Votre outil de sécurité AI ne vous protège pas – Il vous fait juste vous sentir mieux

En juin 2025, Microsoft (MSFT ) a corrigé la vulnérabilité CVE-2025-32711, mieux connue sous le nom de EchoLeak: une vulnérabilité à clic zéro dans Microsoft 365 Copilot, notée 9,3 sur l’échelle CVSS. Un e-mail crafté, jamais ouvert par la victime, pouvait faire en sorte que le moteur de récupération de Copilot exfiltre discrètement tout contexte sensible auquel il avait accès. Le détail qui devrait vous inquiéter: la charge utile est passée directement devant XPIA, le classificateur d’injection de prompt de Microsoft, qui était présent, en cours d’exécution et fonctionnait exactement comme prévu.

Bruce Schneier nous a donné le vocabulaire pour cela en 2009. Le théâtre de la sécurité, a-t-il écrit, décrit des mesures qui font sentir les gens plus en sécurité sans améliorer leur sécurité. Le sentiment et la réalité sont deux choses différentes, et elles divergent.

Dix-sept ans plus tard, l’IA a industrialisé la divergence, des deux côtés de l’équation. Les outils de sécurité alimentés par l’IA sont vendus sur des capacités qu’ils ne peuvent pas démontrer sous mesure, et les outils de sécurité pour l’IA sont vendus comme des solutions à un problème que leur propre documentation admet être insoluble. Le cycle de hype de Gartner 2025 a placé la confiance, les risques et la gestion de la sécurité de l’IA au sommet des attentes gonflées. Les analystes vous disent où nous sommes. La question est de savoir quoi faire à ce sujet.

Le fossé entre la fiche technique et la mesure

Commencez par ce qui se passe lorsque quelqu’un teste des contrôles déployés au lieu de lire leur marketing.

Le Rapport Blue 2025 de Picus a analysé plus de 160 millions de simulations d’attaques réelles exécutées contre des environnements de production au cours du premier semestre 2025. Picus vend la plate-forme de simulation, donc pesez la source en conséquence, mais les chiffres sont difficiles à rejeter. L’efficacité de la prévention a moyenné 62%, en baisse par rapport à 69% l’année précédente. Malgré une couverture de journalisation de 54%, seulement 14% des attaques simulées ont généré une alerte. Les attaques utilisant des informations d’identification valides ont réussi 98% du temps. Et sur les tentatives d’exfiltration de données simulées, les contrôles en place ont bloqué 3%.

Trois pour cent. Ce sont des environnements avec des piles de sécurité modernes, souvent munies d’un badge AI, et le test d’exfiltration est celui qui correspond le plus directement à ce que veut faire un attaquant.

Les scores de référence qui apparaissent dans les présentations des fournisseurs méritent la même sceptique. Lorsque les fournisseurs ont commencé à revendiquer des notes parfaites sur les évaluations MITRE ATT&CK, l’analyste de Forrester Allie Mellen a publié un rappel pointu: les évaluations n’ont ni gagnants ni perdants, et les revendications de 100% reposent généralement sur des configurations irréalistes, des sous-résultats sélectionnés ou des paramètres de détection qui enterreraient un véritable SOC sous les bruits.

Rien de tout cela n’est nouveau, ce qui est la partie déprimante. En 2019, des chercheurs de Skylight Cyber ont démonté l’antivirus “pure AI” de Cylance en ajoutant des chaînes du jeu vidéo Rocket League aux échantillons de logiciels malveillants, renversant le verdict du classificateur sur 100% des dix principales familles de logiciels malveillants du moment et 83% d’un ensemble d’échantillons plus large. La leçon, à savoir que les modèles d’apprentissage automatique statiques échouent face à des adversaires qui les étudient, a été publiée il y a sept ans. La réponse du marché a été d’expédier plus de modèles d’apprentissage automatique statiques.

