Simbian lance un référentiel de défense contre les cybermenaces, révèle un fossé important dans les capacités de sécurité de l’IA

Un nouveau référentiel publié par Simbian remet en question l’un des principes les plus largement admis dans l’intelligence artificielle : que les mêmes modèles capables de trouver des vulnérabilités puissent également les défendre.

La société a récemment introduit un référentiel de défense contre les cybermenaces, développé par son laboratoire de recherche Simbian, qui évalue la performance des principaux modèles de langage (LLM) dans des scénarios de défense contre les cybermenaces dans le monde réel. Les résultats sont sans équivoque. Alors que les systèmes d’IA modernes sont de plus en plus efficaces pour découvrir et exploiter les faiblesses, ils ont du mal lorsqu’ils sont chargés d’identifier et de stopper les attaques actives.

Les modèles de pointe ne répondent pas aux exigences minimales de défense

Le référentiel a testé les principaux modèles, notamment Claude Opus 4.6, GPT-5, Gemini 3.1 Pro, et d’autres dans des environnements d’entreprise simulés.

Aucun des modèles n’a obtenu un score suffisant.

Claude Opus 4.6, le modèle le plus performant dans le test, n’a détecté qu’une partie des preuves d’attaque sur les tactiques MITRE ATT&CK, tandis que de nombreux modèles n’ont pas identifié des catégories entières d’activités malveillantes. Des recherches universitaires indépendantes ont corroboré ces résultats, montrant que même les meilleurs modèles ont du mal avec la chasse aux menaces ouvertes, ne détectant qu’une petite fraction des événements malveillants dans des scénarios réalistes.

Cette faille met en évidence une limitation critique. Les systèmes d’IA d’aujourd’hui peuvent exceller dans la réponse à des questions structurées ou la résolution de problèmes contenus, mais ils butent lorsqu’ils doivent enquêter sur des chaînes d’attaque complexes et évolutives sans guidance.

Un changement vers une évaluation réaliste et basée sur les agents

Ce qui distingue ce référentiel, c’est sa conception.

Contrairement aux tests de cybersécurité antérieurs qui reposent sur des questions à choix multiple ou des jeux de données statiques, l’approche de Simbian utilise des données de télémétrie réelles et place les modèles dans une boucle d’enquête agente. Au lieu de leur dire ce qu’ils doivent chercher, l’IA doit explorer les journaux, former des hypothèses et identifier les menaces de manière indépendante.

Ceci reflète la façon dont les analystes de sécurité humains opèrent dans les centres de sécurité réels.

Le référentiel intègre des dizaines de techniques d’attaque à travers plusieurs étapes, forçant les modèles à relier les signaux dans le temps et les systèmes. En mutant le contexte et en imposant un scoring déterministe, il réduit également le risque que les modèles se contentent de mémoriser des modèles.

Ce changement vers la réalisme est significatif. Dans le développement de l’IA, la création d’un référentiel qui reflète avec précision la complexité du monde réel est souvent le premier pas vers la résolution du problème lui-même.

Le fossé croissant entre l’IA offensive et défensive

Les résultats renforcent une tendance plus large qui émerge dans l’industrie.

L’IA s’améliore rapidement pour les tâches de cybersécurité offensives. Des études récentes montrent que les modèles de pointe peuvent déjà exécuter des attaques multétapes dans des environnements simulés et le font de plus en plus avec un outillage minimal. Dans le même temps, les capacités défensives sont en retard.

Cette asymétrie crée un déséquilibre. Les attaquants peuvent utiliser l’automatisation et l’échelle, tandis que les défenseurs s’appuient encore fortement sur l’expertise humaine et des outils fragmentés. Même lorsque l’IA identifie une vulnérabilité, elle peut mal interpréter sa gravité ou ne pas agir de manière appropriée, soulignant le fossé entre la détection et la compréhension.

Pourquoi l’IA “hors de la boîte” ne suffit pas

La conclusion de Simbian n’est pas que l’IA ne peut pas défendre les systèmes, mais qu’elle ne le peut pas seule.

Le référentiel suggère que les LLM nécessitent ce que la société appelle un “harnais sophistiqué” – une combinaison d’intelligence externe, de flux de travail structurés et d’intégration au niveau du système – pour fonctionner de manière efficace dans les environnements de sécurité.

Ceci est en accord avec des recherches plus larges qui montrent que l’ajout d’outils, de mémoire et de contexte améliore considérablement les performances de l’IA dans les tâches de cybersécurité.

Dans les environnements de production, Simbian affirme avoir atteint une précision de détection nettement supérieure en combinant les modèles avec ces couches supplémentaires. L’implication est claire : la capacité brute du modèle n’est qu’une partie du puzzle.

Une nouvelle catégorie de référentiel pour la sécurité de l’IA

La publication du référentiel de défense contre les cybermenaces marque une étape importante dans la façon dont les systèmes d’IA sont évalués pour un déploiement dans le monde réel.

En se concentrant sur la chasse aux menaces basée sur les preuves plutôt que sur la réponse aux questions, il reformule le problème de l’intelligence à l’exécution. Il introduit également le coût comme un facteur mesurable, mettant en évidence les compromis entre les performances et l’efficacité entre les modèles.

Alors que l’IA continue de remodeler la cybersécurité, des référentiels comme celui-ci pourraient devenir des outils essentiels pour comprendre non seulement ce que les modèles peuvent faire, mais où ils échouent – et pourquoi.

Pour l’instant, la conclusion est simple. Malgré les progrès rapides de l’IA, la défense contre les cybermenaces entièrement autonome reste hors de portée. La prochaine phase d’innovation dépendra probablement moins de la construction de modèles plus grands et plus de la conception de systèmes qui combinent l’IA avec l’intelligence structurée, le contexte et la supervision humaine.