Pourquoi la résilience cyber commence désormais avant une attaque

Les attaques basées sur l’IA réduisent le délai de réaction

La cybersécurité évolue désormais dans un environnement opérationnel différent. Le rythme des avancées en matière d’IA modifie la dynamique économique des cyberattaques plus rapidement que ne l’avaient prévu de nombreuses organisations. Lorsqu’une attaque peut passer de l’accès initial à la prise de contrôle totale d’un système en à peine 27 secondes, le processus de sécurité traditionnel n’est plus adapté à la situation. La détection, l’enquête, la validation et la réponse manuelle ne peuvent tout simplement plus suivre le rythme.

Cela remet en cause une hypothèse importante qui a façonné la sécurité des entreprises pendant des années. L’idée selon laquelle les personnes disposeront toujours de suffisamment de temps pour détecter une attaque avant que des dommages importants ne se produisent s’avère de moins en moins réaliste. L’expertise humaine reste indispensable, mais elle doit intervenir plus en amont dans le processus. L’accent n’est plus mis sur la réaction pendant une attaque, mais sur la préparation des systèmes avant qu’une attaque ne se produise.

C’est précisément cette préparation qui constitue la cyber-résilience. Elle consiste à identifier en permanence des points de reprise fiables, à déterminer quelles applications, identités et ensembles de données sont essentiels au fonctionnement de l’entreprise, et à automatiser la restauration afin que les systèmes puissent revenir rapidement à un état sain. La reprise devient ainsi une capacité active, testée, mise à jour et intégrée aux opérations quotidiennes, et non plus un simple plan de secours auquel on ne prête attention qu’après un incident.

Pour les dirigeants d’entreprise, il ne s’agit pas seulement d’un enjeu technique. Chaque minute d’indisponibilité a des répercussions sur le chiffre d’affaires, la confiance des clients, les risques réglementaires et la continuité des opérations. Plus les attaques gagnent en rapidité, plus une reprise rapide prend de l’importance. Les organisations capables de rétablir leurs services critiques en quelques heures plutôt qu’en plusieurs jours seront bien mieux à même de limiter les préjudices financiers et les atteintes à leur réputation.

Dev Rishi, directeur général de l’IA chez Rubrik, résume clairement cette évolution : « Tout ce qui reposait sur des processus ou sur une intervention humaine ne pourra plus fonctionner à la rythme des attaques.» Il ajoute : « Si les attaques se produisent en 27 secondes, cela signifie que ma restauration doit s’effectuer tout aussi rapidement. »

La leçon générale à en tirer est simple. L’IA accélère à la fois les attaques et la défense. Les entreprises qui automatisent dès aujourd’hui leur résilience seront mieux préparées à mesure que les capacités de l’IA continueront de s’améliorer. Attendre qu’une attaque se produise devient une stratégie de plus en plus coûteuse.

Les méthodes traditionnelles de cyberdéfense, fondées sur des règles, s’avèrent insuffisantes

La plupart des systèmes de sécurité d’entreprise ont été conçus pour des logiciels dont le comportement est prévisible. Ils s’appuient sur des règles, des signatures, des autorisations et des politiques prédéfinies pour déterminer si une action doit être autorisée. Cette approche s’est avérée efficace contre de nombreuses menaces classiques, car le comportement surveillé suivait généralement des schémas connus.

Les agents d’IA posent un défi d’un autre ordre. Ils ne se limitent pas à une séquence d’actions fixe. Ils peuvent atteindre le même objectif par de nombreuses voies différentes et s’adapter lorsqu’une voie est bloquée. Cela rend les contrôles de sécurité statiques nettement moins efficaces. Un système peut vérifier que chaque action individuelle est autorisée tout en ne se rendant absolument pas compte que la séquence complète d’actions entraîne la fuite de données sensibles hors de l’entreprise ou l’endommagement de systèmes critiques.

C’est là que le contexte devient essentiel. Les systèmes de sécurité modernes doivent comprendre ce que fait un agent d’IA et pourquoi son schéma de comportement global peut présenter un risque. Une IA sensible au contexte est capable d’évaluer les actions sur l’ensemble de plusieurs applications, utilisateurs et ensembles de données, en identifiant les comportements qui semblent normaux pris isolément, mais qui s’avèrent dangereux lorsqu’ils sont considérés dans le cadre d’une opération globale.

