L’IA invisible double tous les 18 mois sans alerter les SOC

Les « deepfakes » représentent une menace de plus en plus importante pour la cybersécurité

La menace des « deepfake » est réelleLa menace des deepfakes est réelle, rapide et globale. En 2023, les incidents de deepfake ont augmenté de 3 000 %. Un exemple concret en dit plus long que n’importe quel modèle théorique : un directeur financier a reçu un appel à 3 heures du matin d’une personne ressemblant trait pour trait au PDG. La voix, l’accent, la respiration, et même le raclement de gorge familier, tout était parfait. Il a autorisé un transfert d’un million de dollars. Au matin, ils ont découvert que le PDG dormait à Londres. Cette voix n’était pas humaine. Elle était synthétique. L’argent ? Disparu.

Cette technologie ne nécessite plus d’outils coûteux ni de mois de planification. D’ici à 2024, un clone de voix convaincant nécessitera moins de trois minutes d’audio. C’est cela. Trois minutes. Vous pouvez trouver cela partout, des appels aux bénéfices des entreprises aux podcasts aléatoires. Et une fois que les attaquants ont la voix, le reste n’est qu’intention.

Du point de vue du leadership, cela modifie la dynamique de la confiance sur le lieu de travail. Les canaux de communication internes et externes, autrefois considérés comme sûrs, font désormais partie de la surface d’attaque. Les employés peuvent avoir du mal à distinguer un véritable dirigeant d’un son généré par l’IA. Les clients peuvent être induits en erreur de la même manière. Vous ne pouvez pas vous fier à ce qui vous semble familier. Et c’est là le problème fondamental : les deepfakes ne brisent pas les mots de passe, ils brisent la confiance.

Les entreprises déploient déjà des contre-mesures. Le GPT-4o d’OpenAI inclut désormais la détection de deepfake directement dans ses couches de sécurité. Il ne s’agit pas d’un simple correctif, mais d’une évolution dans la manière dont nous protégeons l’identité numérique. Mais ce n’est pas encore la norme dans tous les secteurs. Et il faut que cela le devienne rapidement.

Selon le rapport 2024 de Persona sur la fraude à l’identité, ils ont bloqué 75 millions de tentatives de deepfake liées à la fraude à l’embauche uniquement. Un seul fournisseur de solutions. Un secteur vertical. Mettez cela à l’échelle de tous les secteurs et vous obtiendrez un environnement de menaces qui dépasse les idées reçues en matière de sécurité. Cette perte de 40 milliards de dollars prévue d’ici 2027 ?

George Kurtz, PDG de CrowdStrike, l’a dit simplement lors d’une récente conférence de presse du Wall Street Journal : les « deepfakes » sont aujourd’hui des récits militarisés. Ils sont pilotés par l’IA et souvent alimentés par des acteurs hostiles de l’État-nation. Le problème n’est pas seulement la technologie, c’est aussi qui est derrière elle et ce qu’il en fait.

Les « deepfakes » détruisent la confiance. Pour rétablir cette confiance, il faut des systèmes qui vérifient l’identité et l’intention à tous les niveaux, en temps réel. Cela signifie que l’IA détecte l’IA, et non des audits trimestriels ou des scripts obsolètes. Les dirigeants qui agissent maintenant peuvent réduire la courbe des dommages. Ceux qui attendent risquent de financer l’attaque de quelqu’un d’autre.

Les agents d’IA introduisent une surface d’attaque non réglementée et en expansion

Les agents d’intelligence artificielle ne sont pas de simples outils. Ce sont des utilisateurs, très actifs. Et contrairement aux humains, ils ne font pas de pointage. Ils ne prennent pas de pause. Ils n’oublient pas les mots de passe. Une fois qu’ils sont dans votre système, ils fonctionnent 24 heures sur 24, 7 jours sur 7, en traitant des données, en effectuant des contrôles, en générant des informations. C’est là que commence le véritable risque.

