"Cyber is broken" : l'IA a mis en évidence les limites de la détection

Les entreprises investissent massivement dans la cybersécurité mais malgré une meilleure visibilité et des outils avancés, la protection attendue n'a pas été au rendez-vous.

Depuis plus d'une décennie, la cybersécurité s'articule autour d'un même objectif : détecter plus tôt, détecter plus vite, tout détecter. Les entreprises ont multiplié leurs investissements dans les centres d'opérations de sécurité, la supervision, l'analyse comportementale et la détection assistée par l'IA, convaincues qu'une meilleure visibilité se traduirait à terme par une meilleure protection. Cela n'a pas été le cas.

Malgré des dépenses record, les violations de données ne cessent de prendre de l'ampleur, de s'accélérer et d'avoir des répercussions opérationnelles de plus en plus importantes. Les capacités de détection se sont considérablement améliorées, mais les mesures de contrôle opérationnel n'ont pas suivi le rythme. L'intelligence artificielle rend désormais ce déséquilibre impossible à ignorer.

La détection n’est plus la difficulté. La vitesse l’est

Aujourd’hui, la plupart des organisations sont convaincues de pouvoir détecter les activités suspectes au sein de leurs environnements. Le problème, c’est ce qui se passe ensuite.

Presque toutes les entreprises pensent pouvoir identifier les mouvements latéraux non autorisés au sein de leurs systèmes d’information, mais près d’une sur deux admet rencontrer des difficultés lorsqu’il s’agit de les stopper rapidement*. En d’autres termes : nous savons comment identifier l’incident, mais nous avons encore du mal à en limiter l’impact.

Pour de nombreuses entreprises françaises, cette difficulté ne relève plus uniquement d’un enjeu technique, mais d’un risque métier direct affectant la continuité d’activité, la production, les chaînes logistiques ou encore la relation client.

Cet écart entre la prise de conscience et l’action existe depuis des années. Ce qui a changé, c’est la vitesse à laquelle il est désormais exploité.

L’IA accélère les attaques au-delà des cycles de réponse humains

L’intelligence artificielle est souvent présentée comme un risque futur. En pratique, elle transforme déjà la manière dont les attaques se déroulent. Un récent rapport montre que le délai moyen entre l’accès initial et le mouvement latéral est désormais de 29 minutes. Dans le cas le plus rapide : 27 secondes.

En automatisant la reconnaissance, en accélérant la prise de décision et en testant plusieurs voies simultanément, l'IA permet aux attaquants de détecter et d'exploiter les vulnérabilités plus rapidement que ne le permettent les processus de réponse conçus pour faire appel à l'intervention humaine. Il en résulte un décalage considérable. Les équipes de sécurité s'appuient toujours sur des cycles d'enquête, des procédures de validation et des interventions manuelles, précisément au moment où les attaques n'attendent plus. Ce qui était autrefois une course contre la montre mesurée en heures se joue désormais de plus en plus en minutes, voire en secondes.

Dans ce contexte, la détection seule perd une grande partie de sa valeur protectrice.

Les chiffres observés en France sont déjà préoccupants. Seule une minorité d’organisations est capable d’isoler une charge de travail compromise en temps quasi réel. À l’inverse, la majorité d’entre elles ont encore besoin de plusieurs heures, voire de plusieurs jours, pour intervenir efficacement. Et cela avant même que l’on commence vraiment à constater l’impact des modèles d’IA de pointe. Or, c’est précisément pendant ce laps de temps entre le moment où l’on détecte la menace et celui où l’on y met fin que les dégâts les plus graves se produisent.

Le mouvement latéral : le multiplicateur de risques pour l'entreprise

On entend beaucoup parler des nouveaux risques cybernétiques liés à l'IA. En réalité, les principes fondamentaux des attaques n'ont pas changé.

La plupart des violations majeures ne se transforment pas en catastrophe au moment de l'intrusion. Elles deviennent catastrophiques lorsque les attaquants se déplacent latéralement à travers les réseaux, atteignent des systèmes critiques, volent des données sensibles, perturbent les opérations ou bloquent l'infrastructure. Chaque minute supplémentaire augmente le risque de paralysie opérationnelle, d'exfiltration de données ou d'extorsion. Chaque système supplémentaire atteint accroît l'impact opérationnel, financier et réputationnel de l'incident.

Une fois à l'intérieur, les attaquants continuent de s'appuyer sur les mêmes voies d'accès : connexions de confiance, privilèges excessifs, dépendances mal comprises entre les systèmes. Dans les environnements conçus autour d'hypothèses de périmètre, ce déplacement reste dangereusement facile.

Repenser la sécurité à l’ère de l’IA

La cybersécurité entre dans une phase où la performance ne peut plus être mesurée uniquement à travers des métriques de détection. La question déterminante devient désormais : dans quelle mesure une organisation est-elle capable d’empêcher qu’une intrusion ne devienne systémique ?

Les organisations qui résisteront le mieux à cette nouvelle phase ne seront pas nécessairement celles disposant des budgets de sécurité les plus importants ou des tableaux de bord les plus sophistiqués. Ce seront celles qui accepteront que les compromissions sont inévitables et qui concevront leurs architectures en conséquence.

Pour les entreprises françaises, cela implique également de repenser certaines priorités d’investissement : segmentation réseau, gestion des identités et des privilèges, isolation des actifs critiques et automatisation des mécanismes de confinement.

L’intelligence artificielle a mis fin à la possibilité de réponses lentes et a révélé les limites des modèles de sécurité reposant davantage sur l’observation que sur la maîtrise des attaques. Tant que le confinement ne sera pas traité comme un principe fondamental de conception, le déséquilibre entre attaquants et défenseurs continuera de se creuser.

À l’ère de l’IA, détecter une attaque n’est plus l’objectif. L’objectif est d’empêcher sa propagation.

Pour les décideurs, l’enjeu n’est donc plus seulement de renforcer la détection, mais de bâtir des architectures capables d’absorber une compromission sans basculer en crise systémique.