L’IA transforme la cybersécurité en course industrielle permanente
📩 Pour nous contacter: redaction@fw.media
Nécessaire, coûteuse, parfois stratégique, mais rarement considérée comme un sujet structurant de compétitivité ou d’organisation, la cybersécurité est encore perçue par de nombreux dirigeants comme une fonction de protection relativement périphérique.
À l’heure de l’intelligence artificielle, cette lecture devient pourtant largement obsolète. L’IA transforme progressivement la cybersécurité en discipline opérationnelle permanente, avec des implications directes sur la gouvernance, les opérations, les investissements technologiques et la capacité même des entreprises à fonctionner dans un environnement numérique devenu beaucoup plus instable.
Il faut intégrer que les modèles génératifs ne servent plus seulement à produire du code ou automatiser des workflows. Ils deviennent désormais capables d’analyser des infrastructures entières, d’identifier des vulnérabilités et de reconstruire des chaînes d’attaque à une vitesse inaccessible aux équipes humaines.
Le changement est moins technologique qu’économique. Pendant longtemps, la sécurité fonctionnait selon un rythme relativement humain. Les vulnérabilités étaient découvertes progressivement, et les équipes IT disposaient encore de temps pour patcher, corriger les systèmes, tandis qu’une partie importante de la dette technique mondiale restait finalement “gérable” parce qu’elle demeurait difficile à cartographier ou à exploiter.
L’IA modifie brutalement cette équation. Si un modèle devient capable d’écrire du code dans la majorité des cas, il devient mécaniquement capable d’identifier du mauvais code, des erreurs d’architecture ou des dépendances vulnérables avec une efficacité probablement supérieure.
Pour les entreprises, cela signifie que l’ensemble de la dette technique accumulée depuis vingt ans devient soudainement plus exploitable et beaucoup plus urgente à traiter. Or cette dette est massive. Derrière les interfaces modernes se trouvent encore des infrastructures historiques, des ERP vieillissants, des middleware complexes, des couches open source fragmentées et des logiciels métiers développés parfois il y a plus de quinze ans. Une partie importante de l’économie mondiale fonctionne encore sur des architectures conçues avant l’explosion du cloud, avant l’IA générative et parfois même avant les standards modernes de cybersécurité.
Selon diverses estimations sectorielles, plus de 70 % des infrastructures critiques des grandes entreprises reposent encore partiellement sur des systèmes legacy ou des architectures hybrides difficilement modernisables. Dans le secteur bancaire, certains core systems fonctionnent encore sur des technologies développées il y a plus de trente ans. Même situation dans l’industrie, la santé ou les administrations publiques, où une partie importante des infrastructures numériques repose sur des couches logicielles historiques interconnectées à des services cloud récents.
Cette fragmentation crée des surfaces d’attaque massives. L’épisode Log4Shell en 2021 avait déjà illustré cette dépendance systémique : une simple bibliothèque open source Java présente dans des millions de systèmes avait obligé des entreprises et administrations du monde entier à lancer des opérations de correction d’urgence pendant plusieurs mois.
Avec l’IA, ce type de vulnérabilité pourrait désormais être détecté, cartographié et exploité à une vitesse encore supérieure. Les premiers chiffres issus des travaux d’Anthropic donnent déjà une idée de cette accélération. Dans le cadre de son projet de recherche “Glasswing”, la société affirme que son modèle Mythos Preview a permis d’identifier plus de 10 000 vulnérabilités critiques ou à haut risque dans des logiciels open source largement utilisés, dont plus de 6 200 considérées comme critiques ou sévères. Cloudflare indique de son côté avoir détecté près de 2 000 bugs grâce au système, dont environ 400 vulnérabilités critiques ou à haut risque.
Anthropic explique surtout que le principal problème n’est déjà plus la découverte des failles, mais la capacité humaine à les vérifier et à les corriger suffisamment vite. Selon plusieurs chercheurs impliqués dans le projet, plus de 99 % des vulnérabilités détectées resteraient encore non patchées. L’un des exemples les plus révélateurs concerne même la découverte par IA d’une vulnérabilité vieille de 27 ans dans OpenBSD.
Jusqu’ici, le principal obstacle résidait dans le coût de la modernisation. Désormais, le véritable problème est devenu le rythme d’exposition. Des vulnérabilités qui auraient nécessité une décennie pour être identifiées peuvent désormais être découvertes en quelques mois seulement. La gouvernance technologique ne peut donc plus réduire la cybersécurité à un simple exercice de conformité. Elle doit désormais l’aborder comme un enjeu de continuité opérationnelle et de résilience organisationnelle.
Car le vrai sujet n’est pas simplement la découverte des vulnérabilités, mais la capacité des entreprises à absorber le rythme des corrections nécessaires.
