Sécurité de l'IA : la posture défensive n'a plus sa place

Face à des cyberattaques amplifiées par l'IA, les entreprises doivent dépasser la posture défensive et adopter une sécurité proactive, automatisée et pilotée par l'ingénierie.

En début d'année, l'Agence nationale de la sécurité des systèmes d'information (ANSSI) a publié son Panorama de la cybermenace 2025, dont le constat est sans détour : le niveau de menace reste élevé et n'épargne personne. L'agence alerte en particulier sur le rôle de l'IA générative qui accroît déjà le niveau, le nombre, la diversité et l'efficacité des attaques, tandis que son adoption croissante au sein des entreprises, faute d'un cloisonnement adéquat, élargit la surface d'attaque.

Ce constat n'a rien de théorique. Les attaquants ont déjà démontré leur capacité à contourner les dispositifs de protection et le niveau de compétence requis pour mener des attaques toujours plus sophistiquées continuera de baisser, au point de le rendre accessible aux profils les moins expérimentés.

Pour les défenseurs, ces signaux indiquent que les approches de sécurité actuelles ne sont plus à la hauteur des gains exponentiels de vitesse et d'échelle réalisés par leurs adversaires. Dans ce contexte, se contenter de défendre les surfaces d'attaque ne suffit plus : il faut passer à l'offensive.

La meilleure défense est proactive

Les professionnels de la sécurité ont pour réflexe de considérer la mise sur le marché de modèles puissants comme une mauvaise nouvelle. Or s'inquiéter du rythme auquel progressent les capacités de l'IA n'apporte rien à un programme de sécurité. La quasi-totalité des dispositifs de sécurité ont d'abord été conçus comme des outils destinés à exploiter des environnements, que les équipes de sécurité ont ensuite réorientés vers la défense. La logique à l'origine de la plupart des outils de sécurité utilisés aujourd'hui s'applique ici aussi, et les défenseurs peuvent tout autant revendiquer l'usage de ces technologies de pointe.

Si les attaquants peuvent désormais recourir à l'IA pour passer en revue les actifs d'une organisation et générer des attaques ciblées, les organisations attaquées doivent, quant à elles, adopter une approche proactive qui vise à inspecter leur propre environnement en premier, en s'appuyant sur cette même technologie. Les organisations qui ont le plus à y gagner sont celles dont la surface d'exposition est la plus étendue.

Ce réflexe tient davantage à l'expérience professionnelle qu'à un choix ou une méthode délibérée.

Des parcours différents, des approches différentes

Les responsables de la sécurité des systèmes d'information (RSSI) accèdent à leur poste par des parcours divers. Certains sont issus de fonctions liées à la gouvernance, aux risques et à la conformité, où la gestion des risques faisait déjà partie de leurs attributions. D'autres viennent du secteur informatique et ont hérité de la sécurité en même temps que du reste du parc technologique. D'autres encore viennent de l'architecture de sécurité et comprennent comment les systèmes ont réellement été construits. Depuis peu, ils sont de plus en plus nombreux à venir de l'ingénierie. Chacun de ces parcours façonne une vision différente de la sécurité.

Les profils issus de la conformité et du secteur informatique tendent à adopter un état d'esprit défensif : attendre que la journalisation, la surveillance ou un incident indiquent où investir. Les profils issus de l'ingénierie, en particulier dans les entreprises éditrices de logiciels, tendent à adopter un état d'esprit offensif qui cherche activement les failles dans l'ensemble du programme.

C'est précisément cet état d'esprit dont nous avons besoin aujourd'hui.

Penser comme un attaquant

Les équipes qui adoptent un état d'esprit offensif se considèrent comme des créateurs de solutions évolutives qui automatisent des résultats tout en identifiant en continu les failles potentielles du programme de sécurité, du paysage des menaces ainsi que de l'infrastructure et du catalogue d'actifs.

Cet état d'esprit exige une véritable curiosité pour comprendre comment et pourquoi les systèmes sont configurés ainsi, et ce qui pourrait mal tourner. C'est le fondement même de la recherche en sécurité : une curiosité sans limite quant au fonctionnement des systèmes, à la manière dont ils sont censés se comporter et aux moyens de leur faire produire des résultats en dehors de leur usage prévu.

Les changements que j'ai opérés au sein de mes propres équipes nous orientent vers des fonctions axées sur les résultats et pilotées par l'ingénierie. Chaque équipe s'appuie sur des agents automatisés qui identifient les risques, les classent par ordre de priorité, y remédient et en rendent compte, en fonction d'un objectif métier donné. La sécurité applicative se concentre sur l'accompagnement des équipes d'ingénierie et développe des agents capables de traiter des tâches de bout en bout tout au long du cycle de développement logiciel. La gouvernance et la gestion des risques se transforment en confiance et en résilience métier, avec pour objectif de prouver en continu que l'organisation est sécurisée.

Construire un avantage concurrentiel grâce à l'IA

Pour y parvenir, concentrez-vous sur deux mesures concrètes. Premièrement, la neutralité vis-à-vis des modèles. Construisez des workflows qui ne dépendent ni d'un modèle ni d'un fournisseur en particulier, car les meilleurs modèles et outils d'IA d'aujourd'hui ne le seront peut-être plus dans six mois. Cette neutralité vaut aussi pour le déploiement : les équipes de sécurité doivent pouvoir exécuter les modèles dans des environnements air-gapped ou auto-hébergés lorsque la résidence des données ou la protection de la propriété intellectuelle l'exige, et pas seulement avoir la possibilité de changer de fournisseur.

Deuxièmement, la portée. Limitez les tâches confiées aux agents et définissez-les clairement. Si vous confiez à un agent un problème vaste et vague, celui-ci offrira de bons résultats pendant un court instant avant de perdre le fil et de commencer à générer tout ce qui, selon lui, satisfera le prompt. Confiez-lui plutôt une tâche précise et veillez à lui fournir le contexte approprié dès le départ pour qu'il garantisse des performances constantes. C'est ainsi que vous obtiendrez des résultats intelligents sans sacrifier la précision.

Tous les programmes de sécurité ne sont pas prêts à réorganiser leur façon de travailler autour des agents dès le premier jour, et c'est tout à fait normal. Pour un programme qui en est encore aux prémices de ce parcours, nul besoin d'un point de départ complexe : examinez chaque domaine d'intervention, définissez le résultat déterministe que vous en attendez, puis passez en revue les outils dont vous disposez déjà, plutôt que de partir du principe qu'il vous faut une toute nouvelle pile technologique.

Il est temps de tout repenser

À ce stade, le principal risque consiste à se figer dans l'analyse. Le niveau d'exigence que doivent atteindre les attaquants ne cesse de baisser, tandis que celui imposé aux défenseurs ne cesse d'augmenter. Attendre qu'un incident se produise ou qu'un correctif soit publié par un fournisseur est un luxe que nous ne pouvons plus nous permettre. Dans un contexte européen où les agences, de l'ANSSI à l'ENISA, exigent désormais une résilience démontrable, les programmes de sécurité doivent se montrer à la hauteur des enjeux sous peine de devenir victimes d'adversaires qui se réinventent continuellement.