Chaque agent a généralement besoin d’un large accès pour fonctionner, bien au-delà de ce qui est traditionnellement accordé à la plupart des utilisateurs humains. Cela inclut l’accès aux fichiers, aux API, aux systèmes internes et parfois même aux couches décisionnelles. Lorsqu’ils agissent, c’est avec toute l’autorité nécessaire. Lorsqu’ils sont compromis, les dommages sont silencieux et de grande ampleur. Un cas d’utilisation critique s’est déjà produit. Un agent d’IA ayant un accès total à la base de connaissances interne d’une entreprise a été compromis, mais pas pour voler des données. Au lieu de cela, l’attaquant l’a nourri d’informations erronées au fil du temps. Subtil, difficile à détecter. Et cela a fonctionné. Les employés ont pris des décisions sur la base de données corrompues. Il ne s’agit pas d’une violation, mais d’un sabotage discret.

Nous sommes arrivés à un point où ces agents d’intelligence artificielle se multiplient rapidement. Si votre entreprise utilise à grande échelle des outils tels que ChatGPT, Gemini, Claude ou Copilot, vous produisez constamment de nouveaux agents, chacun disposant d’informations d’identification et de privilèges d’accès. La gouvernance et la surveillance n’ont pas suivi le rythme de la génération.

Ajoutez à cela le fait que les identités des machines sont 45 fois plus nombreuses que celles des humains. Ce n’est pas seulement un problème. Il s’agit d’une crise d’échelle. Chaque agent d’IA augmente ce nombre de manière exponentielle, et ils sont pour la plupart invisibles pour les systèmes IAM existants. Vous ne pouvez pas protéger quelque chose que vos systèmes ne peuvent pas voir.

Ce dont vous avez besoin, ce n’est pas de politiques supplémentaires. Vous avez besoin d’une gestion des identités en temps réel qui connaisse chaque point d’accès de votre écosystème et puisse le fermer ou l’ajuster de manière dynamique. Vous avez besoin de systèmes capables d’identifier si un agent d’IA agit de manière anormale ou manipule les résultats. Parce qu’à partir du moment où votre IA prend des décisions basées sur des données compromises, votre entreprise est déjà sur la mauvaise voie.

Les dirigeants doivent abandonner l’idée que la gouvernance peut être mise à l’échelle manuellement. Cristian Rodriguez, directeur technique de CrowdStrike pour les Amériques, l’a bien dit : « Il ne s’agit plus de cas marginaux. Il s’agit de la surface d’attaque d’aujourd’hui. »

Faites donc comme si c’était le cas. Élaborez des modèles qui supposent que les agents sont des pairs en matière d’accès. Sécurisez-les en conséquence. La gouvernance de l’IA est une course. Prenez du retard et vous verrez que votre plus grande menace n’est pas un pirate informatique, mais un système autonome auquel vous avez donné la permission d’accéder.

La prolifération des identités des machines crée des angles morts dans l’IAM traditionnel

Les identités des machines augmentent à un rythme que les systèmes existants n’ont jamais été conçus pour gérer. Les chiffres sont extraordinaires : aujourd’hui, les entreprises gèrent 45 fois plus d’identités machine que d’identités humaines. Cela inclut les conteneurs, les comptes de service, les API, les certificats numériques, dont la plupart fonctionnent de manière indépendante, expirent rapidement et passent souvent complètement inaperçus.

C’est là que les organisations commencent à perdre leur visibilité. Par exemple, les conteneurs peuvent se terminer en quelques minutes, mais dans ce court laps de temps, ils continuent de générer des informations d’identification, de s’authentifier, d’accéder aux systèmes internes et, trop souvent, de disparaître avant même que les plates-formes IAM traditionnelles n’enregistrent leur existence. Les responsables de la sécurité sont donc confrontés à une vision tardive d’un problème en constante évolution. Et ce retard crée une véritable exposition.

Pire encore, la plupart de ces identités sont mal gérées. CyberArk rapporte que 92 % des comptes de service sont orphelins, que 67 % des clés API ne sont jamais renouvelées et que 40 % des certificats sont auto-signés. Il s’agit là de lacunes importantes dans des environnements où l’identité devient rapidement la principale surface d’attaque. Ces informations d’identification sont les vecteurs d’attaque les plus attrayants disponibles aujourd’hui, car elles sont mal contrôlées et rarement surveillées.

La plupart des outils IAM actuels ne sont pas adaptés à cette complexité et à cette rapidité. Les équipes de sécurité s’appuient donc sur des contrôles d’accès statiques, des examens périodiques et des opérations menées par des humains, qui ne peuvent tout simplement pas réagir assez rapidement. Il en résulte un environnement où l’accès croît de manière exponentielle, mais où la gouvernance est à la traîne.

