Lorsque les attaques évolutives dépassent les anciennes défenses : pourquoi il est temps de passer à une sécurité proactive basée sur l’IA

Si vous travaillez dans le domaine de la sécurité, vous vous sentez probablement toujours en train de rattraper le temps. Il y a une nouvelle faille de sécurité dans les actualités, une nouvelle histoire de rançongiciel, et une autre astuce ingénieuse que les défenseurs n’ont pas vue venir. En même temps, une grande partie de la protection repose encore sur des idées d’un internet plus ancien où les réseaux avaient des frontières claires et les attaquants se déplaçaient plus lentement.

Les chiffres vous disent que ce n’est pas juste une impression. Le dernier rapport IBM sur le coût d’une faille de sécurité évalue la faille de sécurité moyenne à 4,88 millions de dollars en 2024, contre 4,45 millions de dollars l’année précédente. Cette augmentation de 10 % est la plus importante depuis les années de pandémie, et elle intervient même si les équipes de sécurité investissent davantage dans les outils et le personnel.

Le rapport Verizon sur les enquêtes sur les failles de sécurité pour 2024 examine plus de 30 000 incidents et plus de 10 000 failles de sécurité confirmées. Il met en évidence la façon dont les attaquants s’appuient sur des informations d’identification volées, des exploits d’applications Web et des actions sociales telles que la prétextation, et il note que les organisations mettent en moyenne 55 jours pour corriger la moitié de leurs vulnérabilités critiques après la publication des correctifs. Ces 55 jours sont une fenêtre très confortable pour un attaquant qui scanne en continu.

En Europe, le rapport ENISA sur le paysage des menaces pour 2023 pointe également vers un mélange important de rançongiciels, d’attaques de déni de service, d’attaques de chaîne d’approvisionnement et d’ingénierie sociale. Une autre étude ENISA sur les incidents de chaîne d’approvisionnement a estimé qu’il y avait probablement quatre fois plus d’attaques de ce type en 2021 qu’en 2020, et que cette tendance a continué à augmenter. 

Donc, le tableau est simple mais inconfortable. Les failles de sécurité deviennent plus fréquentes, plus coûteuses et plus complexes, même si les outils s’améliorent. Quelque chose de structurel ne va pas dans la façon dont de nombreuses organisations se défendent encore.

Pourquoi le modèle de sécurité classique est en retard

Pendant longtemps, l’image mentale de la défense contre les cyberattaques était simple. Vous aviez un intérieur et un extérieur clairs. Vous construisiez un périmètre solide avec des pare-feu et des filtres. Vous déployiez un antivirus sur les points de terminaison et vous cherchiez des signatures de fichiers malveillants connus. Vous régliez les règles, vous regardiez les alertes et vous réagissiez lorsque quelque chose de flagrant se produisait.

Ce modèle a trois gros problèmes dans le monde actuel.

Premièrement, le périmètre a disparu en grande partie. Les gens travaillent de partout sur un mélange d’appareils gérés et non gérés. Les données sont stockées sur des plateformes de cloud public et des outils de logiciel en tant que service. Les partenaires et les fournisseurs se connectent directement aux systèmes internes. Des rapports comme l’étude ENISA sur la chaîne d’approvisionnement montrent à quel point les intrusions commencent souvent par un partenaire de confiance ou une mise à jour de logiciel plutôt que par une attaque frontale directe contre un serveur central.

Deuxièmement, la focalisation sur les signatures connues laisse un énorme angle mort. Les attaquants modernes mélangent des logiciels malveillants personnalisés avec ce que les défenseurs appellent « vivre sur le terrain ». Ils s’appuient sur des outils de scriptage intégrés, des agents de gestion à distance et des actions administratives quotidiennes. Chaque étape, considérée individuellement, peut sembler inoffensive. Une approche basée uniquement sur les signatures ne voit pas le plus grand schéma, surtout lorsque les attaquants changent de petits détails dans chaque campagne.

Troisièmement, les humains sont submergés. Le rapport Verizon montre que l’exploitation des vulnérabilités est maintenant un moyen majeur d’entrer dans les réseaux et que de nombreuses organisations ont du mal à appliquer les correctifs suffisamment rapidement. La recherche d’IBM ajoute que les temps de détection et de confinement longs sont une raison majeure pour laquelle les coûts des failles de sécurité continuent d’augmenter. Les analystes sont sous une montagne d’alertes, de journaux et de triage manuel, tandis que les attaquants automatisent autant que possible.

Donc, vous avez des attaquants qui sont plus rapides et plus automatisés, et des défenseurs qui s’appuient encore lourdement sur l’enquête manuelle et les anciens modèles. Dans cet écart, l’intelligence artificielle entre en jeu.

