Les nouveaux ABC de la cybersécurité : identité, visibilité et confinement

Quand Keren Elazari a accepté de me rejoindre sur le podcast The Segment , la première chose qu’elle a faite a été de fouiller dans son placard. Elle cherchait un t-shirt portant une phrase qu’elle a livrée depuis des plateaux du monde entier : les hackers ne s’introduisent pas, nous nous connectons.

Au cours de notre discussion, elle a soutenu la ligne avec des données.  

Année après année, a-t-elle déclaré, le Verizon Data Breach Investigations Report (DBIR) racontait la même histoire : des identifiants volés et des mots de passe recyclés restaient à la porte d’entrée. Bien que l’exploitation des vulnérabilités ait désormais dépassé l’abus de crédences comme principal vecteur d’accès initial, l’abus de ces identifiants apparaît encore dans 39 % des violations si l’on considère la chaîne d’attaque dans son ensemble. Cela en fait la technique la plus répandue dans les données. (Les attaquants associent souvent les deux.) Ils ouvrent un système non patché, puis vont directement chercher des identifiants.

Le patching, quant à lui, est en train de reculer. Seulement 26 % des vulnérabilités exploitées connues ont été corrigées l’année dernière, contre 38 % l’année précédente. Et le temps médian pour le patch est passé de 32 à 43 jours.

C’est l’écart entre la conversation que nous avons sur l’IA en cybersécurité et ce que les attaquants font réellement à nos environnements. L’IA n’a pas inventé une nouvelle classe d’intrusion, mais elle a compressé le calendrier pour exploiter des faiblesses que nous connaissions déjà.  

L’argument de Keren est que l’industrie doit bien maîtriser les bases de la sécurité avant de pouvoir tirer une réelle valeur de l’IA de sécurité. Sa version de ces fondamentaux : identité, visibilité et confinement. Chacune comble un fossé que l’IA élargit actuellement.

Les attaquants ne s’introduisent pas. Ils se connectent.

Demandez à Keren comment elle s’infiltre dans une organisation lors d’un engagement en équipe rouge, et elle vous dira ce qu’elle ne fera pas : elle ne perdra pas de temps et de budget à construire une exploitation personnalisée à partir de zéro.

La reconnaissance occupe la majeure partie du planning, et ce qu’elle cherche, c’est l’accès. Les diplômes d’un employé légitime sont la meilleure trouvaille, car cet accès se fait discrètement.  

Ce n’est qu’une fois les chemins à faible effort épuisés qu’elle envisage d’attaquer un système en contact avec le public, car c’est l’option bruyante et la plus susceptible de se faire prendre.

Les vrais groupes criminels suivent la même économie de brèche . Keren a parcouru les campagnes ShinyHunters, faisant partie de l’écosystème lâche que le FBI appelle « The Com ». Leur stratégie a commencé par appeler le support d’assistance d’une organisation en se faisant passer pour un employé avec un accès privilégié, puis en convainquant le bureau de réinitialiser les identifiants de l’employé.  

Plus récemment, ils ont inversé la situation, se faisant passer pour le support technique lui-même, déclenchant des invites de connexion unique et des réinitialisations de mot de passe, et collectant les identifiants qui reviennent. Lorsque ces groupes ont effectivement recouru à l’IA, Keren a expliqué qu’ils l’utilisaient surtout pour la génération de voix deepfake afin d’affiner leur ingénierie sociale.

Le point qui devrait rester aux yeux des responsables de la sécurité est que les criminels font preuve d’une créativité implacable avec ce qu’ils possèdent déjà. Ils reposent sur d’énormes bases de données de noms d’utilisateur et de mots de passe. L’authentification multifacteur n’est toujours pas entièrement déployée dans de nombreuses organisations, et beaucoup de déploiements existants reposent sur des méthodes d’authentification que Keren considère bien au-delà de leur date d’expiration.  

Pourquoi l’IA accélère plus les attaquants que les défenseurs

Keren a décrit l’IA comme une machine à voyager dans le temps pour les attaquants. La reconnaissance, l’outillage et la planification de campagne, qui prenaient auparavant des semaines ou des mois, peuvent désormais se faire en jours ou heures.  

Les défenseurs devraient bénéficier d’un bonus comparable, et jusqu’à présent, ce n’est pas le cas.

La raison se résume à ce contre quoi un modèle d’IA peut comparer son propre travail. Lorsqu’un grand modèle de langage (LLM) recherche une vulnérabilité, il dispose d’un test clair de réussite. Il peut essayer d’exploiter la faille et voir si la tentative fonctionne. Ce signal de réussite-échec est ce qui rend la compétence entraînable, et elle s’aiguise à chaque itération.  

Le patching n’offre aucun tel signal. Un correctif doit survivre à la production, dans la variante de l’environnement dans lequel il atterrit, sans casser l’application qu’il est censé protéger. Aucune vérification automatique rapide ne peut confirmer tout cela.  

Les modèles deviennent toujours meilleurs pour trouver les défauts. La rédaction et l’expédition sécurisée de la réparation restent un travail lent, prudent et supervisé par des humains.

C’est la première dure vérité de la conversation. La découverte s’accélère, la remédiation non, et l’écart entre eux s’élargit de lui-même. Comme l’a dit Keren, on ne peut pas « saupoudrer un peu de poudre LLM dessus » et appeler cela une stratégie.

L’IA n’a pas créé deux décennies de dette technique construite à partir de mots de passe, de systèmes non patchés, d’étalement identitaire et de réseaux plats. Il a juste avancé la date d’échéance.

