Les agents IA transforment les jours zéro en une course que les humains ne peuvent pas gagner seuls

Pendant des années, les vulnérabilités de jour zéro ont été dangereuses, mais elles étaient rares et difficiles à exploiter à grande échelle. Trouver une vulnérabilité de jour zéro nécessitait de la patience, des compétences spécialisées et une compréhension approfondie du comportement des logiciels. Comme l’ont rapporté Nicole Perlroth et d’autres journalistes, il y avait un commerce de vulnérabilités de jour zéro, et les États-nations les considéraient comme des armes cybernétiques extrêmement précieuses.

Aujourd’hui, les vulnérabilités de jour zéro sont largement disponibles. Presque tout le monde peut en découvrir de nouvelles par lui-même, avec l’aide de modèles d’IA open source ou de modèles d’IA propriétaires tels que Claude et OpenAI.

Les mêmes progrès qui rendent l’IA utile pour écrire du code, résumer des journaux et accélérer les opérations de sécurité peuvent également être utilisés pour rechercher des failles, chaîner des vulnérabilités et tester des chemins d’exploitation à la vitesse de la machine. Les attaquants n’ont plus besoin d’inspecter manuellement chaque dépendance, de rétro-ingénier chaque application ou de passer des semaines à rechercher une faiblesse. Les agents d’IA peuvent automatiser une grande partie de ce travail, en explorant les bases de code, en scannant les systèmes exposés, en générant des hypothèses et en itérant jusqu’à ce qu’ils trouvent quelque chose d’utile.

Cela change l’économie de l’exploitation des vulnérabilités de jour zéro. Un attaquant humain ne peut peut-être suivre que les cibles les plus prometteuses. Un attaquant aidé par l’IA peut examiner beaucoup plus de logiciels, beaucoup plus rapidement, avec beaucoup moins de fatigue. Même si la plupart des tentatives échouent, le simple volume des tentatives rend le succès plus probable. Dans la cybersécurité, l’échelle transforme souvent les événements rares en événements courants.

L’IA élargit la surface de recherche des jours zéro

C’est pourquoi les vulnérabilités de jour zéro deviennent un risque d’entreprise plus urgent. Les logiciels modernes sont trop grands, trop interconnectés et trop dépendants de composants tiers pour que toute organisation puisse pleinement comprendre chaque faiblesse avant qu’un attaquant ne le fasse. La plupart des entreprises s’appuient sur un mélange complexe de plateformes commerciales, de bibliothèques open source, de services cloud, d’applications SaaS, d’API, de systèmes d’identité, de périphériques de pointe et d’outils internes. Chaque couche introduit des vulnérabilités potentielles. Chaque intégration crée de nouveaux chemins d’attaque. Chaque mise à jour peut modifier discrètement le profil de risque.

La réalité inconfortable est qu’il existe une quantité massive de vulnérabilités non découvertes à l’intérieur des logiciels de tous types. Certaines existent dans de vieux codes. D’autres existent dans de nouveaux codes écrits sous pression. Certaines proviennent de dépendances que peu d’organisations suivent avec suffisamment de précision. D’autres émergent de la façon dont les systèmes interagissent, même lorsque chaque composant individuel apparaît sécurisé. Les agents d’IA sont bien adaptés pour explorer cette complexité car ils peuvent rechercher de manière large, persistante et adaptative.

Les défenseurs sont confrontés à un problème d’impossibilité de correction. Vous ne pouvez pas corriger une vulnérabilité que vous ne connaissez pas. Vous ne pouvez pas donner la priorité à chaque faiblesse théorique de la même manière. Vous ne pouvez pas tester pleinement chaque combinaison de logiciels, de configuration et de comportement utilisateur avant le déploiement. Même les programmes de gestion des vulnérabilités les plus matures sont souvent construits autour de CVE connus, de conseils de fournisseurs et de flux d’intelligence sur les menaces. Ceux-ci sont essentiels, mais ils arrivent après la découverte. Dans un monde de chasse aux vulnérabilités de jour zéro accélérée par l’IA, la découverte peut se produire en premier lieu entre les mains d’un attaquant.

Cela crée un jeu de cache-cache croissant. Une vulnérabilité est découverte. Un correctif est précipité. L’exploitation se déplace vers un système voisin, une dépendance différente ou une interface nouvellement exposée. Les équipes de sécurité réagissent, mais la liste d’attente ne cesse de s’allonger. L’IA accélère la vitesse du marteau des deux côtés, mais les attaquants bénéficient souvent en premier lieu car ils n’ont besoin de trouver qu’un seul chemin viable. Les défenseurs doivent protéger tous les chemins.

