David Kellerman, Field CTO chez Cymulate – Série d’entretiens

David Kellerman est le Field CTO chez Cymulate, et un professionnel technique senior en face du client dans le domaine de la sécurité de l’information et de la cybersécurité. David conduit les clients vers la réussite et les normes de sécurité élevées.

Cymulate est une entreprise de cybersécurité qui fournit une validation de l’exposition aux menaces pour les organisations qui cherchent à combler les lacunes de sécurité avant que les attaquants ne les exploitent. Sa plateforme permet aux organisations de définir leur posture de sécurité et de renforcer leur résilience cybernétique grâce à la découverte continue, à la validation, à la priorisation et à la remédiation guidée des faiblesses de sécurité. Grâce à l’automatisation et à l’intelligence artificielle, Cymulate offre des tests de sécurité offensifs avancés pour valider les contrôles, les menaces et les chemins d’attaque. En tant que plateforme ouverte, Cymulate s’intègre aux infrastructures de sécurité et IT existantes pour piloter le flux de travail du processus de gestion de l’exposition et améliorer les défenses en temps réel. En offrant une simulation de violation et d’attaque (BAS), une gestion de l’exposition et une gestion de la posture de sécurité, Cymulate aide les entreprises à identifier les vulnérabilités.

Qu’est-ce que vous voyez comme le principal moteur derrière la montée en puissance des menaces de cybersécurité liées à l’IA en 2025 ?

Les menaces de cybersécurité liées à l’IA augmentent en raison de l’accessibilité accrue de l’IA. Les acteurs menaçants ont maintenant accès à des outils d’IA qui peuvent les aider à itérer sur les logiciels malveillants, à créer des e-mails de phishing plus crédibles et à amplifier leurs attaques pour augmenter leur portée. Ces tactiques ne sont pas « nouvelles », mais la vitesse et la précision avec lesquelles elles sont déployées ont ajouté considérablement au backlog déjà long des menaces de cybersécurité que les équipes de sécurité doivent traiter. Les organisations se précipitent pour mettre en œuvre la technologie d’IA, tout en ne comprenant pas pleinement que des contrôles de sécurité doivent être mis en place autour de celle-ci, pour s’assurer qu’elle n’est pas facilement exploitée par les acteurs menaçants.

Existe-t-il des secteurs ou des industries spécifiques plus vulnérables à ces menaces liées à l’IA, et pourquoi ?

Les industries qui partagent régulièrement des données entre canaux, employés, clients ou clients sont sensibles aux menaces liées à l’IA, car l’IA facilite aux acteurs menaçants l’engagement dans des schémas de génie social convaincants. Les arnaques de phishing sont effectivement un jeu de nombres, et si les attaquants peuvent maintenant envoyer des e-mails plus authentiques à un plus grand nombre de destinataires, leur taux de réussite augmentera considérablement. Les organisations qui exposent leurs services d’IA aux publics potentiels invitent les attaquants à essayer de les exploiter. Même si c’est un risque inhérent à la mise à disposition de services publics, il est crucial de le faire correctement.

Quelles sont les principales vulnérabilités auxquelles les organisations sont confrontées lors de l’utilisation de LLM publics pour les fonctions métier ?

La fuite de données est probablement la principale préoccupation. Lorsque vous utilisez un grand modèle de langage public (LLM), il est difficile de dire avec certitude où ces données vont – et la dernière chose que vous voulez faire est de télécharger accidentellement des informations sensibles sur un outil d’IA publiquement accessible. Si vous avez besoin d’analyser des données confidentielles, gardez-les en interne. N’avez pas recours à des LLM publics qui pourraient ensuite divulguer ces données à Internet.

Comment les entreprises peuvent-elles sécuriser efficacement les données sensibles lors du test ou de la mise en œuvre de systèmes d’IA en production ?

Lors du test de systèmes d’IA en production, les organisations devraient adopter une mentalité offensive (plutôt que défensive). Cela signifie que les équipes de sécurité devraient tester et valider proactivement la sécurité de leurs systèmes d’IA, plutôt que de réagir aux menaces entrantes. La surveillance constante des attaques et la validation des systèmes de sécurité peuvent aider à garantir que les données sensibles sont protégées et que les solutions de sécurité fonctionnent comme prévu.

Comment les organisations peuvent-elles se défendre proactivement contre les attaques pilotées par l’IA qui évoluent constamment ?

Alors que les acteurs menaçants utilisent l’IA pour faire évoluer leurs menaces, les équipes de sécurité peuvent également utiliser l’IA pour mettre à jour leurs outils de simulation de violation et d’attaque (BAS) pour s’assurer qu’elles sont protégées contre les menaces émergentes. Des outils comme le flux de menaces quotidien de Cymulate chargent les dernières menaces émergentes dans le logiciel de simulation de violation et d’attaque de Cymulate quotidiennement pour garantir que les équipes de sécurité valident la cybersécurité de leur organisation contre les menaces les plus récentes. L’IA peut aider à automatiser des processus comme ceux-ci, permettant aux organisations de rester agiles et prêtes à faire face même aux menaces les plus récentes.

