APT 2025 : l’IA pour détecter et contrer l’invisible

En 2025, les attaques APT ne « cassent » pas toujours vos systèmes. Elles s’y installent, s’y enracinent et attendent. Le plus dur n’est pas de bloquer un malware bruyant, mais de repérer une opération patiente, menée par des groupes structurés, souvent liés à des intérêts étatiques, qui visent l’espionnage, la déstabilisation ou la pression économique.

Entre avril et septembre 2025, les observations regroupées dans un rapport d’activité APT ont mis en évidence un point qui devrait faire réagir n’importe quelle équipe sécurité : certains groupes n’hésitent plus à déployer des wipers (effaceurs destructifs) pour attaquer directement des secteurs stratégiques. L’exemple le plus parlant concerne l’usage de wipers contre le secteur céréalier ukrainien, une attaque qui ressemble davantage à une stratégie d’affaiblissement économique qu’à une simple opération cyber.

Ce billet s’inscrit dans notre série « Intelligence artificielle dans la cybersécurité » : on part du réel (les APT observées en 2025), et on en tire une conséquence pratique. La conséquence, je la formule sans détour : les méthodes “classiques” suffisent rarement contre des APT modernes, et l’IA est devenue un accélérateur indispensable pour la détection, l’attribution et la réponse.

Ce que les APT 2025 racontent (et pourquoi ça vous concerne)

Les APT ne sont pas un problème “réservé aux États” : elles ciblent aussi des entreprises privées, des sous-traitants, des cabinets de conseil, des éditeurs, des opérateurs logistiques. Pourquoi ? Parce qu’une organisation privée est souvent un point d’entrée vers une cible plus “haute”, ou un moyen discret d’obtenir des données.

Entre Q2 2025 et Q3 2025, plusieurs tendances ressortent lorsqu’on observe les opérations APT de manière structurée (qui attaque, où, comment) :

• Objectifs multiples : renseignement, perturbation d’infrastructures, et parfois monétisation.
• Ciblage sectoriel : administrations, entreprises, chaîne d’approvisionnement, secteurs critiques.
• Actions destructives : l’usage de wipers rappelle que l’enjeu n’est pas seulement la fuite de données, mais aussi l’arrêt de production, la perte de disponibilité, la perte de confiance.

Phrase à retenir : une APT n’est pas une “attaque”, c’est une campagne. Et une campagne se détecte par des signaux faibles répétés, pas par un seul événement.

Le problème, c’est que ces signaux faibles se noient dans les logs, les alertes, les tickets, les faux positifs. C’est précisément là que l’IA devient intéressante.

Pourquoi la détection traditionnelle échoue souvent contre les APT

La détection “traditionnelle” (au sens : règles statiques, signatures, corrélation simple, SOC sous tension) a deux limites face aux APT.

1) Les APT optimisent la discrétion, pas la vitesse

Beaucoup d’organisations ont bâti leur cybersécurité autour d’un modèle mental “ransomware” : intrusion rapide, chiffrement, crise immédiate. Une APT peut faire l’inverse : progression lente, privilèges obtenus par étapes, mouvements latéraux minimalistes, et exfiltration en petites quantités.

Résultat : vous pouvez avoir des outils “à jour” et rater l’essentiel.

2) Les IoC ne suffisent plus

Les Indicators of Compromise (hash, IP, domaine) restent utiles… mais une APT sérieuse sait les renouveler. Le vrai nerf de la guerre, ce sont les IoA (Indicators of Attack) : comportements, enchaînements d’actions, anomalies d’usage.

Or les IoA demandent :

• des données (endpoint, identité, réseau, cloud, messagerie),
• du contexte (ce qui est normal vs suspect),
• et du temps analyste.

La plupart des SOC n’ont pas ce temps.

Comment l’IA aide sur le “qui, où, comment” des APT

L’IA n’est pas un bouton magique. Bien utilisée, c’est un moteur d’analyse qui fait gagner du temps là où les humains s’épuisent : tri, corrélation, priorisation, détection d’anomalies, et aide à l’investigation.

“Qui” : attribution assistée par IA (sans la vendre comme une certitude)

Attribuer une attaque à un groupe APT est un exercice délicat. On n’obtient pas une preuve judiciaire par simple classification. En revanche, l’IA permet d’augmenter la qualité et la vitesse d’un raisonnement d’attribution en travaillant sur :

• la réutilisation de TTP (tactiques, techniques et procédures),
• la proximité d’outillage (charge utile, loaders, scripts, chaînes d’exécution),
• des similarités d’infrastructure (patrons d’hébergement, certificats, temporalités),
• la cohérence géopolitique du ciblage.

Concrètement, un modèle (ou un ensemble de modèles) peut proposer des hypothèses d’appartenance (“ça ressemble à X”), que les analystes valident ou invalident.

Ce qui change le quotidien : l’attribution devient un flux de travail, pas un “grand moment” réservé aux experts.

“Où” : cartographier les cibles et la surface d’attaque en continu

Le “où” ne se limite pas au pays ciblé. Dans une entreprise, le “où” c’est : quels tenants cloud, quels environnements, quelles filiales, quels prestataires, quelles identités.

L’IA aide à :

• détecter les anomalies de localisation (impossible travel, connexions atypiques),
• repérer les zones où les contrôles sont faibles (comptes de service, API, intégrations),
• établir une cartographie vivante des actifs réellement exposés.

