Lorsque l’IA commence à découvrir automatiquement des vulnérabilités : après Mythos, la cybersécurité entre dans l’ère de la « coévolution offensive et défensive »

Quand l’IA commence à découvrir automatiquement des vulnérabilités : après Mythos, la cybersécurité entre dans l’ère de la « co-évolution attaque-défense »

Au cours des dix dernières années, la logique centrale de la sécurité des entreprises consistait à bâtir des défenses autour des « menaces connues » : de meilleurs journaux, des réponses plus rapides, une gestion des vulnérabilités plus complète, un contrôle des accès plus strict. Mais à mesure que l’IA de pointe commence à entrer dans la découverte de vulnérabilités, l’analyse de code et l’évaluation de la sécurité, cette logique s’effrite. Le changement auquel l’industrie de la sécurité est confrontée ne tient pas simplement à l’ajout d’un nouvel outil : c’est la structure même de la vitesse de génération des menaces, de l’extraction des vulnérabilités et de la vérification défensive qui est en train d’être réécrite.

Selon un rapport de CSO Online, lors de la conférence Infosecurity Europe à Londres, des experts du secteur ont averti les équipes de sécurité des entreprises qu’elles devaient se préparer au prochain choc provoqué par les modèles d’IA de pointe. Anthropic élargit son programme Project Glasswing afin de fournir à davantage d’organisations sélectionnées un accès à Claude Mythos ; parallèlement, OpenAI aurait également proposé ses outils de cybersécurité à plusieurs grandes banques britanniques. À première vue, ces mouvements ressemblent à une expansion des pilotes d’entreprise par les fournisseurs, mais d’un point de vue industriel, ils signalent un changement plus profond : l’IA passe de « l’aide à la sécurité humaine » à la phase de « refonte de la sécurité elle-même ».

La découverte des vulnérabilités est en train d’être modélisée

L’industrie de la sécurité a longtemps dépendu de l’expérience des spécialistes, des chaînes d’outils et du jugement manuel. Qu’il s’agisse de tests d’intrusion ou de priorisation des vulnérabilités, tout repose en substance sur un investissement humain intense. L’arrivée des modèles d’IA de pointe modifie chacun des maillons de cette chaîne.

Mythos d’Anthropic est perçu par le secteur comme un signal structurel : il pourrait non seulement aider à découvrir des vulnérabilités, mais aussi, grâce à une meilleure compréhension du code, de capacités d’analyse comportementale plus fortes et à un degré d’automatisation plus élevé, identifier des chemins de risque que les tests traditionnels laissent souvent de côté. Le rapport mentionne que Mythos pourrait même être plus à même d’« enchaîner » plusieurs vulnérabilités de gravité moyenne pour en faire un risque à fort impact. C’est un point crucial, car les attaques réelles ne reposent pas sur une seule faille fatale, mais sur l’addition de plusieurs problèmes apparemment mineurs.

Cela signifie que les équipes de sécurité ne font plus face à un CVE isolé ou à un correctif ponctuel, mais à une menace dynamique de « combinaison de vulnérabilités ». Les systèmes traditionnels de notation des vulnérabilités commencent ici à paraître lourds : la gravité d’une vulnérabilité prise isolément peut être faible, mais dans une chaîne d’attaque, sa valeur peut être amplifiée par le modèle. En d’autres termes, l’IA n’accélère pas seulement la découverte ; elle modifie aussi l’économie même des vulnérabilités.

Du côté défensif, l’avantage vient de plus en plus de la « confrontation à grande échelle »Du point de vue de la défense, l’IA de pointe n’est pas seulement une source de risque ; elle peut aussi être un outil de transfert des coûts. Lors de la conférence, un responsable du National Cyber Security Centre (NCSC) du Royaume-Uni a indiqué que les organisations peuvent utiliser l’IA pour mieux coder, repérer des vulnérabilités et faire peser davantage de coûts sur les attaquants. Le sens derrière cette formulation est très concret : si les attaquants peuvent s’appuyer sur l’IA pour inventorier plus vite les actifs, trouver des faiblesses et générer des chaînes d’attaque, alors les défenseurs doivent eux aussi recourir à une automatisation de même ampleur pour vérifier, classer, corriger et retester.