La réponse à long terme peut provenir de l’IA elle-même. À mesure que les systèmes d’IA deviennent meilleurs pour générer, examiner et tester du code, ils devraient aider à éliminer des classes entières de vulnérabilités avant que le logiciel n’atteigne la production. Le développement sécurisé dès la conception pourrait devenir beaucoup plus pratique lorsque l’IA peut inspecter continuellement le code, identifier des modèles non sécurisés, modéliser l’exploitabilité et recommander des correctifs en temps réel. Finalement, nous pourrions atteindre un point où les erreurs de mémoire courantes, les failles d’injection, les erreurs d’authentification et les configurations non sécurisées sont considérablement réduites car l’ingénierie aidée par l’IA les détecte tôt. Dans notre travail sur DeepTempo, nous voyons déjà une utilisation plus importante de langages de mémoire sûrs tels que Rust dans nos logiciels ; bien que Rust soit plus difficile à coder sous certains aspects, il est plus sûr et la codification est devenue beaucoup plus facile grâce à l’IA.

Les défenseurs doivent passer de la vitesse de correction à la résilience aux attaques

Bien qu’un avenir où tous les logiciels ont été corrigés ou réécrits de manière plus sécurisée soit un objectif à poursuivre, il n’est pas clair à quel point il est théoriquement possible de parvenir à un tel résultat pour diverses raisons. Quoi qu’il en soit, nous savons que cela n’a pas encore été atteint et ne le sera pas pendant de nombreuses années. Le code généré par l’IA d’aujourd’hui peut encore introduire des vulnérabilités. Et les outils de sécurité de l’IA peuvent encore manquer de contexte. Les environnements d’entreprise d’aujourd’hui contiennent encore des décennies de dettes techniques accumulées. Les attaquants utilisent déjà l’automatisation pour aller plus vite, tandis que les défenseurs intègrent encore l’IA dans les flux de travail existants, les chaînes d’approbation et les modèles de risque, et constatent que les LLM ne sont pas utiles pour détecter les attaques.Plus d’informations sur la façon dont les LLM se comportent lors de la détection peuvent être trouvées dans des benchmarks open source récents tels que SOC Bench. Par exemple, les ingénieurs derrière SOC Bench ont constaté que les meilleurs LLM ont un taux de faux positifs dans la plage de 20 % et coûteraient des centaines de millions de dollars par jour à l’échelle d’un environnement de sécurité typique. En conséquence de tous ces facteurs, la montée en puissance de l’IA favorise actuellement les attaquants.

Malheureusement, les organisations doivent supposer que certaines vulnérabilités inconnues seront découvertes par des adversaires avant d’être divulguées publiquement. De plus, grâce à l’amélioration du phishing et à la prévalence de la capture généralisée des identités, les attaquants peuvent simplement se connecter.En bref, au moins pour le moyen terme, plus que jamais, la stratégie de sécurité ne peut pas dépendre entièrement de la prévention. La prévention reste critique, mais elle doit être associée à une détection plus rapide, à une analyse comportementale plus solide et à une containment plus serrée.

Comme l’ont suggéré diverses organisations récemment, notamment NIST, les Five Eyes et l’Académie nationale des sciences, compte tenu de la montée en puissance des attaquants dotés d’IA, les équipes de sécurité devraient réexaminer les approches pour comprendre ce que signifie « normal » pour les utilisateurs, les machines, les identités, les applications et les flux de données. Les exploits de jour zéro réussissent souvent parce qu’ils contournent les signatures connues, mais ils laissent des empreintes que les modèles de classification les plus puissants d’aujourd’hui peuvent voir et discerner. Par exemple, les attaques peuvent montrer des modèles d’accès inhabituels, une utilisation anormale des privilèges, une activité de processus inhabituelle, des flux d’authentification étranges ou un déplacement de données qui, en combinaison, ne correspondent pas au référentiel de l’environnement. L’IA conçue à cet effet peut aider les défenseurs à trouver ces signaux plus tôt, en particulier lorsque l’attaque elle-même est nouvelle.

En outre, les entreprises devraient réduire la surface d’attaque d’une faille de sécurité. La segmentation, les privilèges minimum, les contrôles d’identité solides, la surveillance continue et l’isolement rapide sont plus importants lorsque des vulnérabilités inconnues sont exploitées. Si un attaquant utilise une vulnérabilité de jour zéro pour pénétrer, la prochaine question est de savoir jusqu’où il peut se déplacer avant d’être détecté. Plus la fenêtre est petite, moins l’exploit est précieux.

Il n’y a pas de bouton de pause propre pour ce moment. Les agents d’IA continueront à s’améliorer. L’expérimentation offensive continuera à accélérer. Le nombre de systèmes à sonder continuera à croître. La tâche de la communauté de la sécurité est de s’assurer que l’IA défensive mûrit tout aussi rapidement.

Les vulnérabilités de jour zéro ont toujours récompensé la vitesse, la créativité et l’asymétrie. Les agents d’IA amplifient les trois. Les organisations qui s’adaptent traiteront l’IA comme plus qu’un simple outil de productivité pour les équipes de sécurité. Elles utiliseront également l’IA conçue à cet effet pour détecter efficacement et avec précision les menaces inconnues, donner la priorité à des signaux apparemment faibles qui, en combinaison avec des milliers d’autres, suggèrent une faille de sécurité, et réagir avant qu’une vulnérabilité exploitée ne devienne une crise à l’échelle de l’entreprise.