Chaim Mazal, Directeur de l’IA et de la Sécurité de Gigamon – Série d’entretiens

Chaim Mazal est le Directeur de l’IA et de la Sécurité de Gigamon, responsable de la sécurité globale, de la technologie de l’information, des opérations réseau, de la gouvernance, des risques, de la conformité, des systèmes d’entreprise internes et de la sécurité des produits. Chaim dirige également le programme stratégique d’IA de l’entreprise, qui vise à promouvoir la gouvernance, l’adoption transversale et l’utilisation sécurisée et responsable de l’IA. Reconnu par Security Magazine comme l’une des personnes les plus influentes dans le domaine de la sécurité en 2025, il est membre à vie de la fondation OWASP et siège au conseil consultatif de plusieurs entreprises, notamment Cloudflare, GitLab (GTLB ) et Rapid7. Il a précédemment occupé des postes de direction chez plusieurs leaders du secteur, notamment en tant que vice-président de la technologie et directeur de la sécurité chez Kandji.

Gigamon est une entreprise de technologie de cybersécurité et d’observabilité qui se concentre sur la fourniture d’une visibilité approfondie sur le trafic réseau dans les environnements hybrides et multi-nuages. Sa plate-forme capture et analyse les données en mouvement, y compris les paquets, les flux et les métadonnées d’application, pour fournir des informations exploitables aux outils de sécurité, de cloud et de surveillance de l’IT. Cela permet aux organisations de détecter les menaces cachées, d’améliorer les performances, de maintenir la conformité et de réduire la complexité en éliminant les points aveugles dans les systèmes de plus en plus distribués et chiffrés. Faites confiance aux grandes entreprises et aux organisations gouvernementales, Gigamon aide à sécuriser et à gérer l’infrastructure numérique moderne à grande échelle.

Vous avez eu un parcours unique, passant de votre temps dans les forums de piratage à l’âge de 13 ans à devenir Directeur de l’IA et de la Sécurité de Gigamon. Comment ces expériences précoces ont-elles façonné votre façon de penser les menaces cybernétiques modernes alimentées par l’IA ?

J’ai obtenu mon premier ordinateur à 8 ans et j’ai appris en expérimentant, notamment en découvrant DOS, en lisant des manuels et en m’enseignant finalement Visual Basic. Au fur et à mesure que je me suis plongé dans les communautés Internet, j’ai été fasciné par la façon dont les logiciels pouvaient être manipulés et où les systèmes étaient fragiles. Cette curiosité s’est transformée en tests de pénétration d’applications Web et en sécurisation des cycles de développement de SaaS.

Ce qui est intéressant à propos des menaces modernes, c’est que l’IA ne crée pas de nouvelles faiblesses, mais amplifie la découverte et l’exploitation de celles existantes. En raison de cette perspective précoce, j’aborde la sécurité de l’IA en supposant une utilisation adverse dès le départ, ce qui m’aide à concevoir des défenses pour nos clients chez Gigamon.

Vous avez observé que les campagnes de phishing, de ransomware et de malware générées par l’IA réduisent le temps d’impact de semaines à heures. Quels changements concrets voyez-vous dans la conception et le déploiement de ces attaques ?

L’IA a fondamentalement abaissé la barrière à l’entrée pour la cybercriminalité. Écrire des malwares, créer des campagnes de phishing convaincantes et identifier les vulnérabilités nécessitaient autrefois une expertise technique approfondie. Maintenant, ces attaques peuvent être accélérées et même entièrement automatisées avec l’aide d’outils d’IA. Les pirates n’ont plus besoin d’une solide formation technique pour lancer des campagnes sophistiquées, car l’IA peut générer du code, affiner les messages d’ingénierie sociale et aider les opérateurs à dépanner en temps réel.

En conséquence de cette accélération, l’ensemble du paysage des menaces a changé. Sans cadres de gouvernance, exigences de conformité ou contraintes éthiques pour les ralentir, les attaquants peuvent expérimenter, s’adapter et déployer à grande vitesse, et à faible coût. Ainsi, le temps d’impact a dramatiquement diminué, et ce qui prenait autrefois des semaines peut maintenant se produire en quelques heures. Pendant ce temps, de nombreuses organisations sont encore aux premiers stades de l’adoption de l’IA pour la défense, ce qui signifie que certaines des utilisations les plus efficaces de l’IA sont actuellement menées par les acteurs menaçants.

Qu’est-ce qui fondamentalement sépare une attaque cybernétique alimentée par l’IA d’une menace automatisée traditionnelle, et pouvez-vous partager un exemple qui rend cette différence claire ?

Ce qui fondamentalement sépare une attaque cybernétique alimentée par l’IA d’une menace automatisée traditionnelle, c’est l’autonomie et la persistance. Dans le passé, les pirates exécutaient un script et s’arrêtaient lorsqu’il échouait. La « durée de vie » était limitée à la durée d’exécution de l’automatisation. Avec l’IA, les agents sont donnés un objectif et, s’ils échouent, ils ne s’arrêtent pas. Ils continuent à itérer, à rechercher des chemins alternatifs pour atteindre le même objectif. La durée de vie est effectivement infinie.