Cela fait passer la sécurité des entreprises d’une réponse « à forte intensité humaine » à une confrontation continue assistée par des machines. Les équipes de sécurité ne sont plus seulement des unités d’intervention après incident ; elles doivent agir comme des équipes d’ingénierie, en assurant en continu la vérification, les tests de régression et la priorisation des risques. La mention, dans le reportage, du durcissement des contrôles d’accès et des exercices de réponse aux incidents montre aussi que les fondements de la sécurité restent importants, mais leur signification a changé : ils ne sont plus des éléments de conformité sur une liste de bonnes pratiques, mais les conditions minimales de survie à l’ère de l’IA.

Pourquoi le « son of Mythos » mérite d’être surveillé de près

Le CTO de Cobalt, Gunter Ollmann, a utilisé l’expression « son of Mythos » pour décrire la nouvelle génération potentielle d’outils de sécurité IA de pointe. Cette formule n’est pas une simple emphase rhétorique, mais un jugement sur le rythme d’évolution du secteur : lorsqu’une première génération d’outils vient tout juste d’être ouverte de manière restrictive, la suivante est souvent déjà en préparation, et elle sera plus abordable, plus facile à utiliser et plus répandue.

Cela a deux niveaux d’impact sur le secteur de la sécurité.

Premièrement, la diffusion des capacités. Les modèles de sécurité de pointe auxquels il faut aujourd’hui des validations strictes, des listes blanches et des partenariats pour accéder pourraient demain se diffuser plus largement vers davantage d’entreprises, d’équipes d’externalisation, voire vers un écosystème d’attaquants plus vaste.

Deuxièmement, l’accélération du rythme. Le cycle d’itération des produits de sécurité est déjà plus lent que celui des attaquants ; or, lorsque les modèles eux-mêmes commencent à modifier la vitesse de découverte des vulnérabilités, les processus de patch, d’audit et de retest des entreprises devront s’accélérer. Ce qui est réellement inquiétant ici n’est pas un modèle isolé, mais la formation d’une « compétition continue pilotée par les modèles » : toute organisation qui n’entre pas dans cette courbe prendra rapidement du retard en matière de capacités.

La modélisation traditionnelle des menaces perd de sa certitude

Les points de vue de la Cloud Security Alliance révèlent également un changement plus profond : lorsque plusieurs vulnérabilités peuvent être automatiquement chaînées, la carte relativement stable des « faiblesses connues » sur laquelle repose la modélisation traditionnelle des menaces commence à perdre de sa certitude. Auparavant, les entreprises pouvaient supposer avoir identifié la majeure partie des risques clés et organiser leur défense autour d’eux ; mais dans un environnement de découverte de vulnérabilités assistée par l’IA, cette hypothèse devient de plus en plus fragile.Ce n’est pas que les systèmes de notation des vulnérabilités deviennent totalement obsolètes, mais leur place centrale diminue. Les entreprises doivent passer de la « gestion des vulnérabilités » à la « gestion des chemins d’attaque », et de « l’application de correctifs » au « contrôle de l’exploitabilité ». Cela explique aussi pourquoi de plus en plus de discussions sur la sécurité mettent l’accent sur le contrôle des identités, le principe du moindre privilège, les périmètres d’accès et les exercices de réponse, et pas seulement sur les résultats des scans.

Le secteur de la sécurité passe d’un marché d’outils à un marché de modèles

Si l’on replace cet événement dans le tableau plus large de l’industrie technologique, on constate que le secteur de la sécurité est en train de vivre une phase de plateformisation. Par le passé, le marché de la sécurité était composé d’une multitude d’outils verticaux : scanners, WAF, EDR, SIEM, ASM, services de tests d’intrusion, chacun résolvant une étape précise. Mais l’émergence de modèles d’IA de pointe commence à concentrer ces capacités vers une couche de modèles génériques.

Cela entraîne deux conséquences.

Premièrement, les capacités de sécurité peuvent être « fondamentalement modélisées ». Des modèles comme Claude ou GPT ne remplaceront pas nécessairement les produits de sécurité spécialisés, mais ils absorberont une partie des tâches d’analyse fréquentes, standardisées et réutilisables.

Deuxièmement, les start-up de la sécurité doivent redéfinir leur différenciation. À l’avenir, la concurrence ne portera pas seulement sur « qui dispose de la base de vulnérabilités la plus complète », mais sur « qui peut relier les capacités du modèle à l’environnement de l’entreprise, aux contraintes de conformité, aux processus de réponse aux incidents et à des scénarios de validation réels ». En d’autres termes, sans boucle de données ni intégration dans les flux de travail, les start-up seront facilement écrasées par les plateformes de modèles.

