Succès cyber : pourquoi l’IA évite le retour de flamme

La cybersécurité a un problème d’image… et parfois un vrai problème de stratégie : quand tout va bien, on se persuade que tout ira bien. Pourtant, c’est souvent à ce moment-là que le risque remonte. Pas parce que « les hackers deviennent magiquement plus forts », mais parce que les organisations relâchent la pression, déplacent les budgets, et automatisent trop vite des points de contact critiques.

À Black Hat USA 2025, deux idées ont frappé juste. D’abord, ce paradoxe simple : le succès en cybersécurité, c’est quand il ne se passe rien. Ensuite, une remise en cause utile : quand un utilisateur clique sur un lien de phishing, ce n’est pas seulement “la faute de l’utilisateur” — c’est aussi un signal que les barrières en amont n’ont pas fait leur travail.

Dans cette série « Intelligence artificielle dans la cybersécurité », je veux pousser la réflexion un cran plus loin : les victoires d’aujourd’hui peuvent créer les angles morts de demain, et l’IA (bien cadrée) est l’outil le plus pragmatique pour casser ce cycle.

Le paradoxe du “rien à signaler” : la sécurité qui s’auto-sabote

Une cybersécurité efficace réduit la visibilité de sa propre valeur, et c’est exactement ce qui la met en danger. Quand les incidents diminuent, le réflexe classique est : “On a investi, ça marche, on peut optimiser.” Le mot “optimiser” se traduit souvent par réduction de budgets, gel des recrutements SOC, arrêt de certains tests, ou baisse de couverture sur des outils jugés redondants.

Le problème ? Les attaquants, eux, n’optimisent pas à la baisse. Ils s’adaptent.

Le cycle typique : protection → confort → dette → incident

On retrouve une boucle très concrète dans beaucoup d’entreprises :

1. Investissement fort après un incident ou une alerte majeure (ransomware dans le secteur, audit sévère, exigence d’un client).
2. Baisse des incidents visibles (moins d’alertes critiques, moins de compromissions).
3. Confiance excessive : on reporte des chantiers “non urgents” (segmentation, durcissement, MFA partout, revues d’accès).
4. Dette de sécurité qui s’accumule (outils mal réglés, exceptions, comptes orphelins, patching partiel).
5. Retour de flamme : une campagne de phishing, une compromission d’identité, une faille exploitée… et on repart au point 1.

Ce qui rend cette boucle dangereuse en 2025, c’est la vitesse. Les campagnes d’attaque se reconfigurent en quelques heures, et la surface d’attaque (SaaS, identités, API, postes nomades) continue de s’étendre.

“C’est la faute de l’utilisateur” : la mauvaise lecture du phishing

Accuser l’utilisateur est une stratégie de confort. Ça évite de parler de ce qui fâche : la qualité du filtrage, la configuration des protections, la capacité à détecter des comportements anormaux, et la rapidité de réponse.

Oui, la sensibilisation est utile. Mais si votre modèle de défense repose sur “il ne faut pas cliquer”, vous avez déjà perdu :

• Les e-mails malveillants ressemblent à des demandes légitimes (RH, factures, livraison, changement de RIB).
• Les attaques exploitent l’urgence (fin d’année, clôture comptable, primes, congés).
• Les contenus sont personnalisés (spear phishing) et plus crédibles.

Le bon cadrage : “pourquoi ce lien est arrivé jusqu’à l’utilisateur ?”

La question opérationnelle à poser n’est pas morale, elle est technique :

• Pourquoi la passerelle e-mail ne l’a pas bloqué ?
• Pourquoi le DNS / proxy n’a pas stoppé la redirection ?
• Pourquoi le navigateur n’a pas isolé l’exécution ?
• Pourquoi l’identité a pu s’authentifier sans friction anormale ?

C’est là que l’IA devient intéressante : elle permet de raisonner en signaux faibles, pas seulement en signatures.

L’IA en cybersécurité : utile quand elle sert le “proactif”, pas le marketing

L’IA n’est pas là pour remplacer les équipes sécurité. Elle est là pour absorber le volume, repérer les anomalies et accélérer les décisions. La nuance compte, parce qu’en 2025, beaucoup d’organisations confondent “automatiser” et “sécuriser”.

Détection : passer des alertes aux comportements

Les SOC croulent sous les alertes. L’IA aide surtout sur trois axes :

• Regrouper des événements dispersés en un seul scénario (corrélation).
• Prioriser selon le contexte (poste VIP, serveur critique, identité admin, horaire atypique).
• Détecter des comportements anormaux (connexion impossible, exfiltration progressive, usage d’API inhabituel).

Une règle pratique que j’aime bien : si votre SOC traite “plus d’alertes” mais ferme “moins d’incidents”, ce n’est pas une victoire — c’est du bruit.

Prévention de la fraude : l’IA là où le phishing mène vraiment

Dans beaucoup d’entreprises, le phishing n’est pas une fin. C’est un moyen.

