Alan LeFort, PDG et co-fondateur de StrongestLayer – Série d’entretiens

Alan Lefort est un leader en cybersécurité avec plus de 15 ans d’expérience dans la construction et la mise à l’échelle de produits de sécurité utilisés par des entreprises du Fortune 500. Il a précédemment dirigé des unités de produits et d’affaires chez Proofpoint, McAfee et Intel (INTC ) Security, où il s’est concentré sur la protection avancée contre les menaces, les risques internes et l’analyse comportementale. Chez Intel, il a contribué à élaborer la stratégie produit sur les marchés mondiaux, en dirigeant des équipes aux États-Unis, en Europe et en Israël. Maintenant, en tant que PDG de StrongestLayer, Alan utilise cette expérience approfondie de l’entreprise pour arrêter les attaques de phishing alimentées par l’IA avant qu’elles n’atteignent les utilisateurs, redéfinissant ainsi la sécurité des e-mails pour l’ère de l’IA.

StrongestLayer est une plateforme de sécurité des e-mails native IA conçue pour arrêter les attaques de phishing avancées et les attaques de compromis d’e-mail commercial. En utilisant son moteur TRACE propriétaire, elle applique des modèles de langage grandeur nature, une inférence comportementale et une analyse contextuelle pour identifier les e-mails malveillants que les systèmes traditionnels à base de règles ne détectent pas. La plateforme s’intègre rapidement à Microsoft 365 et Google Workspace, ajoute des protections de navigateur et propose une formation d’employés alimentée par l’IA, offrant ainsi aux organisations à la fois une solide défense et une culture plus consciente de la sécurité.

Qu’est-ce qui vous a inspiré, vous et vos co-fondateurs, à créer StrongestLayer, et quel écart spécifique dans le paysage de la cybersécurité vouliez-vous résoudre en fonction de vos expériences dans des entreprises comme Proofpoint, FireEye et Mandiant ?

L’entreprise a évolué avec la perspective de chaque co-fondateur. Elle a commencé avec Riz, notre CTO, qui a reconnu que le phishing devenait trop sophistiqué pour la formation traditionnelle des employés. Son insight était que la personnalisation alimentée par l’IA pouvait améliorer fondamentalement la sensibilisation à la sécurité.

Lorsque Josh a rejoint l’équipe en tant que directeur des produits, il a apporté la pièce manquante. Lorsqu’il testait notre produit initial, il a découvert que notre analyse IA détectait des attaques complexes que les fournisseurs de sécurité établis ne détectaient pas complètement. C’est alors que nous avons réalisé que nous ne nous contentions pas d’améliorer la formation, mais que nous identifions un écart fondamental dans la détection des menaces.

Je me suis joint à l’équipe en tant que PDG au début de 2025, après avoir conseillé l’équipe, et j’ai vu clairement l’opportunité stratégique : si seule l’IA peut se défendre contre l’IA armée, alors nous devions repenser non seulement la détection, mais aussi la manière dont nous dotons les humains de pouvoirs dans cette nouvelle réalité. La décision était simple – aller jusqu’au bout de la détection et de la prévention natives IA.

Pourquoi pensez-vous que l’e-mail reste un vecteur d’attaque si critique, en particulier à l’ère de l’IA générative ?

L’e-mail reste le principal vecteur d’attaque parce que c’est le canal où le contexte commercial compte le plus, et que l’IA générative a rendu l’exploitation de ce contexte trivialement facile.

Les attaques traditionnelles par e-mail étaient basées sur le volume et étaient évidentes. L’IA change complètement la donne – les attaquants peuvent maintenant générer des e-mails personnalisés qui comprennent les hiérarchies organisationnelles, imitent les styles de communication et font référence à des processus commerciaux réels. Ils n’envoient plus seulement des phishing génériques ; ils créent des attaques qui semblent authentiques pour des organisations spécifiques.

L’e-mail est également le lieu où les décisions de confiance se prennent quotidiennement. Les employés reçoivent régulièrement des demandes de fournisseurs, de partenaires et de collègues qui nécessitent des appels de jugement sur la légitimité. Les attaques alimentées par l’IA exploitent exactement ces relations de confiance en apparaissant comme provenant d’entités connues avec des demandes plausibles.

Le défi fondamental est que la sécurité des e-mails a toujours été axée sur la détection de « mauvais » modèles techniques, mais les attaques alimentées par l’IA semblent techniques « bonnes » tout en ayant des intentions malveillantes.