L’automatisation est la seule réponse définitive à ce problème. Des outils tels que Venafi TLS Protect réduisent le temps de détection et de mappage de plusieurs semaines à quelques heures, tout en éliminant 89 % des pannes liées aux certificats. Les cadres SPIFFE/SPIRE procèdent à une rotation automatique et mettent fin aux informations d’identification associées aux charges de travail des conteneurs. Ces systèmes ne s’appuient pas sur la mémoire humaine ou sur des cycles mensuels, ils réagissent en temps réel.

Gartner a d’ores et déjà chiffré cette question. Les organisations qui ne disposent pas d’une gestion automatisée de l’identité des machines sont quatre fois plus susceptibles d’être victimes d’une violation. Il ne s’agit pas d’une simple théorie, il y a un lien de cause à effet. Les entreprises qui automatisent cette couche, dans certains cas, signalent une baisse de 73 % des incidents liés aux informations d’identification dans les six mois. C’est un délai que toute équipe de direction peut planifier.

Karl Triebes, d’Ivanti, l’a dit clairement : « Les systèmes traditionnels de gestion des identités et des accès ne peuvent même pas détecter ces identités. Cette déclaration devrait être un appel à l’action. Si vos systèmes ne peuvent pas les voir, ils ne peuvent pas les protéger. Et en matière de cybersécurité, ce que vous manquez vous coûte le plus cher.

L’IA de l’ombre libère des risques invisibles et non sanctionnés

L’IA de l’ombre n’est pas un problème émergent, il est pleinement actif et en pleine expansion. Chaque jour, les départements téléchargent de nouveaux outils alimentés par l’IA qui échappent complètement à la vigilance du service informatique. Ces applications non approuvées sont faciles à adopter, offrent une utilité instantanée et ne nécessitent aucun processus d’approbation. Cette rapidité est utile pour les équipes, mais c’est un angle mort pour la sécurité.

Les services informatiques n’ont aucune visibilité sur la manière dont ces outils traitent les données sensibles de l’entreprise ou sur l’endroit où ces données aboutissent. Et ce manque de contrôle se traduit directement par un risque financier et réglementaire. Selon les projections d’IBM pour 2025, les violations liées à l’IA fantôme coûtent en moyenne 4,63 millions de dollars, soit 16 % de plus que les violations de base. Il s’agit d’un coût plus élevé, d’un impact plus important et d’une absence de préparation.

Les chiffres qui sous-tendent ce risque sont déjà énormes. Une étude de VentureBeat révèle que plus de 74 500 outils d’IA non autorisés seront activement utilisés dans les entreprises d’ici à la mi-2025. Et ce nombre augmente de 5 % chaque mois. Rien que pour les comptes ChatGPT ? 73,8 % d’entre eux utilisés au travail sont non autorisés, selon Cyberhaven. Il ne s’agit pas d’incidents ponctuels, mais de routine.

Il s’agit d’un problème de gouvernance et non de prévention. Les interdictions totales poussent l’expérimentation de l’IA dans la clandestinité. C’est là que la sécurité devient plus difficile, et non meilleure. Les dirigeants doivent créer des voies sanctionnées qui permettent l’innovation sans créer une prolifération non gérée. Itamar Golan, PDG de Prompt Security, affirme que l’entreprise suit déjà plus de 12 000 applications d’IA, dont 50 nouvelles chaque jour.

Vineet Arora, directeur technique de WinWire, souligne le risque qu’il y a à l’ignorer. Il décrit des environnements où des dizaines d’outils d’IA aléatoires traitent activement les données de l’entreprise sans aucun contrôle de conformité, et où personne en charge de la sécurité n’est au courant de leur existence. Sa recommandation : créez des cadres de gouvernance qui fonctionnent avec le comportement humain, et non contre lui. Créez un bureau de l’IA responsable. Déployez des contrôles de sécurité tenant compte de l’IA. Donner la priorité aux principes de confiance zéro spécifiques aux systèmes d’IA.