Le problème de la rambarde de sécurité est pire

Si la détection alimentée par l’IA survalorise, les outils vendus pour sécuriser l’IA elle-même sont dans une position plus étrange: l’organisme de normalisation qui définit la menace dit que la menace peut ne pas être réparable.

L’injection de prompt se situe au premier rang du Top 10 d’OWASP pour les applications LLM, et les directives pratiques d’OWASP sont inhabituellement directes: étant donné la nature stochastique des modèles, “il n’est pas clair s’il existe des méthodes de prévention infaillibles pour l’injection de prompt.” Le fine-tuning et le RAG, ajoute-t-il, n’atténuent pas complètement ce problème. C’est le problème que le marché des boucliers de prompt existe pour résoudre, décrit comme possiblement insoluble par l’organisation qui l’a catalogué.

Les travaux empiriques soutiennent le pessimisme. Des chercheurs de l’Université de Lancaster et de Mindgard ont testé six systèmes de garde-fou de production, y compris le Azure Prompt Shield de Microsoft et le Prompt Guard de Meta, et ont obtenu jusqu’à 100% de réussite d’évasion en utilisant des techniques d’injection de caractères et de perturbation adverses, tout en gardant les attaques sous-jacentes fonctionnelles. HiddenLayer est allé plus loin, en publiant un modèle de prompt “Policy Puppetry” transmissible qu’il affirme contourner tous les principaux modèles sur le marché. Celui-ci est une recherche de fournisseur et non révisée par des pairs, donc traitez le “tous” avec prudence, mais des diffuseurs indépendants ont reproduit les allégations de base.

Le témoin le plus crédible n’a rien à vendre. L’Institut de sécurité de l’IA du Royaume-Uni, évaluant cinq LLM de premier plan, a rapporté que “tous les modèles étaient très vulnérables à nos attaques de base”, avec chaque modèle se conformant au moins une fois en cinq tentatives pour presque toutes les questions nuisibles lorsque des attaques internes ont été appliquées. Attaques de base. Pas de métier du renseignement d’État. Un organisme d’évaluation gouvernemental, notant poliment que le filtre d’entrée de l’empereur n’a pas de vêtements.

La couverture de Unite.AI a catalogué les classes de vulnérabilités et les techniques d’injection depuis des années. Rien de tout cela n’est secret. Il ne figure simplement pas sur les fiches techniques.

La partie dangereuse, c’est le sentiment

Voici où le titre de cet article cesse d’être rhétorique. Si ces outils ne font que sous-performer, la perte serait budgétaire. La recherche suggère quelque chose de pire: la confiance qu’ils génèrent dégrade activement le comportement.

Les chercheurs en sécurité l’appellent la compensation du risque, ou l’effet Peltzman: les personnes protégées prennent plus de risques. Les conducteurs avec des ceintures de sécurité conduisent plus vite. Et les organisations avec des tableaux de bord de sécurité AI, il s’avère, arrêtent de faire les choses ennuyeuses.

Les chiffres s’alignent de manière désagréablement bien. L’indice de préparation à la cybersécurité 2025 de Cisco, qui a interrogé 8 000 dirigeants de la sécurité, a constaté que 86% des organisations avaient subi un incident de sécurité lié à l’IA au cours des douze derniers mois, tandis que seulement 10% considéraient l’IA comme la chose la plus difficile à protéger, et 60% ont admis qu’ils manquaient de visibilité sur la façon dont les employés utilisent l’IA générative. Incidents quasi universels ; préoccupation, une erreur d’arrondi.

Le rapport 2025 de IBM sur le coût d’une faille de sécurité complète l’image. Parmi les organisations qui ont subi des failles de sécurité dans des modèles ou des applications d’IA, 97% manquaient de contrôles d’accès d’IA appropriés. Une faille sur cinq a été retracée à l’IA fantôme, ajoutant environ 670 000 $ au coût moyen de la faille, et 63% des organisations victimes de failles n’avaient pas de politique de gouvernance de l’IA. Lisez ces chiffres ensemble et un modèle émerge: les défaillances sont ennuyeuses. En l’absence de fondamentaux, dans les organisations qui se sentaient couvertes.