Ainsi, une équipe IT habituée à gérer quelques correctifs par semaine pourrait demain devoir en déployer plusieurs centaines. Derrière cette phrase se cache probablement l’un des plus grands défis opérationnels des prochaines années, et la plupart des organisations ne sont pas conçues pour évoluer à cette cadence.
Cela implique une transformation beaucoup plus profonde que le simple achat d’outils de cybersécurité supplémentaires. Les entreprises vont devoir fonctionner comme des systèmes adaptatifs capables de détecter, corriger et reconfigurer en permanence leurs propres infrastructures. Autrement dit, les directions générales vont devoir commencer à considérer leurs systèmes d’information comme des infrastructures vivantes.
Le sujet devient encore plus critique avec la généralisation des architectures agentiques, car au moment même où les entreprises tentent de sécuriser leurs infrastructures historiques, elles déploient massivement de nouveaux systèmes autonomes dont les standards de gouvernance restent encore largement immatures.
D’ailleurs, aucune entreprise ne sait réellement combien de modèles ou d’agents sont déjà actifs dans ses infrastructures. Les organisations téléchargent des modèles open source, connectent des agents à des serveurs MCP, ouvrent des accès vers leurs CRM, leurs bases documentaires ou leurs workflows internes, souvent sans architecture de sécurité stabilisée.
Anthropic a également montré que les modèles avancés deviennent capables d’identifier des vulnérabilités logicielles, de manipuler des environnements de développement ou d’exécuter des chaînes d’actions complexes à travers différents outils connectés. Dans plusieurs benchmarks de sécurité publiés ces derniers mois, les chercheurs ont observé que certains modèles amélioraient significativement leurs performances lorsqu’ils disposaient d’accès persistants à des outils, à des terminaux ou à des environnements cloud.
Cette montée en puissance des systèmes agentiques commence également à produire de nouvelles surfaces de risque à très grande échelle. Des chercheurs en sécurité ont récemment identifié une vulnérabilité critique dans le protocole MCP (Model Context Protocol) développé par Anthropic, considéré comme l’un des standards émergents de connexion entre modèles IA et outils externes. Selon OX Security, la faille pourrait potentiellement affecter plus de 150 millions de téléchargements logiciels et jusqu’à 200 000 serveurs exposés.
Dans plusieurs démonstrations, les chercheurs ont réussi à exécuter du code à distance via des chaînes d’attaque mêlant prompt injection, outils agentiques et infrastructures connectées. Ce type d’incident montre que les nouveaux risques liés à l’IA ne concernent plus uniquement les modèles eux-mêmes, mais l’ensemble des architectures d’orchestration qui permettent désormais aux agents d’interagir avec des systèmes critiques.
Le phénomène rappelle fortement les débuts du cloud et du shadow IT au début des années 2010. Sauf qu’ici, les objets déployés ne sont plus de simples logiciels passifs. Ce sont des systèmes capables d’agir, d’exécuter des tâches, de prendre des décisions et parfois d’interagir de manière autonome avec des environnements critiques.
Pour les CEOs, cette situation crée un changement de paradigme important. Pendant longtemps, la performance numérique reposait principalement sur la capacité des entreprises à déployer rapidement de nouveaux outils. Demain, la performance dépendra probablement davantage de leur capacité à gouverner des systèmes autonomes devenus extrêmement complexes.
Cela ouvre une nouvelle bataille industrielle autour des AI gateways, de la gouvernance agentique, de l’observabilité des modèles, des systèmes de supervision temps réel, des architectures de kill switch et des plateformes capables de cartographier les agents et les flux IA déployés dans les organisations.
La cybersécurité devient ainsi beaucoup plus qu’une couche défensive et se transforme progressivement en infrastructure de pilotage de l’entreprise autonome.
Le parallèle historique le plus pertinent n’est probablement pas celui du logiciel, mais celui des infrastructures critiques. À mesure que les entreprises s’appuieront sur des systèmes autonomes capables d’interagir entre eux, la résilience numérique deviendra un sujet comparable à la gestion d’un réseau énergétique, d’une infrastructure logistique ou d’un système industriel complexe.
L’IA ne transforme donc pas seulement les produits ou les métiers. Elle transforme le rythme même de fonctionnement des organisations.
Et dans cette nouvelle économie, les entreprises qui survivront ne seront probablement pas celles qui auront simplement adopté le plus d’outils IA, mais celles capables d’opérer dans un environnement où les vulnérabilités, les correctifs et les réorganisations technologiques deviendront permanents. La question n’est donc plus uniquement celle de l’adoption technologique, mais de la capacité des organisations à absorber un niveau inédit d’instabilité opérationnelle sans ralentir leur exécution.
