Comment faire face aux cyberattaques pilotées par l’IA ?

Par Jérôme Beaufils, président et fondateur de SASETY

Les cyberattaquants confient désormais à l’IA une part croissante de leurs opérations et certaines campagnes atteignent un degré d’automatisation élevé.

Pour faire face aux cyberattaques pilotées par l’IA, les entreprises doivent accélérer leur capacité de détection et de réponse, en s’appuyant sur une analyse contextualisée des comportements et des protections automatisées, ciblées et réversibles.

Dans une opération d’espionnage décrite par Anthropic, un agent IA aurait exécuté 80 à 90 % des opérations tactiques sur une trentaine d’organisations. Des opérateurs humains sont intervenus à des moments clés pour autoriser l’exploitation d’une faille ou choisir les données à exfiltrer, mais l’IA a exécuté l’essentiel de l’attaque.

La différence majeure entre une attaque humaine et une attaque menée par l’IA est la vitesse d’enchaînement des actions, ainsi que la capacité à tester plusieurs voies et à recommencer après un échec. Les techniques, elles, restent familières : reconnaissance, vol d’identifiants, élévation de privilèges, déplacement dans le réseau.

Face à cette menace, comment la protection des organisations doit-elle évoluer pour prévenir ce type d’attaque ?

L'IA défensive : une réponse aux cyberattaques automatisées

Une organisation peut déjà disposer des bons outils de détection mais rester trop lente au moment d’intervenir. Qualification, analyse, validation, déploiement : plusieurs heures peuvent séparer le premier signal d’une protection effective.

Il faut pouvoir rapprocher des événements apparemment anodins, reconnaître une séquence suspecte et appliquer une mesure limitée à l’équipement concerné.

L’IA défensive peut aider à accomplir ce travail, à condition d’encadrer ses décisions : connaître le contexte, proportionner l’action au risque et permettre aux équipes de comprendre ce qui a été fait, de l’annuler et de reprendre la main.

Tout verrouiller davantage ne résout pas le problème. Une protection trop large bloque des usages légitimes, multiplie les demandes d’exception et finit souvent par être assouplie.

Les EDRs restent essentiels sur les postes, mais leur visibilité dépend de leur déploiement et gagne à être complétée par une analyse des flux réseau, notamment pour couvrir les équipements sans agent.

Illustration avec l’Agentic Threat Prevention de Cato Networks

Grâce à son architecture SASE, Cato Networks réunit le réseau et la sécurité sur une même plateforme. Les agents disposent ainsi du contexte nécessaire pour analyser les comportements et appliquer directement les protections sur les flux.

Le module Agentic Threat Prevention exploite cette architecture pour rapprocher l’historique d’activité de l’entreprise des signaux des moteurs de sécurité. Il repère les comportements suspects et applique des protections temporaires destinées à empêcher la progression d’une attaque.

Son activation s’effectue depuis la console d’administration, sans déploiement supplémentaire sur les postes. Le paramétrage permet de choisir, pour chaque catégorie de menaces, le blocage automatique ou l’observation.

Toutes les quatre heures, les agents analysent le trafic et les signaux de sécurité des vingt-quatre dernières heures. Cette analyse définit les protections, qui s’appliquent ensuite en temps réel au trafic.

Un exemple permet d’illustrer ce fonctionnement. Un poste télécharge un script depuis un site de partage de code. Cette action peut être parfaitement légitime. Mais, rapproché d’autres indices, il peut laisser craindre la préparation d’un accès distant malveillant. Une réponse ciblée consiste alors à empêcher le téléchargement de l’outil qui permettrait cet accès, sur ce poste précis.

Autre cas : un serveur exposé sur Internet commence à explorer des ressources internes auxquelles il ne s’intéresse habituellement pas. Restreindre ses accès à certains services sensibles peut empêcher la progression de l’attaque, sans couper les connexions de tout un site.

Ces restrictions sont réévaluées et peuvent être levées lorsque les éléments qui les justifiaient ont disparu. Cela évite de conserver des règles devenues inutiles au fil du temps.

La console d’administration unifiée de Cato permet de suivre les comportements suspects détectés, les contrôles activés et les actions à risque effectivement bloquées, ainsi que le nombre d’équipements concernés. Pour chaque équipement, une chronologie et une synthèse expliquent les détections, les protections appliquées et leur évolution, jusqu’à leur levée.

Déployer et exploiter l'IA défensive en entreprise

La qualité des décisions dépend de ce que l’agent voit. Une plateforme commune au réseau et à la sécurité facilite l’analyse et l’application des contrôles sur les flux. Mais une inspection incomplète ou des exclusions mal maîtrisées réduisent cette capacité.

Chez SASETY, nous accompagnons les entreprises dans la préparation et l’exploitation de ces moyens de défense. Nous vérifions notamment l’activation de l’inspection des flux chiffrés et la pertinence de ses exclusions. Nous définissons ensuite avec le client, pour chaque catégorie de menaces proposée, le mode adapté à ses contraintes métier : blocage automatique ou observation.

Les actions de l’agent sont examinées lors des revues de sécurité. Si nécessaire, les cas particuliers sont analysés pour adapter les protections aux contraintes métier.

Faire de l'IA défensive une réalité opérationnelle

Face à des attaques capables de s’adapter en cours d’exécution, les protections doivent pouvoir évoluer elles aussi. L’IA défensive ouvre cette voie, à condition de s’appuyer sur une bonne connaissance de l’environnement et des décisions que les équipes peuvent comprendre et maîtriser.

Pour les entreprises, l’enjeu est désormais de faire entrer ces capacités dans leur sécurité quotidienne, avec la même exigence de fiabilité que leurs autres moyens de protection.

SASETY accompagne les entreprises dans l’architecture, le déploiement et l’exploitation de leurs infrastructures réseau et cybersécurité : plus de 80 clients dans 35 pays et plus de 70 000 utilisateurs protégés.