Cybersécurité : pour construire l'avenir, arrêtons d'essayer de le prédire

En France, en 2026, la cybersécurité est entrée dans une nouvelle phase. Les entreprises doivent faire face à une transformation simultanée des usages, des menaces et du cadre réglementaire.

En parallèle, l’intelligence artificielle change profondément la nature du trafic numérique, avec des interactions automatisées toujours plus sophistiquées, certaines malveillantes, d’autres parfaitement légitimes. Cette évolution pose une question stratégique : faut-il continuer à construire des défenses adaptées aux menaces connues aujourd’hui, ou concevoir des systèmes capables de s’adapter à celles qui apparaîtront demain ? Au sein des entreprises technologiques, les décisions sont souvent prises en réaction à une crise, une évolution du marché ou l’apparition d’une nouvelle menace. La réponse paraît alors évidente : il faut construire une solution pour y faire face. C’est pourtant là que le problème commence. Dans la cybersécurité, ce scénario s’est répété à de nombreuses reprises. Les entreprises développent leurs solutions pour répondre à la menace qu’elles ont sous les yeux, avant de découvrir que celle-ci a déjà changé lorsque le produit ou la stratégie est pleinement opérationnel. Il y a cinq ans, de nombreuses équipes concentraient leurs efforts sur les bots traditionnels. Puis sont apparus des réseaux de fraude plus sophistiqués, suivis du scraping alimenté par l’IA. Aujourd’hui, les agents d’IA créent une nouvelle catégorie de trafic qui existait à peine il y a encore quelques mois. Les organisations qui traversent ces transformations avec succès ne sont pas nécessairement celles qui prédisent le mieux la prochaine menace. Ce sont celles qui disposent de fondations suffisamment solides et flexibles pour absorber le changement suivant.

Sortir d’une approche centrée sur la menace du moment

Lorsqu’une équipe de sécurité conçoit une solution pour répondre à une menace précise, la logique de détection est calibrée sur les schémas d’attaque actuels, le modèle de données sur les catégories de trafic du moment et la feuille de route sur les difficultés rencontrées aujourd’hui par les clients. Puis la menace évolue et les fondations ne tiennent plus. Ce phénomène dépasse largement la cybersécurité. Les grandes ruptures technologiques, du on-premise au cloud, du desktop au mobile, puis des moteurs de recherche à un monde de plus en plus transformé par l’IA, ont régulièrement révélé la fragilité des produits construits autour d’un moment particulier plutôt que d’un principe durable. Pendant des années, la cybersécurité s’est organisée autour d’une question : cette requête provient-elle d’un humain ou d’un bot ?

Cette distinction avait du sens lorsque le trafic automatisé était presque systématiquement considéré comme malveillant. Elle devient beaucoup moins pertinente maintenant que l’automatisation s’intègre à des usages légitimes, qu’il s’agisse de rechercher une information, d’effectuer un achat ou de réaliser une transaction. Une autre question devient alors essentielle : qu’est-ce que cette requête cherche à accomplir ? L’identité indique ce qui est derrière la requête. L’intention indique ce qu’elle cherche à faire.

Or, à mesure que les systèmes gagnent en sophistication, l’identité devient plus difficile à vérifier, tandis que l’intention continue de se révéler à travers les comportements. Il n’est pas indispensable de savoir si une requête provient d’un humain ou d’une machine pour déterminer si elle agit conformément à la finalité d’un système ou contre elle. L’intention constitue ainsi un principe plus durable. Elle peut s’appliquer à un bot pratiquant le credential stuffing, à un agent d’IA réservant un voyage ou même à une catégorie de trafic qui n’existe pas encore.

Trois conditions pour construire des fondations durables

Il n’est cependant pas suffisant d’identifier le bon principe. Une architecture capable de s’adapter aux prochaines vagues de menaces repose sur trois éléments essentiels.

Le premier est le traitement en temps réel. Des décisions fondées sur des données vieilles de plusieurs heures décrivent une réalité qui peut déjà avoir disparu. Dans la fraude et la cybersécurité, où les tactiques peuvent évoluer au cours d’une même journée, l’architecture doit fonctionner à la vitesse du problème.

Le deuxième est l’apprentissage continu. Aucun modèle entraîné sur les schémas de l’année précédente ne peut suffire durablement. Chaque nouvelle décision et chaque nouveau signal doivent contribuer à améliorer la qualité de la détection. Plus le système observe et apprend, plus son avantage peut se renforcer.

Le troisième est le partage des signaux. Les réseaux les plus performants sont ceux dans lesquels chaque participant contribue à rendre l’ensemble plus intelligent. Un schéma d’attaque identifié à un endroit du système peut ainsi contribuer à renforcer les défenses ailleurs. Une donnée isolée a moins de valeur qu’une donnée capable d’enrichir une intelligence collective.

Construire pour dix ans, pas seulement pour douze mois

Pour les dirigeants d’entreprises technologiques, la question ne devrait donc pas être uniquement : "Que faut-il construire pour les douze prochains mois ?" Une question plus structurante s’impose : "Que faut-il construire aujourd’hui pour rester pertinent au cours des dix prochaines années ?"

La première approche produit souvent des feuilles de route constituées de réponses aux conditions du moment. La seconde conduit à investir dans des infrastructures, des architectures de données et des capacités de détection qui gagnent en efficacité avec le temps et le passage à l’échelle. Les ruptures technologiques ne vont pas s’arrêter. Les schémas de menace, les vecteurs d’attaque et les comportements des utilisateurs seront différents dans cinq ans. L’enjeu n’est donc pas de prédire précisément la prochaine menace. Il est de construire dès aujourd’hui les fondations qui permettront de s’y adapter lorsqu’elle apparaîtra.