Phishing personnalisé, détection automatisée, assistants connectés aux applications métier : l’intelligence artificielle intervient des deux côtés de la cybersécurité. Elle offre de nouvelles possibilités aux attaquants et aux défenseurs, tout en introduisant des risques dans les systèmes d’information. Pour les DSI et les RSSI, ces évolutions appellent une révision des priorités de sécurité.
L’IA redessine le paysage des cybermenaces
Les cybercriminels n’ont pas attendu l’IA pour automatiser leurs attaques. Phishing, exploitation de vulnérabilités et recherche d’identifiants compromis fonctionnent déjà à grande échelle. L’IA facilite désormais la personnalisation des messages et accélère certaines étapes de préparation. Ce gain de productivité peut multiplier les tentatives sans garantir pour autant leur réussite.
Un message frauduleux peut reprendre le vocabulaire de l’entreprise et les habitudes d’un dirigeant, à partir d’informations publiques. La génération vocale et les deepfakes compliquent aussi la vérification de l’identité d’un interlocuteur.
Cette évolution oblige les entreprises à réexaminer leurs scénarios de risques. Avec ses expertises en audit, analyse de risques, gouvernance SSI, accompagnement ISO 27001 et formation, le cabinet Fidens alertait d’ailleurs récemment sur les impacts de l’IA en matière de cybersécurité.
Dans son Panorama de la cybermenace 2026, publié en septembre, l’ENISA souligne que les modèles d’IA émergents devraient être de plus en plus utilisés pour soutenir les opérations malveillantes. Il faut donc distinguer potentiel et réalité. En février 2026, l’ANSSI indiquait qu’aucun système d’IA générative n’avait démontré sa capacité à mener seul toutes les étapes d’une cyberattaque. L’efficacité de ces outils dépend encore de l’attaquant.
L’IA devient aussi un nouvel allié de la cybersécurité
Dans un centre opérationnel de sécurité (SOC), les analystes doivent distinguer les événements suspects du bruit des outils de surveillance. Connexions inhabituelles, changements de privilèges ou transferts anormaux ne constituent pas, isolément, la preuve d’une attaque. Le véritable enjeu est de comprendre la chronologie des signaux et le contexte des équipements concernés.
En rapprochant ces signaux, des systèmes intégrant de l’IA peuvent identifier des séquences suspectes, enrichir les alertes avec des renseignements sur les menaces et faciliter les premières investigations.
La priorisation devient plus fine : une alerte apparemment mineure peut être critique sur un compte administrateur, tandis que plusieurs événements inhabituels peuvent correspondre à une maintenance légitime.
Ces outils exigent pourtant des données pertinentes et des évaluations fiables. Faux positifs, signaux manqués ou conclusions erronées restent possibles. Les analystes doivent conserver la maîtrise des investigations et décisions sensibles.
Les outils défensifs eux-mêmes nécessitent des contrôles sur leurs accès aux données et les actions qu’ils peuvent déclencher.
L’adoption de l’IA crée de nouvelles vulnérabilités dans les SI
La menace vient aussi des usages internes. Un assistant IA peut être connecté à la messagerie, au CRM ou à la documentation. Chaque intégration étend potentiellement les données accessibles et les opérations réalisables.
Le Shadow AI désigne l’utilisation d’outils sans validation ni supervision. Transmettre un contrat confidentiel à un service externe pour le résumer peut entraîner une perte de maîtrise des informations, selon les paramètres et garanties contractuelles du fournisseur. Les règles doivent tenir compte de la sensibilité des données et du service réellement utilisé.
Avec les agents IA, les conséquences peuvent être plus directes. Un agent censé consulter des commandes peut recevoir par erreur le droit de les modifier. Une instruction malveillante cachée dans un document peut alors détourner son comportement : c’est la prompt injection.
L’OWASP (Open Worldwide Application Security Project, anciennement Open Web Application Security Project) classe notamment les permissions excessives (Excessive Agency) parmi les risques des applications utilisant des grands modèles de langage. Elle recommande de limiter strictement les fonctions et droits des agents.