Comment l’architecture LLM-native de StrongestLayer diffère-t-elle fondamentalement des solutions de sécurité des e-mails traditionnelles ?

Nous avons construit la première architecture LLM-as-master, fondamentalement différente des fournisseurs qui ajoutent des fonctionnalités LLM à des systèmes de correspondance de modèles existants. La distinction est architecturale – le LLM orchestre l’ensemble du processus d’analyse plutôt que d’être un module complémentaire.

Les solutions traditionnelles fonctionnent comme un système de poursuites uniquement – elles ne peuvent que traquer la culpabilité sans mécanisme pour prouver l’innocence. Cela crée la tension classique entre faux positifs et faux négatifs qui ne peut jamais être résolue dans une architecture de poursuites uniquement.

Notre avancée est la collecte de preuves doubles. Nous rompons complètement le paradigme de poursuites uniquement en faisant que chaque e-mail a son procès. Notre système agit à la fois comme avocat de la défense et comme procureur, tandis qu’un juge LLM impartial pèse les preuves et rend un verdict.

L’architecture a nécessité une infrastructure complètement nouvelle : coordination LLM-as-master, algorithmes de synthèse de preuves doubles, architecture d’experts mélangés pour une analyse spécialisée et architecture à mémoire nulle pour la confidentialité des données d’entreprise. Nous offrons la puissance de raisonnement d’un millier d’analystes d’élite avec la mémoire d’un poisson rouge – capacité d’analyse maximale, persistence de données nulle.

Pouvez-vous expliquer comment votre système TRACE (Threat Reasoning AI Correlation Engine) fonctionne et ce qui le rend unique contre les attaques de phishing alimentées par l’IA ?

TRACE fonctionne par une collecte de preuves doubles qui change fondamentalement l’économie de la sécurité des e-mails.

Pour chaque e-mail, nous exécutons simultanément deux enquêtes parallèles : des indicateurs de normalité pour l’avocat de la défense et des signaux de menace pour le procureur. Un juge LLM impartial pèse toutes les preuves pour rendre des décisions automatisées avec confiance.

Prenez un paiement de 50 millions de dollars d’un fournisseur à votre CFO pendant la clôture trimestrielle. Les systèmes traditionnels voient un langage urgent, un montant important, une heure de dépôt après les heures de travail – chaque modèle crie « menace ». L’e-mail est mis en quarantaine, l’activité commerciale est perturbée.

Notre architecture de preuves doubles exécute des enquêtes parallèles : les preuves de l’avocat de la défense incluent les modèles de communication du CFO, la relation établie avec le fournisseur, le paiement dans les limites de la procédure d’approvisionnement, en suivant les flux de travail documentés. Les preuves du procureur incluent des renseignements menaces externes, analyse d’intention de communication, tentatives de contournement d’autorité, modèles de manipulation d’urgence.

Le juge LLM pèse toutes les preuves. Les indicateurs de légitimité solides l’emportent sur les signaux de menace mineurs. L’e-mail est automatiquement validé avec une confiance élevée, la continuité commerciale est maintenue, les analystes se concentrent sur les menaces réelles.

Ce qui rend cela unique contre les attaques alimentées par l’IA est que nous nous concentrons sur des indicateurs stables qui persistent indépendamment de la nouveauté de l’attaque – les modèles de légitimité commerciale et les modèles d’intention malveillante restent constants même lorsque les méthodes d’attaque sont complètement nouvelles.

Avec l’IA qui permet maintenant aux attaquants de générer des e-mails personnalisés à grande échelle, comment votre plateforme reste-t-elle en tête de ces menaces en évolution ?

L’insight clé est que même si l’IA rend la génération d’attaques infiniment scalable, elle ne résout pas le problème de logique commerciale pour les attaquants.

L’IA peut créer une grammaire parfaite, imiter les styles de communication et référencer des informations publiques sur les organisations. Mais elle ne peut pas parfaitement comprendre les processus commerciaux internes, les flux de travail d’approbation, les cycles de contrats et la dynamique des relations à travers toutes les organisations simultanément.

Notre plateforme reste en tête en se concentrant sur la raison commerciale plutôt que sur les modèles techniques. À mesure que les attaques alimentées par l’IA deviennent plus sophistiquées dans leur présentation technique, elles deviennent souvent plus désespérées dans leur logique commerciale – créant de l’urgence où aucune n’est nécessaire, contournant les processus normaux ou demandant des actions qui ne sont pas alignées sur les relations établies.