Les attaques les plus avancées qu’elle ait vues le confirment. Elle a cité la campagne d’États-nations Anthropic documentée fin 2025 sous le nom de GTG 1002, dans laquelle l’attaquant a utilisé des agents IA pour orchestrer une intrusion de bout en bout. Cette orchestration a été un vrai progrès. Pourtant, Keren soupçonne que l’accès initial lui-même semblait tout à fait ordinaire : probablement des identifiants volés ou un vide oublié dans l’environnement que des fondamentaux solides auraient pu combler.

Pourquoi une évaluation de la sécurité réseau devrait commencer de l’extérieur

La deuxième dure vérité de Keren est que les attaquants comprennent souvent mieux un environnement cible que les personnes qui le défendent.

Elle ne pense pas que ce soit un problème de compétence. Les équipes de sécurité défendent une entreprise en cours, pas un laboratoire. Une entreprise en activité gère la paie, intègre des fournisseurs, met en place des charges de travail cloud et connecte des API. Chacune de ces activités nécessaires crée une surface d’attaque.

L’IT de l’ombre et l’IA de l’ombre suivent la même logique. Les gens adoptent ce qui les aide à faire leur travail. Les attaquants l’exploitent en supposant sûrement que les lacunes existent, une hypothèse que Keren dit presque toujours payante.

Elle a évoqué un schéma connexe dans les outils de sécurité. La plupart des équipes utilisent désormais entre 50 et 60 produits de sécurité, et elles supposent que toute cette couverture s’additionne. Mais si vous cartographiez ces capacités contre une véritable trajectoire d’attaque, que ce soit la chaîne de destruction de Lockheed Martin ou MITRE ATT&CK, les lacunes deviennent évidentes.  

Keren a dit qu’elle peut généralement trouver quelqu’un au sein d’une organisation très mature qui admettra qu’un système particulier, un environnement cloud ou un nouveau projet d’IA d’un département, est en dehors de tout cela.

Son défi concret pour les équipes de sécurité : effectuer une évaluation interne de la sécurité réseau. Des outils comme Shodan et Censys existent depuis des années, mais elle rencontre encore des équipes qui ne les ont jamais utilisés pour observer leur propre environnement comme le ferait un attaquant.  

Toute évaluation sérieuse de la sécurité réseau devrait inclure cette vue extérieure, car on ne peut pas défendre ce qu’on ne voit pas.

Paranoïa proactive : les 3 fondamentaux essentiels de la sécurité

Lorsque Keren s’est formé à la profession cybernétique, les fondamentaux étaient la triade de la CIA : confidentialité, intégrité et disponibilité. Celles-ci tiennent toujours. Mais ils décrivent ce que vous protégez plutôt que la manière dont les attaquants y parviennent réellement.

À la place, elle propose un ensemble mis à jour :

• Identité. Pendant la majeure partie de la dernière décennie, l’identité a été le plus grand vecteur d’accès initial en nombre de violations signalées, et la manière dont la plupart des organisations la gèrent reste ancrée dans la pensée du XXe siècle. Selon l’estimation de Keren, la corriger supprime au moins 20 % des vecteurs d’attaque initiaux.‍
• De la visibilité. Si les attaquants peuvent inventorier des ressources que vous avez oubliées, vous commencez le combat en position de désavantage. La visibilité est ce qui transforme un environnement inconnu en un environnement défendable. ‍
• Confinement. C’est celle qui compte le plus pour Keren en tant que hacker, précisément parce qu’elle ne veut pas être contenue. Une attaque s’arrête net lorsque le mouvement latéral est difficile, lorsque les réseaux sont segmentés, et lorsque l’accès à un système ne remet pas les dix suivants. La microsegmentation construit directement cette contenance, plaçant la politique entre les charges de travail afin qu’un système compromis n’ait nulle part d’où aller ensuite.

Keren qualifie l’état d’esprit derrière ces trois « paranoïa proactive », et elle le distingue soigneusement de la peur. La peur paralyse, tandis que la paranoïa proactive prépare. Comme elle le dit, on n’attend pas la pluie pour monter sa tente.

Alors pourquoi plus d’équipes de sécurité ne font-elles pas ce travail ? Keren pense que c’est en partie de la nature humaine, car trier l’étalement identitaire ressemble à nettoyer un grenier. Et c’est en partie une question de priorisation, car il est difficile de positionner l’identité, la visibilité et la maîtrise comme la prochaine grande initiative stratégique.  

Ce sont les fondamentaux qui rendent l’IA intéressante

Chaque capacité d’IA qu’une équipe de sécurité souhaite déployer repose sur la même base : savoir qui est sur votre réseau, ce qui se trouve dans votre environnement, et où une intrusion peut se déplacer.  

Un agent IA qui trie les alertes n’est utile que dans la mesure de l’inventaire des actifs qui le soutient. La réponse automatisée n’est sûre que dans un réseau où le rayon d’explosion d’une attaque est déjà limité.

C’est la partie de l’argument de Keren qui mérite d’être abordée dans une conversation budgétaire. L’identité, la visibilité et la confinement sont les conditions préalables à une stratégie d’IA qui tient la route. Si vous les sautez, vous superposez l’automatisation à un environnement que personne ne peut vraiment voir, ce qui aggrave le problème de visibilité avec lequel vous avez commencé.

Le délai de l’attaquant ne cesse de se réduire. La question pour les défenseurs est de savoir si le sol sous leurs outils est suffisamment solide pour que cela puisse aider.

Écoutez l’épisode complet de The Segment : Un podcast sur le leadership zéro trust sur Apple Podcasts,  Spotifyou notre site web.