Défendre l’entreprise contre les agents malveillants de l’IA

Le paysage de la cybersécurité a entré dans une nouvelle phase : ce qui était autrefois un conflit entre attaquants humains et défenseurs humains est devenu une bataille de ressources entre machines. Les progrès de l’IA générative et agente ont industrialisé la cybercriminalité, la transformant d’un domaine de niche à haute compétence en une opération scalable et à faible barrière. Selon les données récentes de l’industrie, environ 41 % des attaques sont désormais alimentées par l’IA, un chiffre qui souligne à quel point ce changement s’accélère.

Le coût élevé des défenses héritées

L’impact financier des attaques alimentées par l’IA est déjà substantiel. Les données du rapport 2025 de Fingerprint sur l’état de la fraude et de la prévention de l’IA montrent que les entreprises perdent en moyenne 414 000 dollars par an en raison de la fraude alimentée par l’IA, avec un tiers des répondants déclarant des pertes allant jusqu’à 1 million de dollars. Pour de nombreuses organisations, ces chiffres ne sont plus des exceptions ; ils font désormais partie du coût de faire des affaires en ligne.

Ces pertes signalent également un problème structurel plus profond : les outils de défense sur lesquels les entreprises s’appuient ont été conçus pour un modèle de menace différent. Des mesures telles que les CAPTCHAs, les règles basées sur les adresses IP, les limites de taux simples et les listes de blocage ont été conçues pour filtrer les bots scriptés. Aujourd’hui, ces mêmes contrôles sont de plus en plus inefficaces contre les adversaires alimentés par l’IA qui peuvent exploiter des navigateurs réels, s’adapter à la friction en temps réel et distribuer leur activité de manière à se fondre dans le trafic légitime.

Les CAPTCHAs illustrent clairement le problème. Initialement destinés à distinguer les humains des bots, de nombreux CAPTCHAs peuvent désormais être résolus plus rapidement et plus précisément que les humains. Dans le même temps, ces défis introduisent de la friction pour les utilisateurs légitimes, augmentant les taux d’abandon et dégradant l’expérience client. L’authentification multifacteur (MFA) ajoute une couche de protection, mais elle est également vulnérable au swapping de SMS et au phishing. Dans l’ensemble, ces contrôles créent souvent l’illusion de la sécurité tout en reportant le fardeau sur les utilisateurs réels.

La crise opérationnelle et la contradiction de la vie privée

Le bilan financier ne raconte que la moitié de l’histoire — l’autre moitié du récit est la paralysie opérationnelle. Le même rapport met en évidence que 62 % des répondants B2B SaaS indiquent que leurs équipes de fraude consacrent beaucoup plus de temps aux processus manuels en raison des attaques alimentées par l’IA. Les analystes sont submergés d’alertes, de faux positifs et de cas limites, laissant moins de ressources pour la défense proactive, le renseignement sur les menaces et la stratégie à long terme.

Cette tension opérationnelle est aggravée par l’évolution nécessaire de la vie privée des consommateurs. Alors que les réglementations et les préférences des consommateurs évoluent vers une protection accrue, ce changement a involontairement créé un angle mort pour les équipes de sécurité.

La principale conclusion est la suivante : 40 % des organisations déclarent que la conformité à la vie privée réduit considérablement la précision de l’identification des utilisateurs. Alors que les fournisseurs de navigateurs comme Mozilla et Apple (AAPL ) adoptent des positions pro-vie privée qui limitent les techniques traditionnelles d’identification des navigateurs et des appareils, ils créent également involontairement un angle mort pour les fraudeurs, humains ou automatisés, pour rester anonymes — ce qui, ironiquement, rend plus difficile la protection des utilisateurs légitimes. L’impact ressenti est important : 57 % des entreprises B2B SaaS, 32 % des entreprises fintech et 27 % des institutions bancaires signalent une réduction importante de la précision de l’identification des appareils et des navigateurs.

Pourquoi les outils hérités échouent au test de l’IA

Le décalage entre les défenses héritées et les attaquants modernes est désormais flagrant. Les adresses IP sont facilement tournées, les MFA peuvent être contournés, et les défis CAPTCHA peuvent être résolus rapidement par les modèles d’IA. Cependant, ces solutions offrent peu ou pas de persistance contre les acteurs malveillants.

