L'intelligence artificielle remodèle l'économie des cyberattaques et de la cyberdéfense.

Les limitations qui entravaient autrefois les cyberopérations complexes ciblant les nations commencent à s'estomper. Lancer une cyberattaque de grande envergure nécessitait auparavant la mobilisation d'un grand nombre d'experts. Les cyberattaques utilisant l'intelligence artificielle sont en augmentation.

Lorsque le coût d'un attaquant compétent se rapproche du coût de la puissance de calcul, l'équation de l'attaque change radicalement.

C'est déjà devenu une réalité concrète : les recherches de Dream sur les menaces ont révélé un cadre multi-agents autonome qui a lancé des campagnes de piratage contre des entités gouvernementales en Asie, exécutant douze vagues d'attaques en quatre jours avec huit agents parallèles, compromettant 85 comptes gouvernementaux et utilisant une boucle d'apprentissage fermée pour s'adapter après chaque échec.

L'attention se porte désormais moins sur le nombre d'experts que sur la manière dont ils développent efficacement leur expertise.

L'intelligence artificielle profite à la fois aux attaquants et aux défenseurs, mais ces derniers disposent d'un avantage unique : ils possèdent déjà la carte que les attaquants doivent découvrir.

Les forces de défense qui comprennent leur environnement peuvent utiliser l'intelligence artificielle pour traduire ces connaissances en vastes capacités opérationnelles. Intégration des capacités de défense

Hacker gouvernemental indépendant utilisant l'IA

En juillet dernier, notre équipe de recherche sur les menaces a pu récupérer l'espace de travail opérationnel d'un framework multi-agents indépendant qui menait des campagnes de piratage contre des entités gouvernementales en Asie.

En quatre jours environ, le dispositif a exécuté douze vagues d'attaques et a fait fonctionner simultanément jusqu'à huit agents d'IA. Tirant parti des frameworks publics Hermes et OpenClaw, il a compromis 85 comptes d'employés du gouvernement et en a utilisé 84 pour infiltrer l'environnement d'authentification unique du gouvernement.

Ce qui est vraiment intéressant, c'est sa capacité à prendre des décisions opérationnelles de manière autonome. Les limites de l'intelligence artificielle.

Détermination des niveaux de confiance

Un score de confiance bayésien a été attribué à chaque découverte pour évaluer les différentes pistes, puis une voie a été choisie pour poursuivre, comme dans une véritable équipe.

De même, lorsqu'une tentative d'attaque échouait, le système entrait automatiquement dans un « cycle d'apprentissage », explorant les bases de données de vulnérabilités et les techniques de recherche en sécurité pertinentes au sein de l'infrastructure technologique du gouvernement concerné, puis réessayait. Le système procédait ainsi à une auto-évaluation, créant une boucle d'apprentissage fermée : investigation, vérification, exécution, suivi des résultats, mise à jour des connaissances opérationnelles, puis nouvelle tentative.

Il ne s'agissait pas d'un modèle d'amélioration continue, mais d'une cyberattaque auto-adaptative, orchestrée par un véritable expert, intégré à un système d'IA. Les principes fondamentaux de cette attaque n'avaient rien d'impressionnant ni de novateur. Mais c'est son ampleur, et sa capacité d'extension quasi infinie, qui est alarmante. Penser comme un pirate informatique.

Jusqu'à récemment, le principal obstacle au déploiement à grande échelle d'opérations offensives sophistiquées résidait dans l'expertise nécessaire pour déterminer les éléments à examiner, vérifier les résultats, les relier à des voies d'attaque viables et s'adapter en cas d'échec de ces voies. Ces opérations étaient coûteuses, tant en ressources financières qu'en compétences humaines. Cette pénurie limitait naturellement l'ampleur des attaques, car le déploiement à grande échelle d'une opération sophistiquée impliquait d'accroître le nombre d'experts qualifiés, le temps et la coordination nécessaires.

L'intelligence artificielle a commencé à automatiser avec précision cette couche coûteuse de processus : identifier les points à examiner, tester les hypothèses, tirer des leçons des échecs et choisir la prochaine étape. Si la qualité de ces décisions reste déterminée par des personnes compétentes, le nombre de ces personnes n'est plus le seul facteur qui conditionne la fréquence à laquelle ces décisions peuvent être prises en parallèle.

Que se passe-t-il lorsque l'expansion d'une opération offensive ne nécessite pas d'augmenter le nombre d'experts la menant au même rythme ?

Après 15 ans passés dans des fonctions liées à la cybersécurité offensive et défensive, il m'apparaît chaque jour plus clairement que l'intelligence artificielle a changé la donne ; le lien historique entre la taille des équipes d'experts d'une organisation et l'envergure des opérations qu'elle peut mener s'estompe.

L'intelligence artificielle n'élimine pas le talent, mais elle modifie plutôt ce que le talent peut accomplir à plus grande échelle.

Une attaque de la taille d'un pays

L'infrastructure informatique du gouvernement est un écosystème interconnecté, bâti sur plusieurs décennies. Elle se compose de ministères, de municipalités, de technologies opérationnelles, d'applications existantes, de services cloud, de prestataires, de fournisseurs et d'innombrables relations de confiance qui les unissent.

Ces contacts existent généralement pour des raisons opérationnelles légitimes (ou du moins pour des raisons qui étaient historiquement légitimes).

Naturellement, chaque connexion représente un point faible potentiel.