Pour les dirigeants, cela représente un changement dans les priorités d’investissement. La sécurité ne doit plus être évaluée uniquement en fonction du nombre de menaces détectées ou bloquées. Les organisations doivent également déterminer si leurs plateformes sont capables de comprendre les comportements au sein de l’entreprise en temps réel et de réagir automatiquement dès l’apparition d’un risque. Une sécurité reposant uniquement sur des règles fixes deviendra de plus en plus difficile à maintenir à mesure que les systèmes d’IA gagneront en autonomie.

Dev Rishi, directeur général chargé de l’IA chez Rubrik, résume bien cette exigence : « Il vous faut un système capable de comprendre le contexte. » Il ajoute que les entreprises ont besoin d’une IA capable de détecter quand les actions d’un agent « pourraient présenter un risque de fuite de données sensibles vers l’extérieur ».

Il ne s’agit pas de remplacer les contrôles de sécurité existants. La gestion des identités, les contrôles d’accès et les autorisations restent fondamentaux. L’étape suivante consiste à ajouter une intelligence qui relie ces contrôles individuels au sein d’un système capable de comprendre les intentions, de reconnaître les menaces émergentes et d’agir avant que des événements isolés ne se transforment en incidents majeurs. C’est cette combinaison qui définira la prochaine génération de cybersécurité d’entreprise.

Les agents d’IA estompent les distinctions traditionnelles

La sécurité d’entreprise a traditionnellement considéré les menaces internes et externes comme deux catégories distinctes. On s’attendait à ce que les attaquants externes agissent rapidement et exploitent plusieurs systèmes, tandis que les menaces internes étaient généralement limitées par la rapidité, les droits d’accès et les capacités de chaque collaborateur. Les agents d’IA sont en train de bouleverser cette distinction.

Un agent d’IA peut accéder simultanément à plusieurs systèmes d’entreprise, traiter de grandes quantités d’informations et exécuter des tâches en continu. Si l’agent interprète mal une instruction, génère une réponse erronée ou transmet des informations sensibles à un destinataire inapproprié, l’impact opérationnel peut être très similaire à celui d’un employé malveillant. Le résultat est le même, quelle que soit l’intention : des données critiques peuvent être exposées, les systèmes peuvent être perturbés et les opérations de l’entreprise peuvent en pâtir.

Le risque s’accroît encore davantage si un attaquant externe parvient à compromettre un agent d’IA. Au lieu d’étendre progressivement ses droits d’accès, l’attaquant peut immédiatement prendre le contrôle des autorisations et des systèmes connectés dont dispose cet agent. À mesure que les organisations déploient l’IA dans les domaines du service client, de la finance, du développement logiciel et des opérations internes, l’impact potentiel de la compromission d’un agent augmente considérablement.

Cela signifie que les stratégies de sécurité doivent moins se concentrer sur l’origine d’une menace et davantage sur ce que celle-ci fait. La surveillance continue du comportement des agents d’IA devient essentielle. Les plateformes de sécurité doivent évaluer les actions en temps réel, déterminer si elles sont conformes aux politiques de l’organisation et intervenir immédiatement lorsque le comportement devient dangereux ou non autorisé.

Pour les dirigeants, la gouvernance revêt désormais une importance tout aussi grande que la technologie. Chaque agent d’IA doit disposer d’autorisations clairement définies, faire l’objet d’une surveillance continue et être soumis à des contrôles d’identité rigoureux. Les organisations doivent également conserver des registres précis des activités des agents afin de faciliter la conformité, les audits et les enquêtes en cas d’incident. À mesure que l’adoption de l’IA se développe, la gouvernance doit évoluer en parallèle, plutôt que d’être mise en place a posteriori.

Dev Rishi, directeur général de l’IA chez Rubrik, affirme que les organisations ont besoin de « garde-fous d’exécution » qui garantissent l’application cohérente des politiques par tous les agents d’IA. Il recommande une « couche de protection native à l’IA qui surveille le comportement des agents sur le plan sémantique, comprend l’intention sous-jacente à leurs actions et est capable de bloquer ou d’arrêter un agent défaillant à la vitesse de la machine, puis de déclencher immédiatement la restauration ».

