À la vitesse des machines, l'application de correctifs ne suffit plus
Les outils offensifs alimentés par l'intelligence artificielle permettent d'enchaîner automatiquement les étapes d'attaque, transformant de simples vulnérabilités de faible criticité en menaces majeures.
Le paysage de la cybersécurité a atteint un point de bascule. Le temps nécessaire pour compromettre un système est passé de plusieurs mois à quelques minutes, imposant une remise en question profonde de nos approches de sécurité. Il ne s'agit pas simplement d'une augmentation du volume des menaces ; nous assistons à un véritable changement de paradigme.
Pendant des années, l'industrie a vécu avec une dette technique, reposant implicitement sur le savoir-faire et la rigueur des attaquants qui laissait aux organisations le temps de corriger les vulnérabilités découvertes. Cet équilibre vient d'être brutalement rompu par l'intelligence artificielle. Il est désormais possible de mener des attaques à la vitesse des machines, transformant la moindre erreur de configuration ou la moindre vulnérabilité non corrigée en véritable opportunité d’intrusion.
La "Patchpocalypse" désigne cette nouvelle réalité : les entreprises savent appliquer des correctifs, mais l’intelligence artificielle offensive identifie, qualifie et exploite les vulnérabilités plus vite qu'il n'est possible de les corriger.
Face à la découverte permanente de nouvelles vulnérabilités, les équipes IT et cybersécurité se retrouvent confrontées à une file d'attente devenue impossible à résorber : une succession ininterrompue de failles à traiter. Il est question d’environ 15 fois plus de vulnérabilités à traiter que par le passé.
Or, appliquer des correctifs nécessite de tester la “non-régression”, d’assurer une capacité de faire “marche-arrière” en cas d’effet de bord, et de trouver un moment pour le faire sans impacter (ou le moins possible) les métiers de l’entreprise. Cette croissance exponentielle du nombre de vulnérabilités rend ces opérations impossibles dans un temps raisonnable.
La priorité n'est donc plus uniquement d'empêcher une compromission, mais surtout d'en limiter les conséquences et d'en empêcher la propagation. La cybersécurité doit progressivement passer d'une logique de remédiation à une logique d'isolation et de confinement.
La première étape consiste à réduire drastiquement la surface d'exposition : tout ce qui n'a pas vocation à être accessible directement depuis Internet ne devrait tout simplement pas l’être. Pour tous les autres actifs, l'objectif est clair : privilégier des architectures modernes, permettant d’isoler les ressources, d’en gérer, inspecter et filtrer les accès, et d’éviter toute “propagation latérale”.
À l'ère des attaques menées à la vitesse machine, la survie d'une entreprise passe donc par l'adoption d'un modèle Zero Trust appliqué jusqu'à son niveau de granularité le plus fin. Anthropic a d’ailleurs fait la même recommandation au sein de son document “Zero Trust for AI agents | Claude by Anthropic”. Dans un tel modèle, l’existence de “flux entrants depuis Internet” sur les réseaux de l’entreprise doit disparaître. A l’inverse, le recours à la “déception”, c’est-à-dire à décourager les attaquants, devient primordial.
Le véritable Zero Trust repose également sur le principe du moindre privilège, avec une segmentation des accès jusqu'au niveau de l'application, du service ou de la charge de travail concernée. Ce qui nécessite de renforcer la gestion des identités. Cette granularité très fine constitue aujourd'hui l'un des rares mécanismes de défense réellement efficaces contre les mouvements latéraux, transformant une compromission potentielle de l'ensemble du réseau en un incident circonscrit à un seul actif.
De toute évidence, disposer d’inventaires et de cartographies dynamiques (c’est-à-dire à jour et exhaustifs en permanence) n’est plus un luxe mais une nécessité. En particulier à l’ère de l’IA agentique.
Enfin, la disponibilité d'un système n’est plus suffisante sans assurer sa capacité à continuer de fonctionner malgré une attaque, qu’on appelle la “résilience”. Le véritable enjeu n'est donc plus de savoir si une organisation sera ciblée, mais si elle sera capable d'empêcher qu'un incident localisé ne se transforme en compromission générale. Le Zero Trust n'est plus une stratégie de transformation parmi d'autres : il devient une condition de survie opérationnelle.