L’IA amplifiera les cybermenaces mais ne pourra pas remplacer la surveillance humaine dans la sécurité des infrastructures critiques
L’IA s’améliore rapidement. Elle peut détecter des schémas dans des quantités massives de données et signaler des menaces que des équipes humaines ne verraient pas ou ne réagiraient pas assez vite. C’est utile. Mais ne confondons pas vitesse et sagesse. En matière de cybersécurité, en particulier pour les infrastructures critiques, agir sans discernement peut être pire que de ne rien faire du tout.
Quelle que soit la qualité des logiciels, les infrastructures critiques, les réseaux électriques, les réseaux de transport, les chaînes de fabrication ont besoin d’être opérationnels. Si l’IA se trompe et déconnecte un système critique, les conséquences vont bien au-delà d’une fausse alerte. Vous avez besoin que l’IA vous assiste, et non qu’elle agisse seule. L’automatisation fonctionne bien pour les réponses prévisibles, comme l’isolement d’un appareil infecté. Mais lorsque les enjeux concernent la sécurité publique, la continuité de la production ou les économies nationales, la décision finale doit être prise par un cerveau humain.
Les dirigeants automatisent de plus en plus la détection et la réponse aux menaces. C’est logique. L’IA excelle à repérer les anomalies, en particulier les attaques furtives basées sur les informations d’identification, où les adversaires se connectent au lieu d’entrer par effraction. Toutefois, la détection de schémas n’est pas synonyme de résilience. Un système vraiment résilient prouve qu’il peut réagir sous pression, la technologie et les humains travaillant ensemble. Et cette preuve doit provenir de tests en conditions réelles, et non d’hypothèses ou de battage publicitaire.
Les équipes gagnantes dans ce domaine combineront l’IA en évolution rapide avec un jugement humain expérimenté. Ensemble, elles pourront détecter les comportements malveillants et agir rapidement, sans introduire de nouveaux risques.
Dave Spencer, directeur de la gestion des produits techniques chez Immersive Labs, l’a bien dit : « L’automatisation totale n’est pas une résilience. C’est un risque. » C’est l’état d’esprit qu’adoptent les organisations intelligentes, qui utilisent l’IA pour améliorer les performances humaines, et non pour les remplacer. L’objectif n’est pas l’automatisation parfaite. L’objectif est une réponse contrôlée et intelligente. L’IA nous permet d’y parvenir en partie, mais ce sont les personnes qui veillent à ce que le système prenne la bonne décision lorsque c’est important.
La convergence des technologies de l’information et des technologies de l’information compliquera la cybersécurité industrielle dans un contexte de systèmes existants persistants
Les technologies de l’information et les technologies de l’information se rejoignent. C’est la direction à suivre : des systèmes plus connectés et plus intelligents pour gérer les opérations industrielles. Cela signifie des données en temps réel, une automatisation plus intelligente et des contrôles plus stricts. Mais la convergence n’est pas définitive. De nombreuses organisations continueront à utiliser des systèmes existants pendant des années. Ces systèmes n’ont pas été conçus en tenant compte des menaces modernes. Ils sont vulnérables, et les sécuriser tout en modernisant les environnements est un véritable défi.
Le problème de base est le rythme. Les environnements OT ne peuvent pas être corrigés selon un calendrier standard. Ils ne tolèrent pas les temps d’arrêt non planifiés. L’intégration de nouveaux contrôles et outils de surveillance pilotés par l’IA dans ces environnements sans perturber les opérations exige donc de la discipline, une gestion du changement, des tests rigoureux et des fenêtres de maintenance bien coordonnées. Cela demande du travail, et les raccourcis ne sont pas une option.
Les contrôles de sécurité doivent également s’adapter. Vous ne pouvez pas protéger les systèmes convergents avec des politiques uniformes. C’est là qu’interviennent la visibilité des actifs, la segmentation et les cadres de confiance zéro. Il ne s’agit plus seulement de concepts informatiques. Ils deviennent essentiels pour les systèmes de contrôle opérationnel, en particulier dans les secteurs où le temps de fonctionnement, la précision et la sécurité physique se recoupent. L’IA permet d’identifier les menaces plus rapidement, mais les voies de réponse doivent être étroitement alignées sur les contraintes opérationnelles du monde réel.