En agissant dès maintenant, les entreprises peuvent prendre de l’avance sur la dynamique réglementaire. La loi sur l’IA de l’Union européenne devrait dépasser le GDPR en termes d’amendes. Mais les amendes ne sont pas la principale préoccupation, c’est la confiance et le contrôle qui le sont. Une fois que les applications d’IA prennent racine sans surveillance, vous n’avez pas seulement une exposition, vous avez une intelligence fragmentée qui fonctionne dans votre entreprise.

La direction doit traiter l’IA fantôme comme une question stratégique, et non comme un problème technique isolé. Commencez par la cartographier. Mettez en place des politiques. Et guidez les employés vers les outils autorisés au lieu de les cantonner dans des chemins obscurs. Golan et Arora ont raison : le risque n’est pas l’IA elle-même, mais l’IA sans garde-fou.

Les menaces modernes liées à l’identité s’accélèrent et dépassent les capacités des pratiques de sécurité statiques.

Le paysage des menaces évolue. Rapidement. Les Deepfakes, les agents d’IA et les identités des machines ne sont pas des tendances technologiques, ils constituent la surface d’attaque actuelle. Les pratiques de sécurité traditionnelles, les examens d’accès trimestriels, les règles statiques et les contrôles manuels ne fonctionnent pas à cette échelle. Elles ne peuvent pas suivre les identités qui fonctionnent à la vitesse d’une machine et changent des dizaines de fois en une seule journée.

Il ne s’agit pas de lacunes théoriques. Il s’agit d’échecs pratiques. Un deepfake n’attend pas un cycle de conformité. Un agent d’intelligence artificielle non géré ne s’arrête pas pour un audit. Une fois compromis, ces systèmes peuvent déplacer des données, influencer des décisions et exécuter des instructions plus rapidement que la plupart des programmes de sécurité ne peuvent le détecter. Cela signifie que les dirigeants doivent changer leur façon de penser, passer de la prévention de chaque violation à la mise en place de systèmes qui minimisent le rayon d’action en cas de violation.

Le rapport 2024 Cost of a Data Breach Report d’IBM soutient cette approche : assumez la violation, maîtrisez-la rapidement et limitez les mouvements latéraux. Ne vous fiez pas aux contrôles qui s’attendent à des conditions parfaites. La sécurité doit être flexible, en temps réel et intégrée à la manière dont les systèmes fonctionnent réellement dans des environnements très rapides.

Cela signifie également que la visibilité doit venir en premier. Avant de construire une autre couche de sécurité, vous devez savoir quelles identités existent dans votre entreprise, humaines, machines et IA. Sans visibilité complète, la gouvernance devient réactive. C’est alors que les erreurs deviennent des brèches et que les mauvaises configurations se transforment en pertes de plusieurs millions de dollars.

La gouvernance statique doit évoluer vers une sécurité dynamique des identités. Les plateformes doivent apprendre, s’adapter et s’automatiser. Les structures de contrôle doivent détecter les menaces au moment où elles se produisent, et non des jours ou des semaines plus tard. De nombreux systèmes prennent déjà en charge ces aspects, mais leur valeur dépend d’un déploiement stratégique, et non de cases à cocher.

Les dirigeants doivent prendre l’initiative de ce changement. Eric Hart, RSSI mondial chez Cushman & Wakefield, a dit tout haut ce qu’il fallait faire tout bas : « Il ne s’agit pas d’éviter les incidents de sécurité, mais de minimiser les dommages lorsqu’ils se produisent inévitablement. Il s’agit de minimiser les dégâts lorsqu’ils se produisent inévitablement. » Cet état d’esprit n’est pas synonyme de défaite. Il reflète la clarté. Vous construisez des systèmes qui sont prêts, pas des systèmes qui espèrent.

Les outils de sécurité alimentés par l’IA doivent être déployés de toute urgence pour lutter contre les menaces émergentes.

Les outils sont là. Ils sont capables. Et ils fonctionnent. Le seul problème est que de nombreuses organisations ne les ont pas encore déployés. C’est ce retard qui constitue le véritable risque.

Les plateformes de sécurité alimentées par l’IA gèrent déjà la complexité, la vitesse et l’ampleur des deepfakes, des agents d’IA et de la prolifération des identités des machines. Ces systèmes ne dépendent pas de la vitesse de réaction humaine. Ils fonctionnent de manière autonome, avec une détection des menaces en temps réel, une automatisation du cycle de vie des informations d’identification et des analyses comportementales qui identifient les problèmes dès qu’ils surviennent, et non après.

