IA dans la cyber : avantage à l’attaque… dans l’immédiat

Un tsunami pour les 18 prochains mois ? Pour les RSSI présents aux Assises de la sécurité, l’IA bénéficie d’abord aux assaillants. Multiplication des vulnérabilités découvertes, production express d’exploits, attaques automatisées… Il faudra du temps aux entreprises pour adapter leur cyberdéfense et leurs processus.

Près de 1000 vulnérabilités lors du dernier Patch Tuesday de Microsoft ; un record. Près de 3000 déjà publiées par Google pour son navigateur Chrome en 2026… contre moins de 250 l’an dernier. Des exploitations qui suivent souvent de quelques heures la divulgation de ces failles. Ces évolutions illustrent bien tout le problème auquel sont confrontés DSI et RSSI. Et que résume Yinon Costica, le cofondateur de Wiz, qui s’exprimait lors des Assises de la sécurité (Monaco, du 7 au 10 octobre) : « avec le cloud, l’infrastructure est devenue du code, qui est lui-même devenu une surface d’attaque. La sécurité a alors dû opérer à la vitesse des développements. Mais, avec l’IA, le code peut aujourd’hui être écrit 100 fois plus vite, ce qui signifie que la cyber doit transformer son modèle opérationnel ». Le cofondateur de Wiz, aujourd’hui passé dans le giron de Google, préconise l’emploi d’agents IA pour la défense, notant que les équipes cyber ont l’avantage de connaître le contexte de leur entreprise mieux que n’importe quel assaillant. 

La perspective, qui revient comme un mantra dans les discours des fournisseurs de cyber, ne suffit toutefois pas à rassurer les RSSI présents lors de l’événement monégasque. « Il faut s’attendre à un tsunami dans les 18 prochains mois, reconnaît Fabrice Bru, le président du Cesin, une association de RSSI regroupant 3000 membres environ. Notre problème, c’est l’obsolescence sur les infrastructures existantes et la capacité de l’IA à trouver des vulnérabilités non découvertes jusqu’à présent. »

Bienvenue dans une période « pénible »

Ancien de Cdiscount et de Mirakl, Thomas Fillaud, désormais RSSI de Salesforce France, partage cette appréciation, soulignant que la capacité des agents à trouver des vulnérabilités est bien supérieure à la capacité actuelle des RSSI à les corriger. Mais il se veut optimiste à moyen terme sur la capacité à produire « du code bien plus sûr grâce à l’intégration de l’IA dans le cycle de développement. » Une maigre consolation pour les RSSI, le même Thomas Fillaud reconnaissant que la période qui s’annonce, où le Legacy va cohabiter avec le nouveau monde marqué par des opérations cyber se déroulant à la vitesse des machines, devrait s’avérer « pénible ».

Sur le terrain, les RSSI constatent déjà les premiers effets de cet emballement, qui vient bousculer des processus encore mal adaptés à cette industrialisation de la découverte de failles et de leur exploitation. Bertrand Le Piolot, directeur cybersécurité de FDJ United, explique que, sur le programme de bug bounty maison, visant les applications web et mobiles de l’opérateur de jeux et de paris, le nombre de rapports a été multiplié par trois depuis mai. Même si la qualité des rapports diminue, « par manque de contrôle des IA » de la part des chasseurs de failles, selon lui, un rapport sur deux est jugé recevable par les équipes de l’héritier de la Loterie nationale. 

Patch management à réinventer

Alban Rocheteau, responsable du centre opérationnel de cybersécurité du groupe Covéa (Maaf, MMA, GMF), ne dit pas autre chose et parle d’une explosion du nombre de vulnérabilités. Avec 12 vulnérabilités de niveau catastrophique pour le groupe d’assurance déjà traitées en 2026, contre seulement 2 sur toute l’année 2025. « 100% d’entre elles ont été découvertes par l’IA, souligne le responsable. La cyberdéfense est sous pression. Le grand sujet pour nous, c’est le patch management, car nous avons une forte complexité technique et applicative. Quand nous touchons à quelque chose, nous espérons ne rien casser à côté. » Dans un secteur où l’informatique ne peut s’arrêter, l’urgence à patcher se heurte aux pressions sur la qualité de service. « Les fenêtres de maintenance sont limitées et les cycles de qualification et de déploiement sont encore longs – même si nous travaillons à les améliorer – et la dette de patching reste chronique », énumère Alban Rocheteau, décrivant une situation que ne connaissent que trop bien les DSI et RSSI d’organisations ayant une informatique Legacy importante.

Fabrice Bru, du Cesin, recommande des mesures d’atténuation, pour encaisser le choc : travailler sur la résilience des actifs essentiels, renforcer l’analyse de risques autour de ces périmètres et savoir prendre des mesures opportunistes. Comme de limiter strictement les processus autorisés à une liste blanche sur certains serveurs critiques. Bertrand Le Piolot préconise, lui, trois actions prioritaires : une forme de réassurance sur les fondamentaux (supervision, cloisonnement, réduction de la surface d’exposition…), l’intégration de l’IA dans la défense et la révision des processus de gestion de patch. « Même s’il faudra prioriser car on ne pourra pas appliquer tous les correctifs », reconnaît le RSSI.