Les attaquants traitent déjà l’IA comme un coéquipier

Lorsque les gens parlent d’IA dans la sécurité, ils imaginent souvent des outils de défense qui aident à attraper les acteurs malveillants. La réalité est que les attaquants sont tout aussi désireux d’utiliser l’IA pour faciliter leur travail.

Le rapport Microsoft Digital Defense 2025 décrit comment les groupes soutenus par les États utilisent l’IA pour créer des médias synthétiques, automatiser des parties des campagnes d’intrusion et amplifier les opérations d’influence. Un résumé séparé Associated Press des renseignements sur les menaces de Microsoft rapporte que, de la mi-2024 à la mi-2025, les incidents impliquant du contenu faux généré par l’IA ont augmenté à plus de 200, soit plus du double de l’année précédente et environ 10 fois le nombre observé en 2023.

Dans la pratique, cela ressemble à des messages de phishing qui semblent avoir été écrits par un locuteur natif, dans n’importe quelle langue. Cela ressemble à des deepfakes audio et vidéo qui aident les attaquants à se faire passer pour des dirigeants seniors ou des partenaires de confiance. Cela ressemble à des systèmes d’IA qui trient de vastes volumes de données volées pour trouver les détails les plus précieux de votre environnement, de votre personnel et de vos tiers.

Un article récent du Financial Times sur l’IA agente dans les cyberattaques décrit même une opération d’espionnage largement autonome où un agent de codage d’IA a géré la plupart des étapes, de la reconnaissance à l’exfiltration de données, avec une entrée humaine limitée. Quoi que vous pensiez de ce cas spécifique, la direction est claire. Les attaquants sont tout à fait heureux de laisser l’IA gérer les parties ennuyeuses du travail.

Si les attaquants utilisent l’IA pour aller plus vite, se fondre mieux dans la masse et toucher plus de cibles, les défenseurs ne peuvent pas s’attendre à ce que les outils de périmètre traditionnels et le triage manuel des alertes soient suffisants. Vous devez apporter une intelligence similaire dans votre défense, ou l’écart se creuse.

De la défense réactive à la pensée de sécurité proactive

Le premier véritable changement n’est pas technique ; c’est mental.

Une posture réactive est construite autour de l’idée que vous pouvez attendre des signes clairs de problèmes, puis réagir. Un nouveau binaire est détecté. Une alerte se déclenche parce que le trafic correspond à un modèle connu. Un compte montre un signe flagrant de compromission. L’équipe saute sur l’occasion, enquête, nettoie et met peut-être à jour une règle pour empêcher exactement ce modèle de fonctionner à nouveau.

Dans un monde où les attaques sont lentes et rares, cela pourrait être acceptable. Dans un monde avec des sondages constants, des exploitations rapides et des campagnes soutenues par l’IA, c’est trop tard. Lorsque une règle simple se déclenche, les attaquants ont souvent déjà exploré votre réseau, touché des données sensibles et préparé des chemins de repli.

Une posture proactive commence à partir d’un endroit différent. Elle suppose que vous êtes toujours touché par un trafic hostile. Elle suppose que certaines contrôles échoueront. Elle se soucie de la rapidité avec laquelle vous remarquez un comportement inhabituel, de la rapidité avec laquelle vous pouvez le contenir et de la constance avec laquelle vous en tirez des leçons. Dans ce cadre, les questions clés deviennent très pratiques.

• Disposez-vous d’une visibilité continue sur vos systèmes clés, vos identités et vos magasins de données ?

• Pouvez-vous remarquer de petites déviations par rapport au comportement normal, et non seulement les signatures de fichiers malveillants connus ?

• Pouvez-vous relier cette compréhension à des actions rapides et répétitives sans épuiser votre équipe ?

L’IA n’est pas la solution par elle-même, mais c’est un moyen puissant de répondre à ces questions à l’échelle que les environnements modernes exigent.

À quoi ressemble une posture de cybersécurité basée sur l’IA

L’IA vous aide à passer d’une vision simple oui ou non des menaces à une image plus riche et basée sur le comportement. Du côté de la détection, les modèles peuvent surveiller l’activité des identités, la télémétrie des points de terminaison et les flux réseau, et apprendre ce qui ressemble à la normale pour votre environnement. Au lieu de bloquer uniquement un fichier malveillant connu, ils peuvent lever un drapeau rouge lorsque un compte se connecte depuis un emplacement inhabituel à un moment inhabituel, bascule vers un système qu’il n’a jamais touché auparavant, puis commence à déplacer de grandes quantités de données. Chaque événement individuel peut être facile à négliger. Le schéma combiné est intéressant.