Voici comment se propagent les attaques gouvernementales modernes : non pas nécessairement en exploitant une seule faille critique, mais en reliant plusieurs vulnérabilités communes. Adopter le point de vue d’un pirate informatique est devenu une stratégie essentielle pour comprendre ces mécanismes.

Historiquement, cela a représenté un défi pour les deux camps. Aucune équipe de défense ne pouvait analyser en permanence chaque ressource, identité, composition, vulnérabilité et relation de confiance à l'échelle nationale. Les attaquants étaient confrontés à une contrainte similaire : leurs experts devaient eux aussi déterminer comment optimiser leurs efforts pour trouver une voie d'accès efficace aux ressources les plus précieuses. L'intégration des capacités de défense est donc devenue essentielle.

Les systèmes autonomes sont en train de changer cette réalité.

Un attaquant indépendant n'a pas besoin de comprendre l'intégralité de l'environnement gouvernemental au préalable. Il peut plutôt l'explorer en continu : découvrir une relation, formuler une hypothèse, la tester, tirer des enseignements du résultat, puis passer à l'étape suivante.

Pour la première fois, les gouvernements pourraient être confrontés à des adversaires capables d'analyser les surfaces d'attaque à l'échelle nationale plus rapidement que les institutions chargées de les défendre.

Course pour changer le score

La baisse spectaculaire du coût de l'expertise en cyberattaque, rendue possible par l'exploitation et le développement d'agents utilisés comme armes, représente un changement radical. Jusqu'à récemment, cette compétence était réservée à une élite et son coût était prohibitif. Cette recrudescence des cyberattaques menées grâce à l'IA a incité OpenAI et plus de 100 autres entreprises à alerter sur ses conséquences.

Aujourd'hui, la découverte, la hiérarchisation et l'intégration de ces technologies dans des stratégies offensives viables sont devenues peu coûteuses, et le processus peut être rapidement reproduit automatiquement.

Avec le rythme de développement de l'intelligence artificielle, cette réalité devient de plus en plus évidente chaque jour.

Les capacités offensives augmentent pour devenir moins chères, plus rapides et plus faciles à reproduire.

Mais il y a un autre aspect à prendre en compte.

Les systèmes de défense ont toujours bénéficié d'avantages structurels : données de télémétrie, contexte plus approfondi, accès continu à leur infrastructure, connaissance de ses configurations, identités et relations, ainsi qu'une capacité d'action bien supérieure. L'intégration de ces capacités défensives est indispensable pour garantir la supériorité opérationnelle.

Mais elles aussi étaient limitées par les capacités humaines. Aucune équipe ne pouvait analyser en permanence toutes ces informations, concernant l'ensemble des ressources et des relations. La même intelligence artificielle qui avantage les attaquants pourrait également permettre aux défenseurs d'obtenir un avantage historique considérable.

Ici, le temps est un facteur crucial. Tout analyser ne signifie pas tout défendre. Si l'IA détecte une identité compromise en quelques secondes, mais que les identifiants restent actifs pendant six heures, l'attaquant dispose encore de six heures. Et s'il identifie une faille exploitable vers un système critique, mais que son traitement prend trois semaines, cette faille restera ouverte pendant ces trois semaines.

La véritable opportunité ne réside donc pas simplement dans une meilleure analyse. Il s'agit de réduire le délai d'action efficace : le temps qui s'écoule entre la compréhension du risque et la modification du résultat. Ce manque de visibilité constitue souvent un obstacle à une prise de décision éclairée.

L'efficacité est ici primordiale ; désactiver une identité, modifier une règle de pare-feu ou corriger une vulnérabilité ne suffit pas. Le système doit vérifier que l'attaquant ne peut plus atteindre son objectif.

Le cycle défensif ne peut se limiter à la simple collecte de renseignements, ni même à la mise en œuvre d'actions concrètes. Il doit impérativement aboutir à un résultat sécuritaire avéré et vérifiable.

L'écart critique

L'intelligence artificielle ne favorise pas nécessairement l'attaquant.

Le cadre découvert devait recueillir des informations sur l'environnement étape par étape. À l'inverse, les défenseurs disposaient déjà de cette cartographie. Chaque configuration, identifiant, flux de télémétrie et relation de confiance pouvait prendre des jours, voire des semaines, à un attaquant pour être découvert, même avec l'aide de l'IA. Cependant, faute d'expertise humaine, les défenseurs ne pouvaient pas analyser en continu l'ensemble de leurs ressources, ce qui entravait la prise de décisions éclairées.

L'intelligence artificielle commence à lever cette contrainte liée à l'attention humaine. Elle permet aux équipes de défense d'amplifier les capacités des experts dans le cadre de milliers d'enquêtes menées en parallèle, d'identifier en continu les vecteurs d'attaque, de prioriser ceux qui présentent le plus grand risque et de concentrer leurs actions là où elles sont les plus critiques.

Les attaquants bénéficient du même avantage, mais ils ne partent pas du même point. Les défenseurs ont l'avantage de la maîtrise du terrain : ils connaissent et contrôlent déjà l'environnement que l'attaquant doit explorer.

Le facteur critique n'est plus seulement le nombre d'experts de chaque côté, mais la capacité de chaque côté à développer efficacement cette expertise et à l'orienter en priorité vers les risques les plus pertinents.

Au final, la course ne consiste pas à savoir qui connaît Plus.

Il s'agit plutôt de savoir qui est capable d'élargir l'éventail des talents de la bonne manière – et, dans un premier temps, de transformer cet élargissement en résultats concrets.