour s’adapter peut désormais se réécrire à la volée. Les méthodes d’attaque sont familières. C’est le rythme qui devrait vous tenir éveillé la nuit.

La vitesse des attaques s’est accélérée, pas les tactiques

Je ne dis pas cela sur un simple pressentiment. Les données de 2025 et du début 2026 racontent une histoire cohérente : les mêmes catégories d’attaques, exécutées beaucoup plus rapidement. L’équipe de renseignement sur les menaces de Cofense a documenté une attaque par courriel malveillant se produisant toutes les 19 secondes en 2025, plus du double du rythme mesuré seulement un an plus tôt. Ce n’est pas un nouveau type d’attaque. Il s’agit de phishing, la même technique que les défenseurs combattent depuis deux décennies, mais qui arrive maintenant à un volume et à une cadence que le triage manuel n’a jamais été conçu pour gérer.

Le volet accès de l’équation s’est compressé tout aussi rapidement. Mandiant de Google Cloud, s’appuyant sur plus de 500 000 heures de réponse aux incidents en première ligne, a constaté dans son rapport M‑Trends 2026 que le délai entre le moment où un attaquant obtient un accès initial et le moment où il transfère cet accès à un acteur malveillant subséquent est tombé à environ 22 secondes, contre plus de huit heures il y a quelques années. L’écart qui existait autrefois entre « nous avons remarqué quelque chose d’étrange » et « les dégâts sont déjà faits » a effectivement disparu.

Le Forum économique mondial Perspectives mondiales de la cybersécurité 2026, produit avec Accenture, capture la vision des dirigeants sur ce changement : 94 % des cadres interrogés considèrent désormais l’IA comme le principal moteur de changement en cybersécurité pour l’année à venir. Par ailleurs, le recherche Coût d’une violation de données d’IBM a révélé qu’une part importante des violations liées à l’IA remontent à des lacunes dans les contrôles d’accès, non liées à des exploits nouveaux spécifiquement liés à l’IA. En d’autres termes, le point d’entrée reste la même vieille porte. Elle est simplement ouverte plus rapidement.

Je pense que de nombreuses organisations diagnostiquent mal le problème, et ce mauvais diagnostic est dangereux. Si la direction croit que la sécurité de l’IA est une discipline entièrement nouvelle nécessitant une boîte à outils totalement différente, elle se retrouve à courir après des solutions ponctuelles et des arguments de vendeurs au lieu de consolider les bases déjà fragiles. Je préférerais que les entreprises posent une question plus utile : nos contrôles d’identité et d’accès sont-ils suffisamment solides pour résister à un attaquant qui ne dort jamais, ne se fatigue jamais et ne fait jamais de faute de frappe ?

C’est vraiment le cœur du problème. Le vol d’identifiants et le risque d’initiés augmentent depuis des années, bien avant que l’IA agentique ne fasse son apparition dans le débat. L’authentification multifacteur, les correctifs, la surveillance des identités et l’accès au principe du moindre privilège ne sont pas des idées nouvelles. Ce sont les mêmes fondamentaux que nous prêchons depuis les débuts de la sécurité gérée. Ce qui change aujourd’hui, c’est qu’un identifiant compromis entre les mains d’un outil alimenté par l’IA ne reste pas inactif pendant des semaines pendant qu’un acteur humain planifie l’étape suivante. Il agit immédiatement, à la vitesse d’une machine, sondant la prochaine ouverture avant que votre équipe n’ait fini son café du matin.

Prolifération des identités et identités non humaines élargissent la surface d’attaque

C’est également le cas où les agents IA autonomes compliquent un modèle d’identité déjà surchargé. Les agents s’authentifient avec des clés API, des comptes de service et des jetons OAuth plutôt qu’avec un nom d’utilisateur et un mot de passe, et ces identités non humaines se multiplient au sein des entreprises bien plus rapidement que les processus de gouvernance ne sont conçus pour suivre. Analyse de l’effet de l’IA agentique sur la prolifération des identités a mis en évidence le même problème de fond que je constate dans les environnements clients : les organisations qui peinaient déjà à inventorier leurs comptes de service créent désormais de nouvelles identités machines à un rythme qui rend impossible la supervision manuelle.

