RSSI : pourquoi l’accélération de l’IA rend les fondamentaux de la sécurité indispensables
Les échanges du CyberRisk Alliance Summit le montrent : l’IA n’a pas redessiné le paysage des menaces, elle a simplement réduit à néant le temps dont disposent les défenseurs pour corriger leurs failles opérationnelles de base.
Les responsables de la sécurité des entreprises sont régulièrement inondés de discours commerciaux promettant que tel ou tel outil d’IA va, à lui seul, réinventer le centre opérationnel de sécurité (SOC). Sur le terrain, pourtant, les défenseurs se battent toujours avec des systèmes de gestion des identités et des accès défaillants, des vulnérabilités non corrigées dans les applications web et l’exposition liée à la chaîne d’approvisionnement tierce.
Cette réalité opérationnelle était au cœur du CyberRisk Alliance Cybersecurity Summit, qui s’est tenu le 1er octobre à Bellevue, dans l’État de Washington. Intervenants et praticiens y ont conclu que la vitesse de l’IA ne remplace pas les fondamentaux de la sécurité : elle amplifie chacune des failles existantes.
L’IA redonne vie à des vulnérabilités vieilles de vingt ans
Une idée reçue très répandue dans les conseils d’administration veut que l’IA permette aux attaquants de lancer des catégories d’attaques entièrement nouvelles. En pratique, l’IA abaisse simplement le niveau d’entrée nécessaire pour exploiter, à une vitesse et à une échelle inédites, des vecteurs d’attaque connus depuis des décennies.
Comme l’a souligné lors de l’événement Johnny Wong, consultant principal chez Veracode, les LLM entraînés sur des dépôts de code publics réintroduisent activement, à l’échelle de l’entreprise, des vulnérabilités du Top 10 de l’OWASP, vieilles de vingt ans, comme l’injection SQL ou le cross-site scripting (XSS). Les salariés non-développeurs qui rédigent des scripts « fantômes » à coups de prompts élargissent considérablement cette surface d’attaque, a-t-il ajouté.
En matière d’ingénierie sociale aussi, l’IA rend les tactiques d’attaque classiques plus efficaces, plus accessibles et plus faciles à industrialiser, estime Mario Villatoro, vice-président et RSSI de Jamf.
« Beaucoup d’entre nous se souviennent de l’époque où l’on conseillait de repérer les fautes de grammaire ou les e-mails hors contexte, rappelle-t-il. Cela ne fonctionne plus. Nous avons vu l’IA construire un kit de phishing en quelques minutes. Cela ne demande quasiment aucune compétence. L’IA a réellement abaissé la barrière à l’entrée. »
S’il reconnaît que l’IA peut aussi jouer un puissant rôle de « démultiplicateur de force » pour la défense, Mario Villatoro insiste sur la nécessité de partir de fondations opérationnelles solides. Pour faire la part des choses face aux promesses des éditeurs, il conseille aux RSSI d’appliquer un filtre simple : évaluer si une nouvelle fonctionnalité réduit de manière mesurable un risque précis, puis en quoi elle modifie concrètement les leviers dont dispose l’attaquant, et enfin quel impact réel aurait, sur la posture de sécurité de l’organisation, le fait de s’en passer au cours des 12 à 18 prochains mois.
Le vrai périmètre : identités, sauvegardes et zero trust
Face à l’accélération des menaces, la défense de base ne passe pas par une hypothétique offre d’automatisation, mais par l’application rigoureuse des pratiques de sécurité fondamentales. En ouverture du sommet, RJ Niesen, coordinateur cybersécurité de la CISA pour l’État de Washington, a dressé un état des lieux sans complaisance du niveau de préparation des organisations.
Il a relevé que les interventions de la CISA sur des incidents dans l’État de Washington révèlent fréquemment des organisations dépourvues de sauvegardes immuables ou hors site, ou qui ne réalisent pas de test annuel de restauration.