Asymétrie entre l’attaque et la défense

Si, pour Thomas Fillaud, l’accélération du rythme de découverte des vulnérabilités devrait mécaniquement se tasser avec le temps, Fabrice Bru estime que la phase d’accélération actuelle aura des conséquences, tant sur le stock de failles à combler que sur le flux : « dans les 18 prochains mois, la baignoire va continuer à se remplir et pourrait bien déborder, sans même parler des exploitations en temps réel », reprend le président du Cesin. Pour le RSSI de Mistral, Thomas Coudray, la situation actuelle témoigne d’une asymétrie entre attaque et défense : « on peut utiliser des agents pour trouver et exploiter des vulnérabilités de façon automatique. Là où le paradigme de la défense consiste toujours à laisser l’humain dans la boucle. »

Ce qui signifie aussi que l’arrivée de l’IA dans les mécanismes d’attaque – pour la découverte de vulnérabilités, l’écriture de mécanismes d’exploitation à grande vitesse, voire pour l’exécution des attaques à grande échelle – appelle une évolution des processus dans les entreprises. Et ce, dès les phases de développement. Pour Arnaud Pilon, qui dirige la réponse à incidents et les investigations cyber chez le spécialiste de la sécurité offensive Synacktiv, les organisations qui possèdent un pipeline CI/CD bien structuré ont aujourd’hui une longueur d’avance. « Il ne leur manque que du pentest automatisé sur le code et la capacité à pousser l’alerte et la solution avant mise en production. Même si cette démarche aura un coût, c’est une opportunité de faire baisser le nombre de vulnérabilités », dit-il. Par ailleurs, si Arnaud Pilon dit redouter l’arrivée d’attaques massives à base d’agents – sur le modèle de celle ayant ciblé Hugging Face -, il estime que le coût des tokens devrait freiner nombre d’assaillants dans la mise en œuvre de tels scénarios.

Automatiser la défense avec des agents autonomes

Au-delà des usages de l’IA pour la revue de code, la technologie apparaît aussi prometteuse pour l’évolution des SOC. « La détection à l’échelle existe déjà depuis plusieurs années, mais nous allons vers des opérations d’endiguement sur des scénarios d’attaque imprévus, avec des agents prenant des décisions autonomes de bout en bout pour remédier à un problème », analyse Thomas Coudray (Mistral), qui plaide pour renforcer drastiquement l’automatisation de la défense. « Donnons davantage de droits aux agents, dit-il. Les attaques sont en train de passer à l’échelle avec de la puissance de calcul et de la puissance électrique. Il faut faire la même chose en matière de réponse à incidents, en investissant sur des agents spécifiques pour la défense capables d’aller de la détection dans le SIEM jusqu’à la remédiation de bout en bout. L’idée étant de rétablir la symétrie entre l’attaque et la défense. » Selon lui, le métier d’analyste SOC va muter vers des tâches d’observation et de management d’agents, une évolution d’autant plus cruciale que ceux-ci seront susceptibles d’avoir un impact sur la production. « La vision optimiste, c’est qu’on sera capable de disposer, dans un an, d’un vrai SOC agentique, capable de répondre à la vitesse de la machine », lance Bertrand Le Piolot, de FDJ United.

Une mutation des centres de sécurité opérationnelle que dessine notamment l’éditeur rennais Sekoia. Georges Bossert, son cofondateur et directeur technique et produit, estime que d’ici fin 2027, la plupart des opérations de cyberdéfense seront exécutées par des agents. L’éditeur basé à Rennes a testé pendant 3 mois l’utilisation de son agent d’investigation sur les événements de sécurité auprès de Spie, avant d’étendre le déploiement de cette technologie à 1000 clients depuis la rentrée. Résultat ? 90% des verdicts établis par la machine sur environ 400 000 événements de sécurité ont été laissés inchangés par les analystes SOC des 1000 sociétés concernées, ce taux atteignant même 96% chez Spie après un travail affinant les règles à appliquer.

Sauf qu’il y a un mais. Cette évolution vers une défense agentique soulève en effet de nouvelles questions, ces fameux agents de cyberdéfense devenant eux-mêmes des cibles très intéressantes pour un assaillant. Afin d’y faire face, Thomas Coudray recommande des mécanismes de LLM-as-a-judge pour monitorer leurs activités, dans une forme de course aux armements. « On n’a pas fini », soupire-t-il.

À LIRE AUSSI :

Secu

« Des mois, pas des années » : l’alerte des Five Eyes sur le basculement IA du risque cyber

Laurent Delattre

26 Juin

Abonnez-vous à la newsletter hebdo d'IT for Business !

Rejoignez notre liste de diffusion pour recevoir toutes les semaines une sélection d'articles et quelques autres surprises préparées spécialement pour vous par notre rédaction.

ABONNEZ-VOUS !

Nous vous envoyons un e-mail de validation !