Authentification, cloisonnement, moindre privilège, journalisation et validation humaine des actions sensibles doivent être prévus dès la conception.
Un agent peut ainsi préparer une opération comptable sans disposer du droit de modifier les coordonnées bancaires d’un fournisseur. Cette séparation réduit les effets d’une erreur ou d’une manipulation.
Gouvernance et maîtrise des risques : les fondations d’une IA de confiance avec les métiers
Qui autorise un outil d’IA ? Quelles données peut-il traiter et avec quelles garanties ? Qui répond d’une décision automatisée inappropriée ? Ces questions relèvent d’une gouvernance explicite.
Il faut cartographier les usages, y compris informels, classifier les informations et examiner chez chaque fournisseur l’hébergement, la conservation, la réutilisation des données et la réversibilité. Un catalogue d’outils approuvés doit offrir des alternatives utilisables, faute de quoi les contournements persistent.
Les habilitations doivent rester proportionnées aux besoins, avec des responsables identifiés et des accès traçables. Le RGPD et, selon les systèmes concernés, le règlement européen sur l’intelligence artificielle entrent aussi dans l’évaluation.
Une politique conçue uniquement par la DSI risque toutefois d’être contournée. Les métiers connaissent les données utiles, les contraintes de leurs processus et les cas où l’automatisation devient problématique.
C’est précisément la conviction défendue par Laurent Galvani, expert en cybersécurité chez TVH Consulting : “C’est en devenant co-constructeurs du cadre de sécurité IA que les métiers en deviendront les meilleurs ambassadeurs.”
La direction financière peut définir les contrôles préalables aux changements de coordonnées bancaires, les RH les informations interdites aux assistants externes et les équipes commerciales les conditions d’accès aux données clients.
La DSI, le RSSI et, lorsque nécessaire, le juridique et le DPO traduisent ces besoins en règles opérationnelles.
La sensibilisation doit elle aussi partir du travail réel : mieux vaut expliquer pourquoi un document client ne doit pas être copié dans un assistant que prononcer une interdiction sans alternative.
Adapter sa stratégie cyber à l’ère de l’intelligence artificielle
L’IA conduit surtout à appliquer les fondamentaux de la cybersécurité à de nouveaux usages et scénarios de menace.
Les analyses de risques doivent intégrer les attaques facilitées par l’IA, les systèmes d’IA compromis et les erreurs d’utilisation interne, afin de cibler les protections prioritaires.
Face aux usurpations, vérifier une demande sensible par un canal indépendant et utiliser une authentification multifacteur résistante au phishing restent essentiels. Une voix familière ou un courriel convaincant ne prouvent plus l’identité.
Pour les usages internes, il faut actualiser l’inventaire des solutions, encadrer les accès et réévaluer les fournisseurs. Les exercices de sensibilisation doivent aussi intégrer les fraudes par contenus synthétiques et les usages imprudents des assistants. Ces contrôles doivent s’intégrer aux processus métiers déjà existants.
L’ISO 27001 fournit un cadre pour identifier, évaluer et traiter les risques dans la durée. La directive NIS 2 renforce, pour les entités concernées, les exigences de gestion des risques cyber et de responsabilité organisationnelle.
Leur complémentarité est notamment développée dans cet article sur le blog Zataz. Si une démarche ISO 27001 ne garantit pas à elle seule la conformité à NIS 2, elle peut contribuer à structurer une partie des pratiques nécessaires.
Ces dispositifs doivent rester vivants. Un audit annuel ne suivra ni l’apparition de nouveaux assistants ni l’évolution des permissions d’un agent. Des revues régulières des usages, des incidents et des protections permettent d’ajuster les règles.
L’enjeu pour une entreprise consiste à tirer parti des capacités défensives de l’IA sans perdre de vue les menaces qu’elle accélère ni les accès qu’elle crée. Cette maîtrise exige une connaissance précise des usages et des responsabilités.
- Partager l'article :
Restez à la pointe de l'information avec
INTELLIGENCE-ARTIFICIELLE.COM !