• Vol d’identifiants → accès aux outils (messagerie, drive, ERP)
• Accès → fraude au virement, changement d’IBAN, demandes de paiement “urgentes”
• Ou accès → mouvement latéral → ransomware

L’IA est particulièrement efficace quand elle s’appuie sur des données transactionnelles et contextuelles pour repérer des patterns de fraude :

• Changement de bénéficiaire + montant élevé + horaire inhabituel
• Nouveau device + nouvelle localisation + action sensible
• Enchaînement d’actions rare (export massif, création de règles de transfert, ajout d’un OAuth app)

Le point clé : on sécurise le résultat (la transaction, l’accès critique), pas seulement l’entrée (l’e-mail).

Réponse à incident : gagner du temps sans perdre le contrôle

L’IA peut accélérer l’investigation : résumé d’incident, chronologie, extraction d’IoC, suggestion d’actions. Mais il faut un garde-fou :

• Human-in-the-loop pour les actions destructrices (isolement, suppression de comptes, rotation de clés).
• Journalisation stricte des décisions.
• Validation croisée sur les environnements sensibles.

L’objectif n’est pas “tout automatiser”. C’est réduire le temps entre détection et containment, sans créer un nouveau risque opérationnel.

Le piège culturel : quand l’automatisation dégrade la confiance

Une anecdote entendue (et vécue par beaucoup) illustre un risque très actuel : l’IA côté “service” peut abîmer la marque si elle répond faux ou bloque l’accès à un humain.

En cybersécurité, c’est encore plus sensible. Une automatisation mal pensée peut :

• Créer des faux négatifs (on laisse passer des attaques) si le modèle est mal entraîné.
• Créer des faux positifs (on bloque des usages légitimes) et pousser les équipes à contourner.
• Détruire la confiance : “la sécu empêche de travailler”, donc on cache, on évite, on bypass.

Trois règles pour une IA “utile” et acceptée

1. Transparence opérationnelle : expliquer ce qui a été bloqué, pourquoi, et comment contester.
2. Escalade humaine rapide : un canal clair pour débloquer une situation critique.
3. Mesure continue : suivre précision, rappel, taux d’erreur, et coût métier des faux positifs.

La cybersécurité n’est pas qu’une pile d’outils. C’est une relation de confiance entre IT, métiers et direction.

Comment éviter que vos succès d’aujourd’hui créent vos risques de demain

Le meilleur antidote au “retour de flamme” est un pilotage par le risque, pas par l’absence d’incident. Voici ce qui fonctionne bien en pratique, surtout en fin d’année (période propice aux fraudes et aux urgences factices).

Un tableau de bord qui prouve la valeur quand “rien ne se passe”

Si vous voulez éviter la coupe budgétaire “parce que ça va”, mesurez des indicateurs qui bougent même sans crise :

• Couverture MFA / phishing-resistant MFA sur comptes à privilèges
• Taux de patching sous 14/30 jours selon criticité
• Temps moyen de détection (MTTD) et de confinement (MTTC)
• Taux de comptes orphelins, tokens OAuth non utilisés, accès tiers
• % d’actifs réellement inventoriés (shadow IT inclus)

Ces métriques racontent une histoire : vous réduisez la probabilité et l’impact, même sans incident visible.

“IA + hygiène” : le duo qui paie vraiment

L’IA ne compensera pas :

• des droits d’accès trop larges,
• des postes non gérés,
• une segmentation absente,
• une messagerie ouverte,
• des sauvegardes non testées.

En revanche, IA + hygiène produit des résultats concrets : moins d’angles morts, meilleure priorisation, réponse plus rapide.

Mini check-list (actionnable sous 30 jours)

• Mettre en place une détection d’anomalies sur les identités (connexions, MFA fatigue, impossible travel).
• Durcir les flux e-mail : DMARC/DKIM/SPF, blocage des pièces jointes risquées, sandboxing.
• Ajouter une surveillance des règles de transfert et des consentements OAuth.
• Simuler une fraude (changement d’IBAN) et tester le parcours de validation.
• Formaliser une procédure d’escalade “humain en 10 minutes” pour les blocages critiques.

Ce que je retiens de Black Hat 2025 pour 2026 : casser la boucle

La cybersécurité ne doit pas être victime de son propre succès. Quand “il ne se passe rien”, c’est le moment d’investir dans ce qui n’est pas visible : les identités, la réduction de surface d’attaque, la résilience, et l’IA pour capter les signaux faibles.

Dans la série « Intelligence artificielle dans la cybersécurité », c’est un fil rouge : l’IA est particulièrement utile quand elle sert une approche proactive — prévention de la fraude, détection comportementale, réponse accélérée — au lieu d’être un simple vernis d’automatisation.

La question à garder en tête pour 2026 n’est pas “Sommes-nous en sécurité ?”, mais : “Qu’est-ce qui nous prouvera que nous le sommes encore quand l’adversaire changera de tactique la semaine prochaine ?”