Par exemple, avec une dépendance de build de production, les attaquants peuvent insérer quelque chose d’aussi petit que deux lignes de script tout en gardant la taille du fichier inchangée, ce qui signifie que les octets apparaissent identiques. Lorsque le fichier est compilé et exécuté, il lance une instance de terminal qui installe un agent autonome dans l’environnement d’entreprise, qui effectue ensuite une série de tâches malveillantes qui peuvent s’exécuter indéfiniment. Dans le passé, les binaires étaient considérés comme des vecteurs de menace post-déploiement. Maintenant, ils sont manipulés constamment, y compris tout au long du processus de build lui-même, pour exécuter des actions alimentées par l’IA à l’intérieur des environnements d’entreprise.

De nombreuses organisations s’appuient encore sur des contrôles de sécurité hérités et des livres de jeu établis. Pourquoi ces approches échouent-elles face aux attaques alimentées par l’IA, et où voyez-vous les points aveugles les plus dangereux ?

Nous sommes arrivés à un point où, si vous n’innovez pas et n’intégrez pas l’IA de manière réfléchie dans vos solutions et opérations de sécurité, vous êtes déjà en retard, et cela s’applique aux grandes entreprises et aux startups. Les organisations qui ne parviennent pas à intégrer l’IA dans leur stratégie de sécurité risquent d’être dépassées par les attaquants qui bougent plus vite et opèrent à une échelle plus grande.

Cela étant dit, se défendre contre les menaces alimentées par l’IA ne nécessite pas nécessairement une réinvention complète de la pile technologique. De nombreux outils dont les entreprises ont besoin sont déjà en place. Le véritable changement réside dans la façon dont ces outils sont utilisés. Il s’agit de renforcer les fondamentaux, d’utiliser les technologies existantes de manière plus intelligente et d’adapter les défenses pour tenir compte des attaquants non formés mais alimentés par l’IA.

Les acteurs menaçants utilisent l’IA de manière créative et stratégique. Si les entreprises ne prennent pas une approche similaire, elles risquent de créer d’énormes points aveugles. Les dirigeants doivent penser différemment à la façon dont ils déploient les outils qu’ils possèdent déjà, intègrent l’IA dans leurs opérations et évoluent leurs livres de jeu pour se défendre contre la vitesse et l’échelle des attaques d’aujourd’hui.

L’IA semble abaisser la barrière à l’entrée pour la cybercriminalité. Comment ce déplacement a-t-il changé le profil des attaquants d’aujourd’hui, et quels risques cela crée-t-il pour les entreprises ?

L’IA a rendu possible pour presque n’importe qui de devenir un pirate. Avec des outils d’IA à leur disposition, des acteurs inexpérimentés, même des adolescents, peuvent maintenant lancer des campagnes de phishing sophistiquées, déployer des rootkits et exécuter des attaques de ransomware qui nécessitaient autrefois une expertise technique significative.

Ce déplacement ajoute un nouveau niveau d’imprévisibilité au paysage des menaces. Au lieu de faire face à un petit nombre de groupes très sophistiqués, les entreprises sont maintenant confrontées à un spectre plus large d’acteurs qui expérimentent rapidement, apprennent en temps réel et collaborent à travers les communautés en ligne.

Pour les organisations, cela signifie non seulement plus d’attaques, mais également une plus grande variabilité dans leur exécution. Les entreprises doivent se préparer à un environnement de menace où la capacité n’est plus directement liée à l’expérience, et où n’importe qui peut mener des campagnes qui rivalisent avec celles des groupes historiquement avancés.

En fonction de ce que vous voyez dans les communautés d’attaquants, quels outils alimentés par l’IA gagnent-ils en traction, et à quelle vitesse ces capacités s’améliorent-elles ?

Il ne s’agit pas d’outils d’IA uniques aidant les pirates, mais plutôt du partage de ressources. Au lieu d’un outil unique exécutant un processus linéaire, les attaquants utilisent des agents décentralisés qui font référence aux données et partagent des informations collectivement à travers différents outils. Le résultat fonctionne plus comme une toile d’attaque, ou un essaim, plutôt que comme une capacité unique.

Ce qui est le plus notable à ce sujet, c’est la vitesse d’amélioration. Ces capacités changent chaque jour, et de nombreux outils utilisés étaient des preuves de concept il y a seulement quelques semaines. Le rythme de l’innovation et de l’itération au sein des communautés d’attaquants s’accélère rapidement, avec de nouvelles techniques et de nouveaux outils émergeant presque en temps réel.

Du point de vue d’un défenseur, quels signaux suggèrent qu’une organisation est confrontée à une campagne alimentée par l’IA plutôt qu’à une attaque plus conventionnelle ?

Du point de vue d’un défenseur, un signal majeur est que la reconnaissance ne ressemble plus à une séquence ou à une compartimentalisation. Historiquement, les attaquants suivaient des étapes claires – rassembler des informations par phases, espacer l’activité et cibler une surface à la fois. Maintenant, toutes ces activités se produisent en tandem. Les passerelles de messagerie, les services disponibles à l’extérieur, l’activité des comptes, les techniques de détection et d’évitement sont toutes exercées en même temps plutôt que séquentiellement.