En outre, contrairement aux bots traditionnels qui suivent des scripts linéaires, l’IA agente peut « raisonner » à travers les obstacles, ajustant sa stratégie de manière dynamique à mesure qu’elle apprend de ses erreurs. Alors que de plus en plus de personnes se tournent vers les applications numériques, l’incapacité des défenses héritées à contenir les attaques alimentées par l’IA a conduit à de plus grandes opportunités de violations de données et de risques systémiques.

Pour les entreprises, cela crée un dilemme persistant. Renforcer les contrôles de manière agressive, et les utilisateurs légitimes sont pénalisés par la friction, les retards et les rejets faux. Assouplir les contrôles pour préserver l’expérience, et les volumes de fraude augmentent. Le résultat est un compromis « perdant-perdant » qui érode à la fois la posture de sécurité et la confiance des clients.

Valeur d’entreprise : décoder l’intention pour restaurer la confiance

Pour les secteurs à haut risque tels que la fintech et le commerce électronique, la valeur de l’intelligence des appareils modernes va au-delà de la simple « prévention de la fraude » — il s’agit de restaurer la confiance dans l’identification de l’intention de l’utilisateur et l’évaluation des risques de manière plus précise.

L’intelligence des appareils permet aux organisations d’évaluer les risques en reconnaissant les appareils de confiance et en analysant les signaux entourant chaque interaction, tels que l’intégrité du navigateur, les indicateurs d’automatisation, la cohérence de l’environnement et les anomalies de comportement, avant que l’utilisateur ne fournisse des informations d’identification ou n’effectue une transaction. Ce passage d’une prévention réactive à une prévention proactive et d’une évaluation des risques basée sur le contexte est essentiel pour l’efficacité opérationnelle et la confiance des utilisateurs.

Par exemple, pour Cornershop d’Uber, l’intelligence des appareils a identifié de manière fiable les utilisateurs récurrents et a mis en évidence les activités à haut risque dès le départ, leur permettant d’intercepter les transactions frauduleuses, de minimiser les faux positifs et de réduire les rejets de carte de crédit.

La stratégie de pivot : défense agente et signaux en temps réel au niveau de l’appareil

Alors que les menaces alimentées par l’IA deviennent plus adaptables, les entreprises ont besoin de la capacité d’évaluer si une session semble légitime dès les premiers signes d’activité, et non pas seulement après qu’une transaction a échoué ou qu’un compte a été compromis.

En raison de cela, s’adapter aux menaces alimentées par l’IA nécessite un pivot stratégique dans la conception des défenses. Plutôt que de s’appuyer sur des identificateurs fragiles comme les adresses IP ou des comportements facilement falsifiables comme les mouvements de la souris, les entreprises commencent à privilégier les signaux au niveau de l’appareil qui sont plus difficiles pour les agents autonomes à manipuler. Les indicateurs de risque en temps réel basés sur l’environnement, l’intégrité et la configuration d’un appareil fournissent aux équipes de fraude les signaux fiables dont elles ont besoin pour agir immédiatement lorsqu’une activité suspecte est détectée.

Le coût double d’une sécurité faible contre les menaces alimentées par l’IA

Le coût de la sécurité compromise de l’entreprise est double : perte économique et perte d’efficacité. Sur le plan économique, lorsque les défenses sont incohérentes, manuelles ou facilement contournables, les attaquants peuvent opérer à grande échelle avec un risque limité. Lorsque les défenses augmentent le coût et la complexité des attaques au-delà de leur rendement attendu, les adversaires passent à autre chose.

Le deuxième coût, la perte d’efficacité, va au-delà de la perte monétaire : il inclut la tension opérationnelle, la friction accrue et l’abandon des clients, ainsi que le désavantage concurrentiel. Le million de dollars de pertes annuelles signalé par les entreprises, ainsi que les revers opérationnels que ces entreprises rencontrent lorsqu’elles sont attaquées, devraient être un appel clair à l’action.

La présence croissante de l’IA est inévitable. Les entreprises doivent adapter leurs architectures de sécurité à un monde où les fraudeurs sont persistants, adaptables et sans relâche, avec une myriade d’outils d’IA à leur disposition.

Les entreprises qui investissent dans des défenses basées sur les données en temps réel conçues pour les adversaires automatisés et les réalités modernes de la vie privée sont mieux positionnées pour restaurer la confiance dans leurs écosystèmes numériques.