Du côté de l’exposition, les outils soutenus par l’IA peuvent cartographier votre véritable surface d’attaque. Ils peuvent analyser les comptes de cloud public, les services accessibles via Internet et les réseaux internes pour trouver des systèmes de test oubliés, des stockages mal configurés et des panneaux d’administration exposés. Ils peuvent regrouper ces découvertes en histoires de risques pratiques plutôt que en listes brutes. C’est particulièrement important à mesure que l’IA de l’ombre grandit au sein des organisations, avec des équipes qui mettent en place leurs propres modèles et outils sans surveillance centrale, une tendance que IBM met en évidence dans son rapport le plus récent sur le coût d’une faille de sécurité comme une zone de risque grave. 

Du côté de la réponse, l’IA peut vous aider à agir plus rapidement et de manière plus cohérente. Certains centres d’opérations de sécurité utilisent déjà des systèmes soutenus par l’IA pour recommander des étapes de confinement en temps réel et pour résumer de longues chronologies d’enquête pour les analystes humains. L’Agence de cybersécurité et de sécurité des infrastructures des États-Unis décrit plusieurs utilisations de ce type dans ses ressources sur l’intelligence artificielle , montrant comment l’IA peut aider à détecter des activités de réseau inhabituelles et à analyser de grands flux de données de menaces à travers les systèmes fédéraux.

Aucun de cela ne supprime le besoin de jugement humain. Au lieu de cela, l’IA devient un multiplicateur de force. Elle prend en charge la surveillance constante, la détection de modèles et une partie du triage précoce, afin que les défenseurs humains puissent passer plus de temps sur des enquêtes approfondies et sur des questions de conception difficiles, telles que la stratégie d’identité et la segmentation.

Comment commencer à bouger dans cette direction

Si vous êtes responsable de la sécurité, tout cela peut sembler grand et abstrait. La bonne nouvelle est que le passage d’une défense réactive à proactive commence généralement par quelques étapes concrètes plutôt que par une transformation géante.

La première étape consiste à mettre vos flux de données en ordre. L’IA n’est utile que dans la mesure où elle peut voir les signaux. Si votre fournisseur d’identité, vos outils de point de terminaison, vos contrôles de réseau et vos plateformes de cloud envoient tous des journaux dans des silos séparés, chaque modèle aura des angles morts et les attaquants auront des cachettes. Investir dans une vue centrale de vos télémesures les plus importantes est rarement glamour, mais c’est la base qui rend possible un soutien significatif à l’IA.

La deuxième étape consiste à choisir des cas d’utilisation spécifiques plutôt que d’essayer de saupoudrer l’IA partout. De nombreux équipes commencent par l’analyse du comportement pour les comptes d’utilisateurs, la détection d’anomalies dans les environnements de cloud ou la détection plus intelligente des e-mails et du phishing. L’objectif est de choisir des domaines où vous savez déjà que vous avez des risques et où la reconnaissance de modèles sur de grands ensembles de données peut clairement aider.

La troisième étape consiste à associer chaque nouvel outil soutenu par l’IA à un ensemble explicite de garde-fous. Cela inclut la définition de ce que le modèle est autorisé à faire seul, de ce qui doit toujours impliquer un humain et de la façon dont vous mesurerez si le système est honnête et utile au fil du temps. Ici, la réflexion dans le cadre d’IA du NIST et les conseils des agences comme CISA peuvent vous éviter de tout réinventer vous-même.

Pourquoi la sécurité proactive basée sur l’IA ne peut pas attendre

Les attaques de cybersécurité se transforment en quelque chose de plus proche d’une condition de fond constante que d’une urgence rare, et les attaquants sont très heureux de laisser l’intelligence artificielle faire beaucoup du travail lourd pour eux. Le coût augmente, les points d’entrée se multiplient et les outils de l’attaquant deviennent plus intelligents chaque année. Un modèle réactif qui attend des alertes claires et puis se précipite est simplement pas conçu pour ce monde.

Une posture proactive basée sur l’IA est moins une question de poursuite d’une mode à la mode et plus une question de faire le travail silencieux et peu glamour de mise en ordre des données, d’ajout d’insights basés sur le comportement et de mise en place de garde-fous clairs autour de nouveaux systèmes d’IA afin qu’ils aident les défenseurs au lieu de les surprendre. L’écart entre les attaquants et les défenseurs est réel, mais il n’est pas fixe, et les choix que vous faites maintenant sur la façon dont vous utilisez l’IA dans votre pile de sécurité décideront de quel côté se déplacera plus rapidement au cours des prochaines années.