Aujourd’hui, des entreprises comme CrowdStrike, SentinelOne, Palo Alto Networks, Microsoft, CyberArk et Venafi proposent des plateformes très avancées pour la sécurité des identités qui unifient les composants humains, mécaniques et d’IA. Nombre de ces solutions produisent des résultats mesurables, comme la réduction de 73 % des incidents liés aux informations d’identification signalée par CyberArk après seulement six mois de déploiement.

Ces outils ne sont pas expérimentaux. Ils sont opérationnels. Security Copilot de Microsoft, Control Plane de Venafi et Autonomous Identity de ForgeRock sont conçus pour être mis en œuvre à grande échelle. Les plateformes d’Ivanti gèrent des identités machine éphémères que les systèmes traditionnels ignorent complètement. Ces plates-formes sont déjà utilisées par de grandes entreprises qui cherchent sérieusement à réduire la probabilité d’une violation, et pas seulement à en rendre compte.

Pour les dirigeants, l’attente n’est plus une option. Chaque mois de retard amplifie votre exposition à mesure que les outils d’IA se propagent dans votre environnement, d’une manière qui échappe souvent au contrôle du service informatique. Ce qui compte maintenant, c’est d’avoir l’infrastructure en place pour gouverner ces outils de manière intentionnelle.

Il ne s’agit pas d’investir dans un potentiel hypothétique. Il s’agit d’adopter des systèmes fonctionnels qui s’alignent déjà sur l’évolution de la cybersécurité. Le passage d’une sécurité statique à une défense autonome, alimentée par l’IA, n’est plus un choix. C’est une exigence actuelle.

C’est là que les dirigeants font vraiment la différence. Les organisations qui resteront en sécurité sont celles qui utilisent ces plateformes de manière stratégique, en comprenant non seulement les outils, mais aussi l’ampleur des problèmes qu’elles ont été conçues pour résoudre. Les gagnants reconnaîtront que la sécurité de l’identité est désormais centrale et que les menaces à la vitesse de la machine nécessitent des réponses à la vitesse de la machine.

Principaux enseignements pour les dirigeants

• Les « deepfakes » réécrivent les règles de la confiance : Les entreprises sont confrontées à une menace de 40 milliards de dollars alors que les deepfakes se développent rapidement, avec plus de 75 millions de tentatives bloquées dans un seul secteur. Les dirigeants doivent donner la priorité à la vérification d’identité pilotée par l’IA pour protéger leur réputation et leur intégrité financière.
• Les agents d’IA fonctionnent sans surveillance ni limites : Ces systèmes autonomes disposent souvent d’autorisations étendues et d’un accès permanent. Les dirigeants doivent mettre en place des cadres de gouvernance en temps réel avant que les agents d’IA ne prennent des décisions qui dépassent les structures de contrôle humaines.
• Les identités des machines sont désormais 45 fois plus nombreuses que les identités humaines : avec l’explosion du nombre d’informations d’identification des machines et 68 % des violations liées à des identités non humaines, les entreprises doivent remplacer l’ancienne gestion des identités par des contrôles d’identité dynamiques et automatisés afin d’atténuer les faiblesses en matière d’exposition aux risques.
• L’IA fantôme gonfle les coûts de violation de 16 % : Avec plus de 74 500 applications d’IA non autorisées actives et une croissance rapide en cours, les équipes C-suite doivent formaliser la gouvernance de l’IA, fournir des outils approuvés et établir des politiques d’utilisation claires pour éviter les risques coûteux et invisibles.
• Les modèles de sécurité statiques ne peuvent pas gérer les menaces à la vitesse de la machine : Les contrôles d’accès traditionnels et les contrôles manuels sont trop lents. Les dirigeants doivent passer à des stratégies de sécurité conçues pour un confinement en temps réel, une visibilité de l’identité et une réponse automatisée.
• Les outils de sécurité basés sur l’IA sont disponibles et donnent des résultats : Les organisations qui déploient des plateformes de confiance améliorées par l’IA comme CyberArk, SentinelOne et Microsoft Security Copilot réduisent la probabilité de violation et diminuent les incidents de manière significative. Les décideurs doivent agir maintenant avant que la vitesse des menaces ne dépasse celle de leurs défenses.