Quel rôle les plateformes de validation de sécurité automatisées, comme Cymulate, jouent-elles dans la mitigation des risques posés par les menaces de cybersécurité pilotées par l’IA ?

Les plateformes de validation de sécurité automatisées peuvent aider les organisations à rester à la pointe des menaces de cybersécurité émergentes liées à l’IA grâce à des outils conçus pour identifier, valider et prioriser les menaces. Étant donné que l’IA sert de multiplicateur de force pour les attaquants, il est important de ne pas seulement détecter les vulnérabilités potentielles dans votre réseau et vos systèmes, mais de valider lesquelles représentent une menace réelle pour l’organisation. Ce n’est qu’alors que les expositions peuvent être efficacement priorisées, permettant aux organisations de mitiger les menaces les plus dangereuses en premier lieu, avant de passer aux éléments moins pressants. Les attaquants utilisent l’IA pour sonder les environnements numériques à la recherche de faiblesses potentielles avant de lancer des attaques hautement personnalisées, ce qui signifie que la capacité à traiter les vulnérabilités dangereuses de manière automatisée et efficace n’a jamais été plus critique.

Comment les entreprises peuvent-elles intégrer des outils de simulation de violation et d’attaque pour se préparer aux attaques pilotées par l’IA ?

Les logiciels de simulation de violation et d’attaque (BAS) sont un élément important de la gestion de l’exposition, permettant aux organisations de créer des scénarios d’attaque réalistes qu’elles peuvent utiliser pour valider les contrôles de sécurité contre les menaces les plus pressantes d’aujourd’hui. Les dernières informations sur les menaces et les recherches primaires du Groupe de recherche sur les menaces de Cymulate (combinées avec des informations sur les menaces émergentes et de nouvelles simulations) sont appliquées quotidiennement à l’outil de simulation de violation et d’attaque de Cymulate, avertissant les dirigeants de la sécurité si une nouvelle menace n’a pas été bloquée ou détectée par leurs contrôles de sécurité existants. Avec la simulation de violation et d’attaque, les organisations peuvent également personnaliser les simulations pilotées par l’IA à leurs environnements et politiques de sécurité uniques avec un cadre ouvert pour créer et automatiser des campagnes et des scénarios d’attaque avancés.

Quelles sont les trois principales recommandations que vous feriez aux équipes de sécurité pour rester à la pointe de ces menaces émergentes ?

Les menaces deviennent de plus en plus complexes chaque jour. Les organisations qui n’ont pas de programme de gestion de l’exposition efficace en place risquent de se retrouver dangereusement en retard, donc ma première recommandation serait de mettre en œuvre une solution qui permet à l’organisation de prioriser efficacement ses expositions. Ensuite, assurez-vous que la solution de gestion de l’exposition inclut des capacités de simulation de violation et d’attaque (BAS) qui permettent à l’équipe de sécurité de simuler les menaces émergentes (IA et autres) pour évaluer la performance des contrôles de sécurité de l’organisation. Enfin, je recommanderais d’utiliser l’automatisation pour garantir que la validation et les tests peuvent avoir lieu de manière continue, et non seulement lors d’examen périodiques. Étant donné que le paysage des menaces change à chaque minute, il est crucial d’avoir des informations à jour. Les données de menaces du dernier trimestre sont déjà obsolètes.

Quels développements dans la technologie d’IA prévoyez-vous dans les cinq prochaines années qui pourraient aggraver ou atténuer les risques de cybersécurité ?

Beaucoup dépendra de la manière dont l’IA continuera d’être accessible. Aujourd’hui, les attaquants de bas niveau peuvent utiliser les capacités d’IA pour améliorer et amplifier leurs attaques, mais ils ne créent pas de nouvelles tactiques sans précédent – ils rendent simplement les tactiques existantes plus efficaces. Pour l’instant, nous pouvons (la plupart du temps) compenser cela. Mais si l’IA continue de devenir plus avancée et reste très accessible, cela pourrait changer. Les réglementations joueront un rôle à cet égard – l’UE (et, dans une moindre mesure, les États-Unis) ont pris des mesures pour réglementer la manière dont l’IA est développée et utilisée, il sera donc intéressant de voir si cela aura un effet sur le développement de l’IA.

Prévoyez-vous un changement dans la manière dont les organisations priorisent les menaces de cybersécurité liées à l’IA par rapport aux défis de cybersécurité traditionnels ?

Nous voyons déjà les organisations reconnaître la valeur de solutions comme la simulation de violation et d’attaque (BAS) et la gestion de l’exposition. L’IA permet aux acteurs menaçants de lancer rapidement des campagnes ciblées avancées, et les équipes de sécurité ont besoin de tout avantage possible pour rester à la pointe. Les organisations qui utilisent des outils de validation auront beaucoup moins de mal à garder la tête hors de l’eau en priorisant et en atténuant les menaces les plus pressantes et les plus dangereuses en premier lieu. N’oubliez pas que la plupart des attaquants recherchent un score facile. Vous ne pourrez peut-être pas arrêter chaque attaque, mais vous pouvez éviter de vous rendre vulnérable.

Je vous remercie pour cette grande interview, les lecteurs qui souhaitent en savoir plus devraient visiter Cymulate.