Un autre signal est l’unification et la coordination de l’activité. Ce qui était autrefois morcelé est maintenant condensé et partagé collectivement à travers les outils, agissant plus comme un essaim que comme un effort unique. Ces agents itèrent continuellement, s’adaptent et accélèrent la prise de décision autour des vecteurs de menace, et ils n’acceptent pas de refus. Ce niveau d’activité simultanée, de coordination et de persistance suggère fortement une campagne alimentée par l’IA plutôt qu’une attaque conventionnelle.

Vous avez soutenu que de nombreux outils de sécurité d’IA actuels manquent complètement ces menaces. Ce qu’ils font de mal, et quelles capacités sont les plus urgentes ?

De nombreux outils de sécurité d’IA actuels sont encore construits autour de l’hypothèse erronée selon laquelle la prévention est l’objectif principal. Les fournisseurs continuent de positionner l’IA comme un moyen de bloquer les menaces à la périphérie, mais les attaquants sont plus rapides, plus adaptables et de plus en plus patients, utilisant l’IA, les deepfakes et les malwares avancés qui peuvent éviter les contrôles et rester indétectés pendant des mois.

Ce qui est le plus urgent, c’est une visibilité et des capacités de détection et de réponse complètes et en temps réel. Les organisations doivent mettre en œuvre une évaluation des risques continue, maintenir la visibilité du trafic chiffré où de nombreuses menaces se cachent, et utiliser la télémétrie et les API dérivées du réseau pour comprendre ce qui s’exécute sur leurs systèmes et comment les données sont en mouvement. La résilience aujourd’hui ne consiste pas à garder chaque menace à l’extérieur, mais à voir, arrêter et apprendre des menaces avant qu’elles ne s’aggravent.

Alors que l’IA accélère à la fois l’offense et la défense, croyez-vous que la défense d’IA peut réalistiquement suivre le rythme, ou allons-nous entrer dans une période où les attaquants maintiendront un avantage structurel ?

L’IA accélère les deux côtés de l’équation, mais à court terme, je pense que les attaquants ont l’avantage. Ils ne font face à aucune contrainte réglementaire, à aucune exigence de conformité ou à aucune limite éthique. Cela signifie qu’ils peuvent expérimenter librement et itérer à un rythme élevé. D’un autre côté, les entreprises doivent équilibrer l’innovation avec la gouvernance, la confidentialité et le risque opérationnel, ce qui ralentit naturellement l’adoption et la mise en œuvre de l’IA.

Cela étant dit, la défense d’IA peut absolument prendre le dessus si les organisations et les dirigeants changent d’approche. Les tactiques de sécurité réussies ne viendront pas de l’utilisation de l’IA uniquement pour la prévention. Cela nécessitera d’intégrer l’IA dans les flux de travail de détection, d’enquête et de réponse soutenus par une visibilité en temps réel. L’avantage n’est pas définitivement du côté de l’attaquant, mais il restera là jusqu’à ce que les organisations arrêtent de compter sur la prévention. Les dommages réels se produisent lorsque l’attaquant parvient à pénétrer le réseau, souvent en vivant sur le terrain et en attendant de s’emparer des données. Les dirigeants doivent passer de « pouvons-nous empêcher une faille » à « comment pouvons-nous détecter et éliminer les intrus ? »

En regardant six à douze mois à l’avance, quelles techniques d’attaque alimentées par l’IA s’attendez-vous à voir devenir courantes, et que devraient faire les équipes de sécurité pour se préparer ?

Six à douze mois, c’est un immense laps de temps dans cet environnement. Les choses changent réaliste tous les six à douze semaines. Le progrès rapide de l’IA rend difficile la prédiction de techniques spécifiques que les pirates utiliseront à l’avenir, donc l’accent devrait être mis moins sur deviner ce qui vient ensuite et plus sur la façon de se préparer.

Les défenseurs ont besoin d’utiliser la même technologie d’IA que les attaquants, avec un fort accent sur la défense en profondeur. Cela signifie utiliser l’IA pour faire référence à des flux constants de données à travers les points de terminaison en temps réel, en s’appuyant sur la télémétrie réseau immuable pour identifier le comportement transactionnel à travers les environnements privés, publics et sur site, et en alimentant cette télémétrie dans les outils appropriés, de sorte que les équipes de sécurité soient activement conscientes lorsque leur organisation est sondée.

En même temps, la mentalité de défense du périmètre doit être mise à la retraite. Il ne s’agit pas de savoir si une faille alimentée par l’IA se produira, mais quand. La priorité est maintenant l’identification précoce, la réduction de l’impact et la remédiation rapide. Cela inclut avoir un solide plan de réponse aux incidents, appliquer les principes de confiance zéro, faire respecter la segmentation du réseau, maintenir la gestion de l’accès avec des examens continus, et apporter des ajustements dynamiques selon les besoins pour protéger les données des clients et limiter l’impact.

Merci pour cet entretien éclairant, les lecteurs intéressés par l’observabilité profonde et la sécurité du réseau alimentée par l’IA peuvent visiter Gigamon.