Cette cartographie est cruciale quand on voit des attaques visant des secteurs comme l’agriculture et la logistique : la cible réelle peut être un ERP, une messagerie, un VPN, un prestataire de maintenance, ou un outil OT/IT mal segmenté.

“Comment” : détecter des chaînes d’attaque, pas des alertes isolées

La valeur de l’IA est maximale quand elle recompose une séquence : au lieu de 40 alertes “moyennes”, vous voyez une histoire cohérente.

Exemples de chaînes typiques à surveiller (et où l’IA fait gagner du temps) :

1. Connexion initiale suspecte sur une identité →
2. Création/modification de règles de messagerie →
3. Accès à des partages internes atypiques →
4. Exécution d’outils d’administration détournés (living off the land) →
5. Mouvement latéral discret →
6. Exfiltration faible mais persistante.

Pour les wipers, l’IA peut aussi aider à repérer les précurseurs destructifs : accès massif à des volumes, tentatives de désactivation EDR, changements de politiques, exécution simultanée sur plusieurs hôtes.

Trois enseignements concrets pour votre défense (et comment les opérationnaliser)

Voici ce que je recommande aux équipes sécurité qui veulent tirer des leçons directes des APT observées en 2025, sans tomber dans un projet IA interminable.

1) Passer d’une logique “malware” à une logique “campagne”

Action concrète : définissez 5 à 10 scénarios APT prioritaires (identité, cloud, messagerie, admin tools, exfiltration), puis entraînez votre détection sur des séquences.

• Travaillez avec un référentiel de TTP (type MITRE ATT&CK),
• mais traduisez-le en playbooks “chez vous” : vos logs, vos outils, vos chemins.

L’IA est utile ici pour corréler et prioriser, mais elle ne remplace pas ce cadrage.

2) Mettre l’identité au centre (là où les APT gagnent souvent)

Action concrète : si vous devez investir dans un seul axe en 2026, investissez dans la sécurité des identités et la détection d’anomalies.

• MFA résistant au phishing (quand c’est possible),
• durcissement des comptes à privilèges,
• surveillance des consentements OAuth,
• analyse comportementale des connexions.

Une APT qui vole des identifiants a un avantage énorme : elle devient “légitime”. L’IA permet de détecter ce décalage entre légitimité technique et illégitimité comportementale.

3) Se préparer au destructif (wipers) comme à un risque métier

Action concrète : traitez les wipers comme un scénario de continuité d’activité, pas comme un incident IT.

• sauvegardes testées (restauration réelle, pas “sur le papier”),
• segmentation forte,
• listes d’admin minimales,
• capacité à isoler vite (réseau, EDR, comptes),
• exercices de crise incluant la perte de disponibilité.

Le message sous-jacent des attaques destructives : l’attaquant n’a pas besoin de rançon pour vous coûter cher.

Questions fréquentes (réponses directes)

L’IA suffit-elle pour arrêter une APT ?

Non. L’IA accélère la détection et l’investigation, mais elle dépend de la qualité des données, de l’hygiène IAM, et de la capacité de réponse.

Faut-il un SOC “full IA” pour en profiter ?

Non. Le meilleur point d’entrée, c’est un usage simple : réduction du bruit + corrélation + priorisation. Si votre équipe gagne 30 minutes par incident, l’impact annuel est énorme.

Quel est le risque principal en 2026 ?

À mon avis : la combinaison APT + accès cloud + identité compromise, avec des actions de sabotage plus fréquentes. La destructivité n’est plus une exception.

Ce que je ferais dès janvier : un plan en 30 jours

Si vous voulez avancer vite (sans “grand soir” de la cybersécurité), voilà un plan pragmatique :

1. Semaine 1 : inventaire des sources de logs réellement exploitables (endpoint, identité, cloud, mail, réseau) et suppression des angles morts évidents.
2. Semaine 2 : sélection de 5 scénarios APT et définition des signaux attendus (IoA), avec seuils et critères de criticité.
3. Semaine 3 : mise en place d’une corrélation orientée “chaînes d’attaque” (ou amélioration des règles existantes) + tableau de bord de priorisation.
4. Semaine 4 : exercice de réponse sur un scénario destructif (wiper) et un scénario d’exfiltration lente, avec retour d’expérience documenté.

Ce plan prépare le terrain pour une IA utile : une IA branchée sur des données incohérentes produit des alertes incohérentes.

La vraie promesse de l’IA face aux APT : gagner du temps, gagner en lucidité

Les APT observées entre Q2 et Q3 2025 rappellent une réalité inconfortable : des acteurs patients peuvent viser des secteurs civils et économiques, et passer du renseignement à la destruction. L’attaque contre un secteur comme les céréales illustre à quel point le cyber peut devenir un outil de pression “hors écran”.

L’IA, dans ce contexte, n’est pas un gadget. C’est une façon réaliste de voir plus tôt les signaux faibles, de relier ce qui semblait isolé, et de répondre avant que l’adversaire ne décide d’accélérer.

Si votre organisation devait choisir une seule évolution en 2026, je parierais sur celle-ci : faire de l’IA un copilote du renseignement sur la menace et de la détection APT, tout en renforçant l’identité et la résilience.

Et vous, votre équipe est-elle structurée pour détecter une campagne silencieuse… ou uniquement pour gérer des crises bruyantes ?