Sam Maesschalck, Lead OT Cyber Security Engineer chez Immersive Labs, l’a expliqué clairement : les systèmes existants ne disparaîtront pas d’ici 2026, même si l’IA et les contrôles intégrés au cloud prennent de l’ampleur. La réussite dans ces environnements hybrides dépendra de la qualité de la coordination des organisations entre les disciplines, l’informatique, la sécurité, l’ingénierie, et de l’efficacité avec laquelle elles appliquent de nouveaux modèles de sécurité sans introduire de nouveaux problèmes.
L’aspect réglementaire est également en train de rattraper son retard. Des cadres tels que ISA/IEC 62443 et NIST 800-82 évoluent pour refléter l’interdépendance croissante entre les technologies de l’information et les technologies de l’information. Attendez-vous à une pression croissante pour démontrer la conformité avec les normes de résilience spécifiques aux technologies de l’information et de la communication. Cela signifie qu’il faut investir non seulement dans la technologie, mais aussi dans le personnel. La formation continue, les laboratoires pratiques et le partage des connaissances entre les équipes IT et OT seront tout aussi importants que n’importe quel pare-feu ou outil d’intelligence artificielle déployé.
Il s’agit d’un territoire en phase de démarrage. Les dirigeants qui agissent rapidement et restent disciplinés définiront la norme en matière de cybersécurité opérationnelle au cours de la prochaine décennie.
La cyber-extorsion évoluera à mesure que les données volées prendront de la valeur en tant que matériel d’entraînement à l’IA
La cyber-extorsion évolue rapidement. D’ici 2026, les acteurs de la menace commenceront à traiter les données volées non seulement comme un moyen d’obtenir une rançon, mais aussi comme une ressource qu’ils peuvent vendre. À mesure que la demande de grands ensembles de données de haute qualité augmente dans le cadre du développement de l’IA, les données privées volées, les communications internes et les référentiels logiciels deviennent des actifs que les criminels peuvent monnayer de différentes manières. Cela modifie le profil de risque de la plupart des entreprises.
Les cybercriminels s’adaptent à cette nouvelle opportunité. Au lieu de se contenter de menacer de faire fuir des données sensibles, ils peuvent contourner complètement l’exposition publique et vendre le contenu volé directement à des développeurs d’IA sur le marché noir. L’extorsion passe ainsi des modèles traditionnels de rançon à une monétisation plus discrète et à long terme. L’impact commercial devient plus difficile à suivre, et potentiellement plus dommageable, car la perte de données ne se traduira pas toujours par des fuites visibles. Elles disparaîtront dans les pipelines de formation à l’IA sans aucune transparence.
Ce qui rend la situation encore plus préoccupante, c’est l’accessibilité. Les acteurs de la menace de base, ceux qui n’ont pas beaucoup de connaissances techniques, commenceront à acquérir de réelles capacités. Avec l’aide d’outils d’IA et de modèles pré-entraînés, même les hackers débutants peuvent analyser le code, identifier les points faibles des logiciels libres et exécuter des exploits utilisables. Il y a encore une limite, la furtivité et la navigation opérationnelle avancée restent des compétences humaines, mais l’automatisation comble le fossé pour beaucoup. L’IA rendra les attaquants peu compétents plus efficaces et donnera aux acteurs très compétents des outils plus puissants.
Nous voyons déjà les premiers signes de logiciels malveillants adaptatifs. Les logiciels de menace intégrant des modèles de langage ou d’autres API d’IA peuvent évoluer en cours d’opération, en écrivant ou en ajustant le code malveillant en fonction de l’environnement qu’ils rencontrent. Cela rend certaines attaques plus réactives et plus résistantes, retardant la détection et prolongeant les dommages qu’elles causent avant d’être stoppées.
Ben McCarthy, ingénieur en chef de la cybersécurité chez Immersive Labs, souligne que les attaquants « menacent de vendre [les données] à des entreprises d’IA désespérément à la recherche de nouveau matériel de formation », plutôt que de simplement les divulguer pour une exposition maximale. Il souligne également que même les attaquants novices peuvent prendre l’avantage, grâce aux outils de recherche générés par l’IA et capables de repérer les vraies vulnérabilités.
Pour les dirigeants, cela augmente les enjeux. Les politiques, les capacités de détection et la planification des réponses doivent désormais prendre en compte le risque que des données soient discrètement extraites, et non simplement verrouillées ou divulguées, et vendues d’une manière difficile à vérifier, à tracer ou à arrêter après coup. Les stratégies de protection des données doivent être réévaluées, en accordant une attention nouvelle à la manière dont les informations peuvent être réutilisées par des tiers, longtemps après une violation initiale.