La ligne de conduite est claire. Les agents d’IA doivent être considérés comme des acteurs à part entière au sein de l’environnement de l’entreprise. Ils nécessitent le même niveau de surveillance que n’importe quel système privilégié, voire davantage dans de nombreux cas, en raison de la rapidité et de l’ampleur de leurs opérations.

La cyber-résilience doit être considérée comme une capacité stratégique prioritaire

Le débat sur la cybersécurité évolue : il ne s’agit plus tant de prévenir chaque attaque que de minimiser l’impact sur l’activité lorsque celles-ci se produisent. Ce n’est pas parce que la prévention a perdu de son importance, mais parce que l’intelligence artificielle rend les attaques plus rapides, plus massives et de plus en plus capables d’exploiter des failles que les organisations n’ont pas encore identifiées.

Les modèles d’IA de pointe sont capables de détecter et d’exploiter de manière autonome des vulnérabilités « zero-day ». Cela modifie la manière dont les organisations doivent appréhender les risques. Les responsables de la sécurité doivent continuer à investir dans la prévention, mais ils doivent également partir du principe que certaines attaques aboutiront malgré ces investissements. La capacité à se remettre rapidement d’une attaque devient alors une compétence essentielle, plutôt qu’une considération secondaire.

La cyber-résilience implique d’intégrer dès le départ la reprise d’activité dans la conception de l’entreprise. Les processus de reprise doivent être automatisés, testés régulièrement et validés en permanence. Des points de reprise fiables doivent être identifiés avant qu’un incident ne se produise, et les organisations doivent comprendre comment les applications, les identités et les données critiques dépendent les unes des autres afin de pouvoir rétablir leurs opérations sans délai inutile.

Pour les dirigeants, il s’agit autant d’une stratégie commerciale que d’une stratégie technologique. Les temps d’arrêt ont un impact direct sur le chiffre d’affaires, la confiance des clients, les obligations réglementaires et les performances opérationnelles. Les entreprises qui parviennent à se remettre rapidement de ces incidents peuvent réduire leurs pertes financières, préserver la confiance de leurs clients et reprendre leurs activités normales plus rapidement que leurs concurrents qui s’appuient sur des processus de reprise manuels.

Cela modifie également la manière dont les investissements en matière de sécurité doivent être évalués. Au lieu de juger du succès uniquement en fonction du nombre d’attaques évitées, les dirigeants devraient examiner les objectifs de reprise, la rapidité de restauration, la continuité opérationnelle et la capacité de l’organisation à continuer de fournir des services essentiels pendant et après un incident. Ces indicateurs offrent une vision plus complète de la préparation face aux cybermenaces dans un environnement piloté par l’IA.

Dev Rishi, directeur général chargé de l’IA chez Rubrik, résume clairement ce point de vue : « La capacité à se remettre rapidement d’une attaque va devenir l’un des aspects les plus importants de la sécurité. » Il ajoute : « C’est la police d’assurance que les entreprises doivent désormais considérer comme une priorité absolue. »

Les organisations qui intègrent la résilience au cœur de leurs activités seront mieux armées pour aborder la prochaine étape de l’adoption de l’IA. L’objectif n’est plus seulement de résister aux attaques. Il s’agit désormais de garantir que l’entreprise puisse poursuivre ses activités, se remettre rapidement et préserver la confiance de ses clients, de ses collaborateurs et de ses parties prenantes, même en cas d’attaque.

Les petits modèles linguistiques sont indispensables

Une cyber-résilience efficace repose sur la combinaison de deux capacités. La première consiste à identifier et à bloquer les activités malveillantes dès qu’elles se produisent. La seconde consiste à restaurer immédiatement les systèmes affectés si une attaque parvient à ses fins. Ces deux capacités doivent fonctionner à la vitesse d’une machine, car les attaques basées sur l’IA ne laissent que très peu de temps pour une intervention manuelle.