Le tableau de bord n’a pas dysfonctionné. Il a livré son produit réel, qui était la confiance.

À quoi ressemble la version honnête

Rien de tout cela n’argumente que les outils de sécurité AI sont inutiles, et les meilleures preuves contraires méritent de l’air. Les Classificateurs constitutionnels d’Anthropic ont survécu à plus de 3 000 heures de red teaming par 183 chercheurs sans jailbreak universel, réduisant le succès du jailbreak de 86% sur le modèle non défendu à 4,4%, au prix d’une augmentation de 0,38 point des refus et d’un surcoût informatique d’environ 24%. Ensuite, Anthropic a lancé un défi public, et sur 339 participants, quatre ont réussi chaque niveau et un a trouvé un jailbreak universel fonctionnel de toute façon.

C’est la forme honnête de tout le domaine en une seule résultat: une rampe de sécurité bien construite a considérablement augmenté le coût de l’attaquant, a supporté une taxe mesurable et est toujours tombée face à un humain suffisamment déterminé. Si je devais compresser cet article en un principe d’achat, c’est celui-ci: un contrôle vendu comme un coût-raisseur avec des modes de défaillance publiés vaut la peine d’être évalué ; un contrôle vendu comme un problème résolu vous vend le sentiment.

Contrôle ou couverture de confort: trois questions

Vous pouvez séparer l’un de l’autre sans budget de recherche. Trois questions, posées à chaque outil de sécurité AI que vous possédez ou que vous êtes sur le point d’acheter.

Quel est son taux de contournement mesuré dans mon environnement? Pas le benchmark du fournisseur. Le vôtre. La validation continue et les exercices d’équipe violette existent précisément parce que, comme le montrent les données de Picus, les contrôles déployés dérivent silencieusement vers la défaillance. Un nombre que vous n’avez pas mesuré est un nombre que vous prenez sur foi.

Que se passe-t-il lorsqu’il échoue? Pas si. Les directives pratiques d’OWASP pointent dans la même direction que chaque incident ci-dessus: accès à privilèges limités pour les modèles, passerelles d’approbation humaine pour les actions sensibles et segmentation qui suppose que le filtre laissera éventuellement passer quelque chose. EchoLeak était survivable pour les organisations dont Copilot ne pouvait simplement pas atteindre quoi que ce soit de valeur.

La revendication du fournisseur est-elle un fait ou une hypothèse? Même les fournisseurs concèdent plus que leurs fiches techniques ne le font. L’enquête de Vectra auprès de 2 000 professionnels de la sécurité, une recherche de fournisseur encore, a constaté que les équipes étaient capables de gérer seulement 38% des alertes que leurs outils génèrent, avec 60% disant que les fournisseurs vendent des outils qui créent du bruit plutôt que de la clarté, et la moitié qualifiant leur outillage de plus gênant qu’utile. Lorsque les clients de l’industrie rapportent cela, “faire confiance à la fiche technique” cesse d’être une stratégie.

Le modèle outlive le patch

EchoLeak a été corrigé lors d’un mardi des correctifs. Le modèle qu’il a démontré, une rampe de sécurité de production filtrant confiantiellement la porte d’entrée tandis que l’attaque venait par la fente de la boîte aux lettres, n’a pas été corrigé, et l’enregistrement de la recherche ci-dessus dit qu’il ne le sera pas bientôt.

La distinction de Schneier a dix-sept ans et n’a jamais été plus coûteuse à ignorer. Le sentiment de sécurité est un produit, et l’ère de l’IA le vend en niveaux d’abonnement. La réalité de la sécurité est une mesure, et personne ne peut vous la vendre, car vous devez aller la prendre.