Sommaire
Introduction
Deux tendances se rencontrent. Les attaquants utilisent désormais l’IA pour travailler plus vite et à plus grande échelle, et le nombre de vulnérabilités publiées atteint des dizaines de milliers de CVE par an. Aucune de ces tendances n’est nouvelle en soi. Ensemble, elles brisent l’idée que les défenseurs disposent de plusieurs semaines pour réagir.
Ce que l’IA change pour les attaquants
L’IA invente rarement de nouvelles catégories d’attaque. Elle supprime plutôt les frictions de celles qui fonctionnent déjà.
- Le phishing à grande échelle : des leurres fluides et personnalisés dans toutes les langues, rédigés en quelques secondes et adaptés à chaque cible, sans les fautes que les utilisateurs ont appris à repérer.
- Une reconnaissance plus rapide : résumer du code public, des offres d’emploi et des documents divulgués pour en faire un plan d’attaque.
- Un développement d’exploits plus rapide : comparer un correctif à la version précédente pour localiser la faille corrigée, puis itérer jusqu’à un exploit fonctionnel.
- Voix et vidéos synthétiques : se faire passer pour des dirigeants lors d’un appel afin d’approuver un paiement ou de réinitialiser un mot de passe.
L’effet concret est un raccourcissement des délais. L’écart entre la publication d’une vulnérabilité et son exploitation se réduit depuis des années, et l’IA le réduit encore. Des cycles de correctifs de plusieurs mois laissent aujourd’hui la porte ouverte bien trop longtemps.
L’afflux de CVE
Aucune équipe ne peut tout corriger en même temps, et traiter chaque score CVSS « critique » comme une urgence mène à l’épuisement et à des menaces réelles manquées. Le CVSS mesure la gravité possible d’une vulnérabilité, pas la probabilité de son exploitation ni son importance dans votre environnement. La version actuelle, CVSS v4.0, ajoute du contexte, mais la gravité seule reste le mauvais critère de tri.
Priorisez selon l’exploitation, pas seulement la gravité
- Le catalogue Known Exploited Vulnerabilities (KEV) de la CISA recense les vulnérabilités dont l’exploitation réelle est prouvée. Tout ce qui s’y trouve et que vous utilisez passe en tête de file.
- L’Exploit Prediction Scoring System (EPSS), tenu par FIRST, estime la probabilité qu’une CVE soit exploitée à court terme. Il distingue le petit nombre d’urgences de la masse de cas théoriques.
- Le contexte des actifs décide du reste : un système exposé à Internet contenant des données clients passe avant un serveur de test isolé ayant le même score.
Défendre avec l’IA, prudemment
Les mêmes outils aident les défenseurs. L’IA peut trier les alertes, résumer les incidents, signaler les comportements anormaux, expliquer du code inconnu et rédiger des règles de détection. Le gain est réel, surtout pour les petites équipes.
Utilisez-la comme un analyste à superviser, pas comme un oracle. Gardez des humains pour les décisions de confinement, validez les détections générées sur des données réelles et ne collez jamais de secrets ou de données clients dans des outils non approuvés.
Vos systèmes d’IA font aussi partie de la surface d’attaque
Chaque chatbot, assistant de code et agent d’IA que vous déployez est un nouveau type d’application, avec de nouveaux modes de défaillance. L’OWASP Top 10 for Large Language Model Applications recense les risques les plus courants.
- Injection de prompt : des instructions cachées dans des e-mails, des pages web ou des documents que le modèle lit et suit.
- Autonomie excessive : des agents dotés d’outils et de droits étendus qu’un attaquant peut orienter.
- Divulgation de données sensibles : des modèles qui laissent fuiter ce qu’ils ont reçu en contexte ou à l’entraînement.
- Risque de chaîne d’approvisionnement : des modèles, plugins et jeux de données tiers non vérifiés.
Traitez les sorties des modèles comme des entrées non fiables. Donnez aux agents les droits les plus restreints possibles, exigez une confirmation pour les actions lourdes de conséquences et journalisez ce qu’ils font.
Un guide pratique
- Tenez un inventaire exact des actifs et une nomenclature logicielle (SBOM), pour savoir en quelques minutes si une nouvelle CVE vous concerne.
- Abonnez-vous au catalogue KEV et aux scores EPSS, et connectez-les à votre outil de tickets pour que les vulnérabilités exploitées passent automatiquement en priorité.
- Fixez des délais de correction selon l’exploitabilité et l’exposition, et mesurez à quelle fréquence vous les respectez.
- Déployez une MFA résistante au phishing, pour qu’un leurre parfait écrit par IA ne puisse toujours pas capturer un identifiant utilisable.
- Vérifiez les demandes de paiement et d’accès hors bande, avec un numéro ou un canal connu, jamais celui du message.
- Inventoriez vos intégrations d’IA, modélisez leurs menaces et limitez ce que les agents peuvent faire.
- Organisez un exercice sur table autour d’une attaque assistée par IA : un faux appel de dirigeant ou un équipement de périphérie exploité en masse.
Conclusion
Les fondamentaux n’ont pas changé : savoir ce que vous exploitez, corriger ce qui est exploité, rendre les identifiants difficiles à voler et supposer que quelque chose passera. Ce qui a changé, c’est la vitesse. Les équipes qui suivent le rythme sont celles qui ont automatisé les tâches répétitives pour que leurs membres se concentrent sur les décisions importantes.
- Sécurité de l’IA
- Gestion des vulnérabilités
- CVE
- Renseignement sur les menaces