De nombreuses organisations partent du principe que les modèles d’IA les plus volumineux constituent le meilleur choix en matière de sécurité. Dans la pratique, ce n’est pas toujours le cas. La surveillance de chaque agent d’IA, de chaque transaction et de chaque événement système à l’aide de modèles de pointe volumineux peut entraîner une latence importante et des coûts de calcul élevés. Si la sécurité ralentit les opérations commerciales ou devient trop coûteuse pour être déployée à grande échelle, il devient difficile de la déployer à l’échelle de l’entreprise.

C’est là que les petits modèles linguistiques (SLM) prennent toute leur importance. Ils sont conçus pour effectuer des tâches ciblées avec des besoins informatiques bien moindres, tout en continuant à comprendre le sens et le contexte des actions. Dans le domaine de la cybersécurité, cela leur permet d’évaluer en continu et en temps réel le comportement des agents d’IA, sans entraîner de retards inutiles ni de coûts d’infrastructure excessifs.

Rubrik développe cette fonctionnalité à l’aide de petits modèles linguistiques, suite à son acquisition de Predibase. L’objectif est simple. Lorsqu’un agent IA tente une action destructive, telle que la suppression d’une base de données, la corruption de fichiers critiques ou le transfert de données sensibles en dehors de l’organisation, le modèle détecte immédiatement cette activité, la bloque ou l’interrompt, identifie le dernier point de restauration valide et lance automatiquement la restauration. La détection et la restauration s’inscrivent ainsi dans un processus continu, et non plus dans des flux de travail distincts.

Pour les dirigeants, cela constitue un rappel important : une stratégie en matière d’IA ne se résume pas au simple déploiement des modèles les plus avancés. Il s’agit de choisir le modèle adapté à chaque charge de travail. En matière de sécurité, les performances, la rapidité, les coûts d’exploitation et l’évolutivité revêtent souvent autant d’importance que la taille du modèle. Les organisations qui adaptent leurs capacités d’IA à des besoins métier spécifiques sont susceptibles d’obtenir de meilleurs résultats tout en maîtrisant leurs coûts d’exploitation à long terme.

Dev Rishi, directeur général de l’IA chez Rubrik, souligne cette exigence pratique : « Il faut un modèle d’IA rapide, compact et peu coûteux. » Il ajoute que les entreprises sont peu susceptibles d’adopter des solutions de sécurité qui augmenteraient considérablement les coûts ou la latence du système. Cela reflète une réalité plus générale concernant l’adoption de l’IA dans les entreprises. Les solutions doivent renforcer la sécurité sans nuire à l’efficacité opérationnelle.

À mesure que l’IA s’intègre dans l’ensemble des systèmes d’entreprise, des modèles de sécurité efficaces deviendront un élément essentiel de l’architecture technologique globale. La réussite dépendra de la mise en œuvre d’une IA capable de protéger l’entreprise en permanence tout en restant économiquement viable à l’échelle de l’entreprise.

La cybersécurité évolue

Depuis de nombreuses années, la cybersécurité des entreprises est évaluée en fonction de l’efficacité avec laquelle les organisations détectent et bloquent les menaces. La détection reste essentielle, mais elle ne suffit plus à elle seule. L’intelligence artificielle réduit si considérablement le délai entre la compromission et l’impact sur l’activité que les organisations ont désormais également besoin de systèmes capables de réagir et de se rétablir automatiquement.

Cela traduit une évolution plus générale dans la conception des architectures de sécurité. Au lieu de fonctionner comme des fonctions distinctes, la surveillance, la gestion des identités, l’analyse comportementale, l’application des politiques et la reprise après sinistre doivent fonctionner de concert au sein d’une plateforme de résilience coordonnée. Chaque composant doit contribuer à réduire le délai entre l’identification d’une menace et le rétablissement d’un fonctionnement normal.

L’observabilité joue un rôle de plus en plus important dans ce modèle. Les organisations ont besoin d’une visibilité en continu sur le comportement des utilisateurs, des agents d’IA, des applications et de l’infrastructure. Cette visibilité gagne considérablement en valeur lorsqu’elle est associée au contexte d’identité, ce qui permet aux systèmes de sécurité de déterminer qui ou quoi a déclenché une action, si ce comportement est conforme à la politique en vigueur et quelle réponse doit être apportée. Cela offre une vision plus complète des risques de l’entreprise que les systèmes traditionnels basés sur les alertes.