Nous bénéficions également de l’apprentissage inter-client sans exposer les données individuelles des clients. Les modèles d’abus de logique commerciale sont souvent cohérents à travers les organisations, même si la mise en œuvre technique varie.

Quels types d’organisations sont actuellement les plus à risque d’attaque de phishing améliorée par l’IA, et comment votre plateforme répond-elle à leurs défis uniques ?

Les organisations avec des relations de fournisseurs complexes et des processus d’approbation sont les plus à risque – en particulier les services financiers, les soins de santé et les cabinets d’avocats. Ces secteurs ont des données précieuses, des processus commerciaux établis que les attaquants peuvent rechercher et des employés qui gèrent régulièrement des demandes sensibles.

Les entreprises du marché moyen font face à un défi spécifique : elles ont des obligations et une complexité d’entreprise, mais sans les effectifs de sécurité ou les budgets pour correspondre. Elles sont suffisamment sophistiquées pour être des cibles attractives, mais suffisamment contraintes en ressources pour que les attaques avancées réussissent.

Notre plateforme répond à cela en automatisant l’analyse du contexte commercial qui nécessiterait normalement des analystes de sécurité dédiés. Au lieu de demander aux équipes d’enquêter manuellement sur chaque demande suspecte, TRACE fournit le raisonnement qui aide les organisations à prendre des décisions éclairées rapidement.

Nous nous concentrons également sur l’expérience utilisateur, car ces organisations ne peuvent pas se permettre des solutions qui créent des frictions opérationnelles ou nécessitent une formation extensive.

Comment votre système de détection prédictive de campagnes identifie-t-il et neutralise-t-il rapidement les sites Web de sociétés fictives ?

Notre approche combine la surveillance en temps réel des enregistrements de domaine avec l’analyse du contexte commercial.

Nous surveillons en continu les enregistrements de domaine mondiaux, à la recherche de modèles qui suggèrent des campagnes d’usurpation d’identité – orthographe similaire à des domaines légitimes, regroupement des enregistrements, modèles d’infrastructure cohérents avec la préparation d’une attaque.

Mais le facteur de différenciation clé est la corrélation de ces renseignements techniques avec le contexte commercial. Lorsque nous voyons des domaines enregistrés qui pourraient usurper les fournisseurs ou les partenaires de nos clients, nous pouvons prédire les cibles et le timing des campagnes en fonction des relations commerciales et des cycles.

La « neutralisation » se produit par un avertissement précoce – nous avertissons les clients de campagnes d’usurpation potentielles des semaines avant que les e-mails soient envoyés, leur permettant de se préparer à la défense et de notifier les employés des menaces spécifiques à surveiller.

Cette détection pré-campagne n’est possible que parce que nous comprenons à la fois l’infrastructure technique d’attaque et le contexte commercial que les attaquants sont susceptibles d’exploiter.

Quels ont été certains des problèmes techniques les plus difficiles que vous avez rencontrés lors de la construction d’une véritable solution de cybersécurité native IA ?

Le problème le plus difficile a été de construire un système qui puisse raisonner sur le contexte commercial sans exposer de données organisationnelles sensibles, tout en prouvant qu’il fonctionnait contre des attaques nouvelles que les systèmes traditionnels ne détectaient pas.

Nous avons récemment obtenu une validation lorsque notre système TRACE a détecté une attaque d’exploitation de Microsoft 365 Direct Send que la sécurité native de Microsoft (MSFT ) et le leader du marché ont complètement manquée. L’attaque a été publiée et validée par Dark Reading. Elle exploitait des fonctionnalités Microsoft légitimes, utilisait une obfuscation basée sur des images et des pages de phishing personnalisées de manière dynamique – des techniques complètement nouvelles sans modèles historiques pour les correspondre.

Les défis techniques étaient importants : construire une coordination LLM-as-master capable de raisonnement sophistiqué tout en gardant les données sensibles locales, éviter les pièges de faux positifs lors du passage d’une correspondance de modèles à un raisonnement, et optimiser les performances pour fournir des décisions en temps réel dans les délais de latence du flux d’e-mail.

Mais la plus grande avancée a été de prouver que notre architecture de preuves doubles fonctionnait dans le monde réel contre des attaques qui ont déjoué les fournisseurs établis. Cette validation nous a donné confiance dans le fait que l’architecture pourrait gérer les techniques nouvelles que les attaquants développeraient ensuite.

