Les menaces de l’IA sont une distraction. Votre véritable problème est plus proche de chez vous

Soyons honnêtes : les cyberattaques alimentées par l’IA sont une perspective terrifiante. Mais elles ne constituent pas la plus grande menace pour votre entreprise.

La plus grande menace est la distraction qu’elles créent.

Pendant plus de 15 ans, j’ai vu la même histoire se répéter. La direction est effrayée par la dernière “super-menace de l’IA”, tandis que l’équipe de sécurité peine encore à répondre à des questions de base comme “Où se trouve nos données client les plus sensibles ?” ou “Qui est responsable de la mise à jour de ce système critique ?” Nous poursuivons de nouveaux outils tout en nous laissant distraire par des exercices de conformité de dernière minute, et les vulnérabilités critiques sont déclassées.

C’est le classique problème du “cadenas de luxe sur une porte en écran”. Les organisations se précipitent pour déployer des défenses alimentées par l’IA, mais les attaquants utilisent l’IA avec moins de règles et plus d’agilité pour passer à travers les lacunes fondamentales dans les processus, la propriété et la culture. Pour les entreprises de taille moyenne en particulier, ignorer les bases est une invitation à devenir la prochaine histoire de mise en garde.

Pourquoi les défenses statiques échouent dans un monde dynamique

Lorsque j’ai commencé ma carrière, la sécurité était une checklist : antivirus, correctifs et pare-feu solides. Ce monde est loin derrière nous. Aujourd’hui, les logiciels malveillants polymorphes se réécrivent pour éviter les signatures, et les botnets lancent des attaques plus rapidement que tout humain ne peut répondre.

Le trafic chiffré est devenu le lieu de prédilection de l’adversaire. Le rapport ThreatLabz 2024 de Zscaler a constaté que près de 90 % des logiciels malveillants sont désormais livrés sur des canaux chiffrés. Cela signifie que neuf menaces sur dix sont invisibles pour les outils hérités qui ne peuvent pas inspecter ce trafic.

Le véritable goulet d’étranglement, cependant, n’est pas seulement la technologie ; c’est la friction organisationnelle. J’ai vu de grandes équipes de sécurité passer des semaines à essayer d’obtenir l’approbation pour fermer une faille connue. Le temps nécessaire pour planifier les réunions, un attaquant automatisé peut entrer et sortir. Être statique n’est plus une option. Les programmes de sécurité doivent être sensibles au contexte et axés sur les parties mobiles de l’entreprise.

L’industrialisation de la cybercriminalité

Cela ne devrait surprendre personne. Les attaquants sont des entrepreneurs qui dirigent une entreprise. Ils adoptent simplement de nouvelles technologies pour améliorer leur rentabilité — tout comme nous. L’IA les aide à industrialiser leurs opérations.

• Phishing en tant que service, superchargé : Le phishing est toujours la principale voie d’accès. Le FBI et IBM le signalent comme le principal vecteur d’accès initial depuis des années. Maintenant, avec des outils d’IA génératifs comme “FraudGPT”, les criminels peuvent créer des campagnes de phishing parfaitement adaptées, sans fautes de grammaire, à une échelle que nous n’avons jamais vue.
• La voix est un mensonge : Le phishing vocal (“vishing”) explose. CrowdStrike a constaté une augmentation de 442 % alors que les attaquants utilisent des voix clonées par l’IA pour imiter les dirigeants et tromper les employés pour qu’ils transfèrent des fonds. Une entreprise énergétique britannique a perdu plus de 243 000 $ de cette façon à partir d’un seul appel.
• L’essor de l’adversaire automatisé : Les chasseurs de menaces de CrowdStrike voient désormais des campagnes automatisées de bout en bout — des CV générés par l’IA avec des interviews vidéo de fausses entreprises à des intrusions sans logiciels malveillants qui vivent entièrement dans le cloud.

Les défenseurs sont confrontés à des menaces qui s’adaptent et persistent avec une surveillance humaine minimale. Les attaquants se sont automatisés depuis des années ; l’IA a simplement mis leur flux de travail sur une voie rapide.

Pour suivre, il est grand temps de lâcher prise sur les approches obsolètes et axées sur les checklist pour la conformité et la cybersécurité. Chercher une balle d’argent avec l’outillage le plus récent sur le marché n’est pas la réponse. Cela dit, c’est une occasion unique de revenir aux bases.

Arrêtez de demander “Sommes-nous conformes ?” Commencez à demander “Sommes-nous résilients ?”

Même si l’IA redessine le paysage, la plupart des failles se produisent encore à cause de bases négligées. Certes, la voix du PDG a été clonée, mais l’échec réel était probablement un processus d’approbation financière défectueux. L’IA n’était que l’étape finale d’une chaîne de bases manquantes.

L’IA n’a pas besoin de trouver une faille zero-day lorsqu’elle peut trouver un serveur non corrigé de cinq ans ou un développeur avec des droits d’administrateur sur tout. L’achat d’un autre outil de sécurité alimenté par l’IA ne réparera pas une culture défectueuse. L’IA devrait renforcer les processus solides, et non les remplacer.

C’est là que la direction se trompe souvent. J’ai été dans des salles de réunion où la question était : “Sommes-nous conformes ?” La meilleure question est : “Notre programme de sécurité rend-il notre entreprise plus solide ?”

La conformité devient un exercice de case à cocher. Les équipes de produits font un sprint en avant, les ingénieurs se voient confier des tâches de sécurité sans ressources, et les dirigeants supposent qu’un audit propre signifie que l’entreprise est en sécurité. Ce n’est pas le cas. La solution n’est pas plus d’outils ; c’est un échafaudage plus solide de la part de la direction.

Un livre de jeu pragmatique pour l’ère de l’IA

Les entreprises du Fortune 500 peuvent jeter de l’argent sur ce problème. Les entreprises de taille moyenne doivent être plus intelligentes. Alors, que faites-vous vraiment ?

1. Corrigez vos fondations en premier. Avant d’acheter un autre outil, assurez-vous d’avoir un inventaire solide de vos données, des contrôles d’accès inattaquables et un processus de correction qui fonctionne réellement.
2. Mettez l’IA à l’ordre du jour. Organisez des exercices de simulation basés sur des attaques alimentées par l’IA. Faites-en une partie régulière des rapports de conseil d’administration afin qu’il soit traité comme un risque commercial, et non comme un problème informatique.
3. Concentrez-vous sur le comportement, et non seulement sur les signaux statiques. Priorisez les outils qui détectent des activités inhabituelles — comme un compte d’utilisateur qui accède soudainement à une base de données qu’il n’a jamais touchée — plutôt que les outils qui ne cherchent que des logiciels malveillants connus.

L’IA n’est pas l’ennemi — la complaisance l’est

L’IA n’est pas une épée à double tranchant ; c’est une loupe. Elle rend les bons processus plus efficaces et les mauvais processus catastrophiques.

Les attaquants auront toujours de nouveaux outils. La vraie question est de savoir si votre stratégie de sécurité est fondée sur un socle solide de résilience ou si elle ne court après l’objet brillant suivant. L’ère de la sécurité “installer et oublier” est révolue. Les organisations qui construisent une culture de sécurité et qui maîtrisent les fondamentaux gagneront, même à l’ère des menaces autonomes.