La cybersécurité évolue : lorsque l’IA étend à la fois les capacités d’attaque et de défense

Depuis des années, l’intelligence artificielle est présentée comme un outil pour renforcer la cybersécurité. Elle détecte des anomalies, filtre les spams et aide les analystes à réagir plus rapidement. Mais un changement est en cours. Les mêmes technologies, en particulier les grands modèles de langage, sont désormais utilisées pour étendre et automatiser les attaques. Plus récemment, elles sont aussi capables d’identifier des vulnérabilités dans le code logiciel. Cela modifie non seulement la vitesse des menaces, mais aussi leur nature.

Ce qui se passe

Les cyberattaques deviennent plus automatisées, adaptatives et convaincantes. Les grands modèles de langage peuvent générer des e-mails de phishing hautement personnalisés dans plusieurs langues, sans les signes typiques de fraude. Ils peuvent imiter des styles d’écriture, résumer des données volées ou aider à rédiger du code malveillant.

Un développement plus récent est que ces modèles peuvent également analyser du code et identifier des vulnérabilités. Par exemple, Anthropic a averti que son dernier modèle est capable d’identifier puis d’exploiter des vulnérabilités zero-day dans des logiciels majeurs. Ce qui nécessitait auparavant une expertise spécialisée en développement sécurisé ou en tests d’intrusion peut désormais être partiellement automatisé.

Dans le même temps, les attaquants n’ont plus besoin de compétences techniques approfondies. Les outils basés sur l’IA abaissent la barrière à l’entrée. Un petit groupe, voire une seule personne, peut orchestrer des campagnes qui nécessitaient auparavant des équipes entières.

Ce n’est pas entièrement nouveau. L’automatisation a toujours joué un rôle en cybersécurité. Ce qui change aujourd’hui, c’est la combinaison d’échelle et d’accessibilité. Les systèmes d’IA peuvent itérer rapidement, tester des variantes et s’adapter en fonction des réponses. Les attaques ressemblent davantage à des expériences continues qu’à des tentatives isolées.

Les défenseurs utilisent également l’IA. Les équipes de sécurité s’appuient sur le machine learning pour détecter des schémas inhabituels, prioriser les alertes et, de plus en plus, analyser leurs propres bases de code à la recherche de vulnérabilités. Mais l’asymétrie augmente. Les attaquants peuvent souvent évoluer plus rapidement que les organisations ne peuvent s’adapter, en particulier lorsque les mêmes outils sont disponibles des deux côtés.

Pourquoi c’est important

La capacité de l’IA à trouver des vulnérabilités dans le code ajoute une nouvelle couche de risque. Les faiblesses logicielles peuvent être découvertes plus rapidement, à grande échelle, et parfois avant même que les organisations en aient connaissance. Cela réduit le délai entre l’existence d’une vulnérabilité et son exploitation.

La confiance est également affectée. Lorsque les e-mails de phishing ne sont plus faciles à repérer et que les logiciels eux-mêmes peuvent contenir des faiblesses identifiées par l’IA, les employé-e-s et les utilisateurs évoluent dans un environnement plus incertain. Un message bien rédigé, faisant référence à des projets ou à des collègues réels, peut contourner même des comportements prudents, surtout s’il est combiné à des exploits techniques.

Aussi du point de vue de la productivité : les équipes de sécurité sont déjà confrontées à une fatigue liée aux alertes. Les attaques pilotées par l’IA peuvent générer davantage de signaux, de variantes et de fausses pistes. Parallèlement, les rapports de vulnérabilités générés par l’IA peuvent submerger les équipes avec des résultats nécessitant priorisation et vérification.

Ce que cela signifie pour vous

Pour les organisations, cela signifie que la cybersécurité est plus que jamais un sujet qui ne se limite pas à la technique. Les équipes de développement, de communication et de sécurité deviennent plus étroitement liées. Si l’IA peut identifier des faiblesses dans le code, les pratiques de développement sécurisé et les revues de code régulières deviennent encore plus importantes.

Les équipes dirigeantes doivent évaluer des risques plus difficiles à quantifier, car ils évoluent rapidement. La question n’est plus seulement de savoir si les systèmes sont sûrs aujourd’hui, mais à quelle vitesse de nouvelles vulnérabilités pourraient être découvertes et exploitées.

Pour la communication et le transfert de connaissances, le défi est d’expliquer ces évolutions sans susciter de peur. L’objectif n’est pas de dire que tout est risqué, mais de montrer que les critères de confiance ont évolué. Reconnaître ce changement est une première étape vers une utilisation responsable.

Que faire ensuite

Intégrez l’IA dans les pratiques de développement sécurisé. Utilisez-la pour analyser le code, identifier des faiblesses et soutenir les développeur-euse-s, tout en combinant cela avec une revue humaine et une priorisation claire. Toutes les vulnérabilités détectées ne sont pas également critiques.

Investissez dans une sensibilisation ciblée. Les formations génériques au phishing ne suffisent plus. Utilisez des exemples reflétant les capacités actuelles, comme des messages bien rédigés et riches en contexte ou des scénarios techniques réalistes.

Pour les leaders, intégrez le risque lié à l’IA dans des processus décisionnels plus larges (voir aussi notre article sur les audits d’IA). Cela inclut les achats, les partenariats et les stratégies de communication. Ne vous demandez pas seulement comment l’IA peut améliorer l’efficacité, mais aussi comment elle pourrait introduire de nouvelles vulnérabilités.

Enfin, développez une compréhension de base du fonctionnement de ces systèmes. Une expertise technique approfondie n’est pas nécessaire, mais un modèle mental clair est utile. Savoir que l’IA peut générer, analyser et parfois exploiter du code constitue déjà une perspective précieuse pour évaluer les risques.

Si ce sujet est pertinent pour votre organisation, découvrez notre conseil stratégique en IA pour dirigeant-e-s ainsi que nos ateliers pratiques pour développer des compétences internes.