L’IA transforme la cybersécurité à une vitesse sans précédent. Du phishing généré par IA jusqu’au shadow AI, en passant par les nouvelles surfaces d’attaque créées par les agents d’IA, les organisations font face à un paysage de menaces en constante évolution.
Dans une infographie intitulée « 5 façons dont l’IA transforme la cybersécurité », ESET résume cinq grandes transformations engendrées par l’IA. Le constat qui en ressort tient en une phrase : les stratégies de sécurité doivent évoluer au même rythme que la technologie. Voici le détail de chacune, et ce qu’elle change concrètement pour les équipes en charge de la sécurité.
Phishing généré par IA : des attaques plus convaincantes, à une échelle sans précédent
Premier bouleversement, et le plus immédiat : le phishing. Selon ESET, l’IA permet de concevoir des attaques plus convaincantes, à une échelle sans précédent. Deux effets se cumulent. D’un côté, la qualité : des messages mieux rédigés et plus crédibles, qui perdent les maladresses autrefois repérées par les utilisateurs vigilants. De l’autre, le volume : ce qui demandait du temps et du savoir-faire peut désormais être produit en masse.
Pour les équipes sécurité, le réflexe « ce message est mal écrit, donc suspect » devient moins fiable. La sensibilisation des collaborateurs, les contrôles techniques sur les e-mails et les procédures de vérification pour les demandes sensibles (virement, changement de coordonnées, accès) prennent une importance accrue.
Agents IA : de nouveaux processus autonomes, de nouvelles surfaces d’attaque
Les agents d’IA s’installent dans les organisations pour automatiser des tâches. L’éditeur de solutions de cybersécurité rappelle que ces nouveaux processus autonomes créent de nouvelles surfaces d’attaque. Un agent n’est pas un simple outil passif : il agit, accède à des systèmes et à des données, et enchaîne des actions sans intervention humaine à chaque étape.
Chaque agent déployé devient ainsi un point d’entrée potentiel. La question n’est plus seulement « qui a accès à quoi ? » pour les utilisateurs, mais aussi pour ces entités logicielles : quels droits leur accorder, comment tracer leurs actions, comment les isoler en cas de comportement anormal. Les organisations qui adoptent les agents sans répondre à ces questions ajoutent des risques sans toujours les mesurer.
Sécurité conventionnelle : des modèles qui n’ont pas été conçus pour l’IA
Troisième transformation : les modèles de sécurité existants n’ont pas été conçus pour l’IA. Les architectures de protection actuelles reposent sur des hypothèses nées avant l’arrivée massive de ces technologies, notamment sur la manière dont les utilisateurs, les applications et les données interagissent.
Ce décalage ne signifie pas qu’il faille tout remplacer, mais qu’il faut réexaminer ce qui est en place. Les contrôles d’accès, la surveillance, la protection des données et la gestion des risques doivent être confrontés aux usages réels de l’IA dans l’entreprise. S’appuyer sur des défenses pensées pour un autre contexte, sans les adapter, laisse des angles morts.
Conversations avec l’IA : des données sensibles exposées involontairement
Les échanges avec les assistants d’IA forment un quatrième point de fragilité. L’infographie souligne que des données sensibles peuvent être exposées involontairement au fil de ces conversations. Le risque n’a rien de spectaculaire : il naît d’un geste ordinaire, comme coller un document, un extrait de code ou des informations clients dans une fenêtre de discussion pour obtenir une réponse rapide.
Ici, la technique seule ne suffit pas. Les entreprises ont intérêt à définir clairement ce qui peut, ou ne peut pas, être partagé avec ces outils, et à former leurs équipes à ces règles. La gouvernance des données devient indissociable de celle des usages de l’IA.
Shadow AI : des outils d’IA sans visibilité pour les équipes informatiques
Dernier risque, le shadow AI. Des collaborateurs utilisent des outils d’IA sans visibilité pour les équipes informatiques. Le phénomène rappelle le « shadow IT », ces applications adoptées hors du cadre officiel, mais avec une dimension supplémentaire : les données de l’entreprise peuvent transiter par des services que personne n’a évalués.
Sans inventaire des outils utilisés, impossible d’apprécier les risques, de contrôler les flux de données ou de faire respecter les politiques de sécurité. Interdire en bloc risque de pousser ces usages encore plus dans l’ombre. Offrir des alternatives validées et expliquer les règles figure parmi les pistes les plus réalistes.
Ce que ces cinq transformations ont en commun
Prises ensemble, ces cinq évolutions montrent que l’IA agit des deux côtés : elle renforce les attaquants avec un phishing plus efficace, et elle élargit la surface à défendre avec les agents, les conversations et les outils non encadrés. Elle remet aussi en question des modèles de sécurité bâtis avant elle.
Pour les DSI et les RSSI, le message d’ESET se traduit en priorités : cartographier les usages réels de l’IA dans l’organisation, encadrer les agents autonomes, réviser les modèles de protection existants, définir des règles claires sur les données partagées avec les assistants et former les collaborateurs. Le rythme de l’IA impose d’avancer sur ces chantiers sans attendre.