L’ingénierie sociale alimentée par l’IA va s’intensifier, exigeant une stratégie de défense centrée sur les personnes
L’IA modifie la dynamique de l’ingénierie sociale. Il ne s’agit plus seulement de faux courriels. D’ici 2026, les attaquants utiliseront des outils génératifs pour mettre à l’échelle la tromperie, des messages plus convaincants, des manipulations plus personnalisées et des « deepfakes » plus réalistes. Ces outils imiteront le comportement humain et les modèles de communication avec une grande précision, ce qui rendra plus difficile pour les employés de reconnaître et de rejeter les contenus malveillants.
Les défenses techniques ne suffisent pas à elles seules. Vous pouvez avoir toutes les bonnes politiques, les bons systèmes de détection et les bons contrôles d’accès, mais l’erreur humaine reste une lacune persistante. Les attaquants le savent, et ils cibleront de plus en plus les personnes avec des tactiques de précision conçues pour contourner les pare-feu et les protections des points d’extrémité. Ces méthodes améliorées par l’IA exploiteront les indices psychologiques et les modèles comportementaux pour miner l’attention, la confiance et la prise de décision.
Le problème n’est pas la sensibilisation. La plupart des employés savent déjà que le phishing existe. Le problème est la préparation, c’est-à-dire le fait de reconnaître les attaques dans leur contexte et de réagir correctement sous la pression. De nombreuses entreprises ont investi massivement dans des programmes de sensibilisation à la sécurité et dans la formation à la politique de sécurité, mais l’impact reste limité. En l’absence d’exercices réels et de simulations haute fidélité, la plupart des employés ne retiendront pas les compétences dont ils ont besoin pour lutter contre les menaces avancées.
John Blythe, directeur de la cyberpsychologie chez Immersive Labs, a été très clair : « Les organisations qui s’appuient uniquement sur la technologie, les processus et les politiques comme solution principale échoueront ». Il a cité une lacune majeure : 71 % des organisations considèrent que leurs programmes de résilience sont « extrêmement mûrs », alors que ces programmes n’ont pas montré d’amélioration mesurable de la préparation du personnel.
Pour les équipes de niveau C, cela signifie qu’il faut réévaluer la manière dont la résilience humaine est développée et testée. La résistance à l’ingénierie sociale exige plus que de brefs modules de formation ou des listes de contrôle de conformité. Elle exige des exercices de routine et de tir réel qui exposent les employés à des scénarios d’attaque réels dans des environnements contrôlés. Au fil du temps, cette formation développe la reconnaissance des schémas et l’esprit de décision, deux choses que l’IA ne peut pas encore imiter en matière de défense.
Les organisations sûres seront celles qui intégreront l’adaptabilité humaine dans leur architecture de défense. Il s’agit notamment de responsabiliser les employés de tous les services, et pas seulement les services informatiques ou de sécurité, et de faire de la cyberpréparation un facteur de performance mesurable. Le paysage des menaces étant de plus en plus personnalisé et évoluant rapidement, les personnes ne sont plus un point faible par défaut. Avec la bonne approche, ils deviennent l’une des couches de protection les plus efficaces.
Principaux enseignements pour les dirigeants
- L’IA nécessite une surveillance humaine pour garantir la résilience : L’IA peut accélérer la détection des menaces, mais la sécurité des infrastructures critiques dépend toujours d’une prise de décision humaine éclairée. Les dirigeants doivent s’assurer que l’automatisation est soutenue par des contrôles humains testés afin d’éviter les perturbations ou les dommages inutiles.
- La convergence des technologies de l’information et des technologies de l’information introduit un risque de sécurité à long terme : La fusion des systèmes opérationnels existants avec des contrôles modernes pilotés par l’IA augmente la complexité et l’exposition. Les dirigeants doivent investir dans une gestion disciplinée du changement et un alignement interfonctionnel pour maintenir la performance et la sécurité.
- Les données volées deviennent un carburant pour l’IA : les cybercriminels passent de la fuite et de la rançon à la vente de données volées en tant que matériel d’entraînement pour l’IA. Les dirigeants doivent réévaluer les stratégies de protection des données et de réponse aux violations en tenant compte de l’évolution du modèle de menace.
- Les personnes restent la première ligne de défense contre la tromperie alimentée par l’IA : Les attaquants vont développer l’ingénierie sociale à l’aide d’outils d’IA générative, augmentant ainsi la pression sur les employés. Les organisations devraient aller au-delà de la formation de sensibilisation et effectuer des tests de scénario en direct pour renforcer la résilience du personnel.