Trois étapes pratiques pour renforcer les fondamentaux opérationnels

Alors, que signifie cela concrètement ? Premièrement, cessez de traiter la « sécurité IA » comme une ligne distincte de votre programme de sécurité. Ce n’est pas un simple ajout. C’est un accélérateur pour le travail de gouvernance que vous devriez déjà effectuer. Si votre programme d’identité présente des lacunes, l’IA les identifiera plus rapidement qu’un humain ne le pourrait. Si votre cycle de correctifs est lent, la reconnaissance assistée par l’IA exploitera ce retard avant votre prochaine fenêtre de mise à jour.

Deuxièmement, changez d’état d’esprit, passez de la détection seule à la résilience. Je le dis constamment à mes clients : supposez que vous serez compromis et préparez ce qui se passera ensuite. La détection compte, mais elle ne peut plus être votre unique ligne de défense, pas quand les attaquants peuvent adapter leur approche en temps réel. Les organisations qui s’en sortent bien sont celles qui disposent de plans d’intervention en cas d’incident testés, de sauvegardes propres et d’une vision claire de ce à quoi ressemble la « récupération » avant d’en avoir besoin. Ce n’est pas une stratégie IA. C’est simplement une bonne discipline opérationnelle que l’IA rend maintenant plus urgente.

Troisièmement, soyez honnête quant à votre propre modélisation des menaces consciente de l’IA. Cela signifie examiner chaque système, flux de travail et intégration tierce et poser une question simple : si un attaquant utilisait l’IA pour aller plus vite ici, qu’est‑ce qui casserait en premier ? Pour de nombreuses entreprises du marché intermédiaire, la réponse honnête est inconfortable. Les politiques d’accès héritées, les contrats fournisseurs tentaculaires et les processus de surveillance manuels étaient tolérables lorsque les attaques se déroulaient à vitesse humaine. Ils constituent aujourd’hui une responsabilité.

Il existe une conversation sectorielle qui se déroule en ce moment sur ce à quoi ressemble réellement la gouvernance des systèmes autonomes plutôt que simplement les humains qui les exploitent. Cette discussion est importante parce que l’IA agentique n’ajoute pas seulement un nouvel outil de défense ; elle modifie qui ou quoi agit dans votre environnement. Considérer chaque agent IA comme une identité distincte, avec son propre cycle de vie, ses droits et sa ligne de base comportementale, devient rapidement une condition sine qua non plutôt qu’un simple « nice‑to‑have ». Les organisations qui le font déjà sont les mieux placées pour adopter des outils agentiques sans hériter d’une surface d’attaque non gouvernée.

2026 nous a déjà montré que les attaques pilotées par l’IA sont réelles, qu’elles se multiplient et qu’elles ne disparaîtront pas. Mais je préférerais que les équipes dirigeantes consacrent leur énergie à renforcer les fondamentaux plutôt qu’à chercher un outil de défense IA miracle qui promet de résoudre un problème que ces fondamentaux auraient dû régler il y a des années.

La vérité inconfortable, c’est que la plupart des violations remontent toujours aux mêmes causes profondes qu’elles ont toujours eues : un correctif manqué, un compte sur‑autorisé, une lacune de surveillance, un plan jamais testé. L’IA n’a pas réécrit ce récit. Elle n’a fait que rendre les conséquences de l’ignorer beaucoup plus rapides.

S’il y a une chose que je demanderais à chaque dirigeant d’entreprise de retenir de ce moment, c’est la suivante : ne laissez pas le mot « IA » vous distraire du travail que vous saviez déjà devoir accomplir. Renforcez l’identité. Construisez pour la résilience, pas seulement la détection. Et supposez, chaque jour, que l’attaquant le plus rapide que vous rencontrerez est celui qui n’a jamais besoin de s’arrêter pour réfléchir.