Pour les entreprises, ce n’est pas une question d’essai, mais de gouvernance

Beaucoup d’entreprises considèrent les outils de sécurité IA de pointe comme un pilote facultatif : les faire tester par l’équipe red team, laisser l’équipe sécurité les exécuter d’abord, observer les résultats dans un environnement limité. Mais cette approche sous-estime la profondeur du changement. L’entrée de l’IA dans la découverte des vulnérabilités et les opérations de sécurité signifie que les entreprises doivent repenser leur cadre de gouvernance : qui peut accéder au modèle, comment les données sont isolées, comment les résultats générés sont vérifiés, qui est responsable des faux positifs et des faux négatifs, et si les recommandations du modèle peuvent entrer directement dans le processus de correction en production.

Ces questions dépassent en réalité le cadre de l’achat d’outils et entrent dans celui de la gouvernance technologique et de la répartition des responsabilités. En particulier dans la finance, les infrastructures critiques et les grands environnements cloud, dès lors que les sorties du modèle entrent dans la chaîne de décision de sécurité, de nouvelles exigences de conformité et d’audit apparaissent.

Tendance plus large : l’IA transforme la « sécurité » en course à l’infrastructure

Du point de vue de la compétition technologique mondiale, la diffusion de ces modèles de sécurité de pointe n’est pas seulement une mise à niveau des logiciels d’entreprise, mais une course conjointe autour du calcul, des modèles, des données et des processus de sécurité. Celui qui saura intégrer plus tôt l’IA dans la découverte des vulnérabilités, la revue de code, la gestion des identités et l’automatisation de la réponse sera plus susceptible d’occuper un avantage sur la courbe future des coûts de sécurité.

En parallèle, les capacités de sécurité IA auront aussi un effet de retour sur les marchés du cloud computing, des puces et des logiciels d’entreprise. Des modèles plus complexes impliquent davantage de besoins en inférence, des coûts de calcul plus élevés et un ancrage plus fort dans l’infrastructure ; et une fois ces capacités devenues la norme de la sécurité d’entreprise, les fournisseurs de modèles ne seront plus de simples acteurs de la couche applicative, mais s’intégreront plus profondément au cœur de la pile technologique des entreprises.C’est aussi pourquoi l’expression « son of Mythos » est symbolique : elle ne désigne pas un produit particulier, mais l’aube d’un nouvel ordre. Dans cet ordre, l’attaque et la défense ne sont plus un affrontement entre l’être humain et l’outil, mais une compétition continue pilotée par les modèles. Pour les entreprises, la question n’est plus de savoir s’il faut ou non utiliser l’IA, mais comment faire évoluer son dispositif de défense à la même vitesse avant l’arrivée d’attaquants armés par l’IA.

Conclusion

L’IA de pointe est en train de faire passer la cybersécurité d’un secteur centré sur l’expérience et les règles à un secteur centré sur les modèles, la puissance de calcul et la validation continue. Les initiatives d’Anthropic et d’OpenAI ne sont qu’un début. Ce qui mérite vraiment l’attention, ce n’est pas de savoir si tel modèle est plus puissant, mais de savoir si les hypothèses de base de l’industrie de la sécurité sont encore valables.

Si la découverte des vulnérabilités, la construction de chaînes d’attaque et la validation de sécurité commencent toutes à être accélérées par l’IA, alors les entreprises, les régulateurs et les prestataires de services de sécurité n’auront plus affaire à « davantage de menaces », mais à une « réalité plus rapide ». Dans un tel environnement, ce ne sont pas les outils qui prennent du retard, mais la compréhension qu’ont les organisations de la vitesse.

Description SEO L’IA de pointe s’invite désormais dans les étapes clés de la découverte des vulnérabilités et des opérations de sécurité. Cet article analyse Mythos d’Anthropic, les outils Cyber d’OpenAI, l’automatisation des chaînes d’attaque, la modernisation des défenses d’entreprise et la reconfiguration de l’industrie de la cybersécurité, en examinant comment l’IA transforme la gestion des vulnérabilités, les tests red team, la gouvernance de conformité et la compétition technologique mondiale.

URL source d’information https://www.csoonline.com/article/4180920/beware-the-son-of-mythos-security-experts-warn.html