« L’une des erreurs que les organisations commettent encore consiste à traiter l’identité comme une question de provisionnement informatique, alors que ce n’en est pas une. L’identité est au cœur de la sécurité. »
Mario VillatoroV-P et RSSI de Jamf
« Quand on me dit que les sauvegardes n’ont pas été testées depuis deux ans, imaginez que vous soyez attaqué demain, que vous disiez à votre DSI : “On va simplement restaurer à partir des sauvegardes”, et que vous découvriez qu’il n’y a rien. Si vous n’appliquez pas les fondamentaux, arrêtez de chercher à investir dans des robots. »
Au-delà de la résilience hors ligne, Mario Villatoro fait de la gestion des identités et des accès un socle d’architecture non négociable.
« L’une des erreurs que les organisations commettent encore couramment consiste à traiter l’identité comme une question de provisionnement informatique, alors que ce n’en est pas une. L’identité est au cœur de la sécurité », affirme-t-il.
Point crucial : l’essor des agents d’IA autonomes rend l’architecture zero trust plus indispensable encore, et non moins. Comme l’explique Mario Villatoro, l’autorisation continue et la segmentation du réseau sont les principaux mécanismes permettant d’empêcher des identifiants compromis ou des agents non humains, hors de contrôle, de se déplacer latéralement.
« Avec un réseau segmenté, vous réduisez votre rayon d’impact », détaille-t-il. « Avec une bonne visibilité, vous savez ce que font les agents. Et si vous avez un accès et une validation continus, vous n’aurez pas un agent livré à lui-même qui se promène partout. »
Gouvernance, confiance et « humain dans la boucle »
À mesure que les équipes de sécurité intègrent l’IA à leurs processus opérationnels, les données mettent en évidence un écart important entre capacités techniques et confiance des organisations.
Présentant les résultats du « 2026 AI SOC Leadership Report » de Torq, Briana Clark, de l’éditeur, a indiqué que si 97 % des responsables sécurité se disent convaincus que l’IA peut prendre en charge le tri des alertes, seuls 35 % l’ont effectivement déployée à cette fin. Par ailleurs, 92 % d’entre eux font état d’une « barrière de confiance » explicite qui freine une adoption plus large de l’IA.
Cette hésitation est directement liée à la gravité de la menace et à l’exigence de transparence des algorithmes.
« Soixante-douze pour cent sont tout à fait à l’aise pour confier les alertes de sévérité faible et moyenne à une solution autonome », explique-t-elle. « Ce chiffre baisse nettement dès qu’il s’agit d’alertes élevées et critiques. Dans ces cas-là, ils attendent toujours qu’un humain intervienne dans les escalades, les investigations, et surtout dans la réponse. »
« Peu m’importe que vous utilisiez ChatGPT, Claude ou autre chose pour produire le travail : c’est votre nom qui figure dessus. Je vous tiens pour responsable de tout ce qui peut arriver. »
Johnny WongConsultant principal, Veracode
Briana Clark insiste : les SOC d’entreprise exigent une transparence totale et refusent les moteurs « boîte noire ». L’IA peut accélérer considérablement l’enrichissement des incidents et réduire fortement le temps de présence des attaquants dans le système, mais la responsabilité finale incombe aux humains.
Cette exigence de supervision humaine trouve un écho, côté développement, chez Johnny Wong, de Veracode, qui souligne que l’assistance automatisée au codage ne décharge jamais les ingénieurs de leur responsabilité personnelle.
« Peu m’importe que vous utilisiez ChatGPT, Claude ou autre chose pour produire le travail : c’est votre nom qui figure dessus », tranche-t-il. « Je vous tiens pour responsable de tout ce qui peut arriver. »
Alors que les équipes de sécurité des entreprises soupèsent les promesses du SOC autonome et de la vitesse de l’IA, la leçon de l’événement est claire : l’IA ne permet pas de s’affranchir de la discipline opérationnelle. Qu’il s’agisse de relire du code généré par l’IA, de sécuriser les identités ou de trier les alertes, la résilience de l’entreprise repose toujours sur la rigueur d’exécution, la vérification continue et la responsabilité humaine.
Ce conseil est initialement paru en anglais sur Techtarget.com, une publication sœur du MagIT.
Pour approfondir sur Gestion de la sécurité (SIEM, SOAR, SOC)