Comment voyez-vous l’évolution du paysage des menaces d’ici 2026-2027, et comment préparez-vous votre plateforme pour relever ce défi futur ?

D’ici 2026-2027, je m’attends à ce que les attaques sophistiquées alimentées par l’IA deviennent mainstream plutôt que des menaces persistantes avancées. Les outils et les techniques seront commodifiés, élargissant considérablement le bassin de menaces.

Nous verrons également les attaques s’étendre au-delà de l’e-mail à tous les canaux de communication commerciale – Teams, Slack, messagerie mobile. Les attaquants orchestreront des campagnes à travers plusieurs canaux, rendant la détection à un seul point insuffisante.

Nous nous préparons en construisant TRACE comme un moteur de raisonnement qui peut être appliqué à n’importe quel canal de communication commerciale. La technologie de base – la compréhension du contexte commercial et de l’intention – n’est pas spécifique à l’e-mail. Nous investissons également massivement dans les capacités de corrélation inter-canal.

L’autre grand changement sera les attaques qui exploitent l’adoption de l’IA au sein des organisations. À mesure que les entreprises déployeront des outils d’IA pour les processus commerciaux, les attaquants cibleront ces intégrations et flux de données.

Quelles leçons avez-vous tirées jusqu’à présent des déploiements dans le monde réel, et comment ces leçons ont-elles façonné votre feuille de route de produit ?

La leçon la plus importante est que les attaques nouvelles valident notre approche architecturale de manière que nous n’aurions pas pu prédire. Lorsque notre système TRACE a détecté l’attaque d’exploitation de Microsoft 365 Direct Send que Microsoft et le leader du marché ont manquée, cela a prouvé notre thèse selon laquelle le raisonnement bat la correspondance de modèles contre des techniques vraiment nouvelles.

Nous avons appris que l’expérience utilisateur compte plus que nous ne l’avions initialement réalisé, mais pas de la manière à laquelle nous nous attendions. Les équipes de sécurité ne veulent pas seulement une détection précise – elles veulent comprendre pourquoi le système a pris des décisions. Notre approche de preuves doubles aide parce que les analystes peuvent voir à la fois les preuves de l’avocat de la défense et du procureur qui ont conduit au verdict du juge LLM.

Nous avons également découvert que la détection d’attaques nouvelles crée des avantages concurrentiels que nous n’avions pas anticipés. Lorsque nous avons publié l’analyse de l’attaque Direct Send validée par Dark Reading, cela a établi une crédibilité technique de manière que les revendications marketing ne pouvaient pas le faire. Les prospects ont réalisé que nous ne prétendions pas seulement détecter des menaces inconnues – nous le prouvions avec des cas documentés où les fournisseurs établis avaient échoué.

Ces leçons ont façonné notre stratégie autour de la transparence et de la validation technique. Notre feuille de route met maintenant l’accent non seulement sur les capacités de détection, mais également sur la capacité à expliquer le raisonnement et à partager les renseignements sur les menaces avec la communauté de sécurité plus large.

Où voyez-vous StrongestLayer dans les deux à trois prochaines années, et quelle est la vision à long terme pour l’entreprise ?

Dans les deux prochaines années, je vois StrongestLayer devenir le moteur de raisonnement qui protège toute la communication commerciale – pas seulement l’e-mail, mais Teams, Slack, messagerie mobile et canaux émergents.

Les fondations techniques que nous avons établies avec TRACE – la compréhension du contexte commercial et de l’intention – s’appliquent au-delà de la sécurité des e-mails. À mesure que les organisations adoptent plus de canaux de communication et d’outils d’IA, elles ont besoin d’une protection cohérente qui comprend la logique commerciale sur toutes les plateformes.

À long terme, notre vision est d’être la couche d’intelligence qui aide les organisations à communiquer avec confiance dans un monde alimenté par l’IA. Au lieu que la sécurité soit un obstacle à la communication, nous voulons être le système qui permet aux entreprises d’adopter de nouvelles technologies de communication en toute sécurité.

L’objectif ultime est d’atteindre un point où les organisations ne pensent plus à la sécurité des e-mails comme un problème distinct – c’est simplement intégré à la façon dont la communication commerciale fonctionne, les protégeant automatiquement tout en favorisant la productivité.

Je vous remercie pour cette grande interview, les lecteurs qui souhaitent en savoir plus peuvent visiter StrongestLayer.