La reprise devient également une capacité permanente plutôt qu’une procédure d’urgence. Les systèmes doivent identifier automatiquement les points de reprise fiables, valider leur intégrité et restaurer les services métier avec une intervention humaine minimale. L’objectif n’est pas simplement de rétablir le fonctionnement après un incident, mais de réduire autant que possible les perturbations opérationnelles.

Pour les dirigeants d’entreprise, cela implique d’adopter une approche différente pour évaluer les investissements en matière de cybersécurité. La question ne se limite plus à savoir si une plateforme est capable de détecter des attaques sophistiquées. Il convient également de se demander si cette plateforme est en mesure d’assurer la continuité des activités, d’automatiser la reprise après sinistre et de réduire l’impact opérationnel et financier des attaques qui aboutissent. La résilience devient ainsi une capacité opérationnelle mesurable qui favorise la croissance à long terme, la confiance des clients et la conformité réglementaire.

Dev Rishi, directeur général de l’IA chez Rubrik, résume cette transition en déclarant : « Ce qui est à l’origine des menaces, à savoir les capacités de pointe de modèles tels que Mythos, peut également être utilisé pour nous aider à lutter contre ces menaces. » Il ajoute : « Se préparer à l’ère de l’IA signifie combler le délai entre la détection d’un problème et la restauration des systèmes affectés, avant que le coût de ce délai ne s’alourdisse. »

L’orientation que prend la sécurité des entreprises se précise de plus en plus. L’intelligence artificielle continuera à accélérer tant les attaques que les défenses. Les organisations qui intègrent une surveillance intelligente, une prise de décision automatisée et une reprise rapide au sein d’une architecture de résilience unifiée seront mieux préparées à gérer les menaces futures tout en préservant la stabilité opérationnelle.

Principaux enseignements pour les décideurs

• Préparez-vous à la reprise avant même que les attaques ne se produisent : les attaques basées sur l’IA peuvent avoir des conséquences critiques en à peine 27 secondes, ce qui rend toute intervention manuelle trop lente. Les dirigeants doivent investir dans la reprise automatisée, dans des points de reprise validés et dans la planification de la résilience, parallèlement aux mesures de prévention traditionnelles.
• Remplacer la sécurité statique par une IA sensible au contexte : la sécurité fondée sur des règles ne permet pas d’identifier de manière fiable les enchaînements préjudiciables d’actions légitimes. Les organisations devraient déployer une IA capable de comprendre le contexte comportemental et l’intention afin de détecter les menaces que les contrôles conventionnels ne parviennent pas à repérer.
• Gérez les agents IA comme des collaborateurs numériques disposant de privilèges élevés : les agents IA peuvent générer des risques en commettant des erreurs ou en se faisant pirater lorsqu’ils opèrent sur plusieurs systèmes à la vitesse d’une machine. Les dirigeants doivent mettre en place une surveillance continue, des garde-fous d’exécution et des contrôles d’identité rigoureux pour chaque agent IA.
• Faites de la cyber-résilience une priorité au niveau du conseil d’administration : alors que l’IA réduit le coût et accélère les attaques sophistiquées, les organisations doivent partir du principe que des violations de sécurité se produiront. Le succès doit être mesuré à l’aune de la rapidité avec laquelle les services critiques peuvent être rétablis.
• Utilisez le modèle d’IA adapté à la sécurité en temps réel : les grands modèles d’IA sont souvent trop coûteux et trop lents pour assurer une mise en œuvre continue des mesures de sécurité. Les petits modèles linguistiques permettent une surveillance plus rapide et moins coûteuse, qui facilite la maîtrise immédiate des menaces et la reprise automatisée à l’échelle de l’entreprise.
• Concevoir la sécurité autour de la résilience : une cybersécurité tournée vers l’avenir combine, au sein d’une architecture unique, la surveillance continue, la gestion des identités, l’application intelligente des règles et la reprise automatisée. Les dirigeants doivent privilégier les plateformes qui réduisent le délai entre la détection d’une attaque et la reprise des activités de l’entreprise.