Accélération de la découverte de vulnérabilités par l'IA : les responsables de la sécurité doivent de toute urgence restructurer le paradigme de gestion des vulnérabilités.

L'accélération de la découverte de vulnérabilités par l'IA : les responsables sécurité doivent repenser la gestion des vulnérabilités

Depuis longtemps, les équipes de sécurité des entreprises suivent un rythme quasi immuable : les chercheurs découvrent une vulnérabilité, la signalent, un identifiant CVE est attribué, l'éditeur publie un correctif, l'entreprise le teste et le déploie – le tout prend souvent plusieurs semaines. Cependant, l'explosion des technologies de découverte de vulnérabilités assistée par l'IA est en train de briser complètement ce schéma, obligeant les responsables de la sécurité des systèmes d'information (CISO) à repenser la logique fondamentale de la gestion des vulnérabilités.

L'effondrement du modèle traditionnel de gestion des correctifs

Les outils d'IA, en particulier les systèmes d'IA générative de pointe, sont capables de découvrir, valider et exploiter des vulnérabilités à une vitesse bien supérieure à celle des humains. Le Centre national britannique de cybersécurité (NCSC) a déjà averti que cette capacité entraînera une explosion du nombre de correctifs. Mais le problème est que la plupart des entreprises sont déjà submergées par la correction des vulnérabilités existantes. Andrew Woodford, directeur technologique de Titania, souligne que l'augmentation des découvertes de vulnérabilités pilotée par l'IA ne fait qu'exposer un problème déjà bien connu : « Le fossé entre le moment où l'équipe trouve un problème et celui où elle le corrige va encore se creuser. »

Shane Fry, directeur technologique de RunSafe Security, est encore plus direct : en tant que stratégie de sécurité, les correctifs sont en crise depuis des années, et l'accélération de la découverte des vulnérabilités par l'IA ne fait que les pousser au bord du précipice.

Vers une défense en temps réel pilotée par le risque

Face à ce bouleversement, les experts en sécurité s'accordent à dire que les entreprises doivent passer d'une gestion cyclique des correctifs à une défense continue basée sur les risques. Muhammad Yahya Patel, vCISO chez Huntress, insiste sur le fait que les organisations doivent lier leurs programmes de gestion des vulnérabilités aux informations en temps réel sur l'exploitation, plutôt que de se fier à des cycles de correctifs fixes – qui laissent souvent des fenêtres d'exposition de plusieurs jours, voire plusieurs semaines.

La notion de « correction immédiate » devient un concept en vogue. Son idée centrale : dès qu'une information d'exploitation est disponible, déployer immédiatement une correction, sans attendre la fenêtre de maintenance planifiée. Mais la réalisation de cet objectif se heurte à des défis concrets : les entreprises ont besoin d'une visibilité constante sur leurs actifs, en connaissant précisément l'emplacement, l'état et le niveau d'exposition de chaque appareil. Rik Ferguson, vice-président du renseignement de sécurité chez Forescout, souligne : « Vous ne pouvez pas corriger instantanément un appareil que vous ne connaissez pas sur votre réseau. »

Limites et risques des correctifs virtuels

Lorsque l'éditeur n'a pas encore publié de correctif, le correctif virtuel est considéré comme une mesure d'atténuation : intercepter les tentatives d'exploitation au niveau de la couche de sécurité, sans corriger le code sous-jacent. Gunter Ollmann, directeur technologique de Cobalt, estime que les entreprises ont un besoin urgent d'analyser rapidement les nouvelles vulnérabilités et de créer dynamiquement des règles de blocage. Cependant, les correctifs virtuels présentent également des défauts évidents : ils nécessitent des signatures de détection précises et ne corrigent pas la cause profonde. Ferguson avertit que les correctifs virtuels créent facilement un faux sentiment de sécurité, incitant les équipes à repousser indéfiniment la correction réelle, transformant une mesure temporaire en solution permanente.

Le nouveau cadre « Postulat d'autonomie »### Nouveau cadre « Hypothèse d’autonomie »

Un changement de mentalité plus fondamental réside dans la refonte de l’architecture de sécurité. Ferguson propose le cadre « Hypothèse d’autonomie » (Assume Autonomy) : par défaut, l’attaquant possède déjà un certain niveau d’accès, l’accent étant mis sur le déploiement de contrôles compensatoires entre la détection et la correction pour limiter la capacité d’action de l’attaquant. Cela signifie que les équipes de sécurité doivent se concentrer sur l’élimination de la possibilité d’exploitation de catégories entières de vulnérabilités, plutôt que de les corriger une par une. Fry, de RunSafe, préconise également une approche « priorité à l’atténuation », qui empêche l’exploitation des vulnérabilités à la source, réduisant ainsi la pression liée aux lacunes de correctifs.

Visibilité des actifs et priorisation des risques

Quelle que soit la stratégie adoptée, la visibilité des actifs est fondamentale. Douglas McKee, directeur du renseignement sur les vulnérabilités chez Rapid7, souligne que les équipes de sécurité doivent distinguer « les vulnérabilités connues » des « vulnérabilités réellement exploitables et ayant un impact sur l’environnement ». Cela nécessite de combiner inventaire des actifs, cartographie de l’exposition sur Internet, suivi des vulnérabilités connues exploitées (KEV), veille sur les vulnérabilités et chemins de modification d’urgence. La priorisation doit reposer sur des facteurs de risque : exposition publique, exploitation connue, potentiel d’automatisation et impact technique.

Conclusion

L’IA transforme la rapidité et l’ampleur de la découverte des vulnérabilités, et les systèmes de défense des entreprises doivent évoluer en parallèle. La gestion des correctifs n’est plus une tâche cyclique isolée, mais s’intègre dans une surveillance continue, une réponse immédiate et une résilience architecturale. Pour les RSSI, le véritable défi n’est pas d’appliquer les correctifs plus rapidement, mais de redéfinir la logique sous‑jacente de la stratégie de sécurité : passer d’une correction réactive à une suppression proactive, et d’un cycle de correctifs à une fenêtre de risque. Les organisations qui ne parviendront pas à s’adapter à ce changement seront les premières à subir les conséquences graves de l’accélération des attaques par l’IA.