L’IA a changé la donne. La sécurité intelligente ne consiste pas à tout corriger, mais à arrêter les voies d’attaque les plus importantes.
La nouvelle directive opérationnelle contraignante (BOD) 26-04 de la CISA marque l’un des changements les plus importants dans la gestion fédérale des vulnérabilités depuis des années. Plutôt que d’exiger des agences qu’elles corrigent chaque vulnérabilité critique selon le même calendrier, la directive donne la priorité aux mesures correctives en fonction du risque, avec des délais de mise à jour allant de trois jours pour les vulnérabilités les plus risquées au report pour celles présentant un risque minime. C’est une évolution bienvenue, mais elle nous amène aux blocs de départ et non à la ligne d’arrivée.
Les équipes de sécurité savent depuis longtemps que la gravité ne détermine pas à elle seule le risque. Un score CVSS ne dit pas grand-chose si une vulnérabilité est accessible depuis Internet, est activement exploitée, peut être automatisée ou permet à l’attaquant de contrôler l’actif. Le BOD 26-04 reconnaît la nature contextuelle du risque en ordonnant aux organisations de se concentrer d’abord sur les expositions les plus susceptibles d’être exploitées.
Cependant, l’IA comprime chaque étape du cycle de vie des attaques, modifiant ainsi le paysage des menaces plus rapidement que les pratiques de gestion des vulnérabilités ne peuvent s’adapter. CrowdStrike rapporte que le temps moyen d’évasion d’eCrime (mouvement latéral initial) est tombé à seulement 29 minutes, l’évasion la plus rapide observée prenant . Une fois que les attaquants ont pris pied, Mandiant a constaté qu’ils transféraient l’accès entre les opérateurs dans un délai médian de 22 secondes.
Dans le même temps, l’IA elle-même devient une surface d’attaque de plus en plus importante. Les organisations déploient rapidement des copilotes, des agents de navigation, des flux de travail autonomes et d’autres systèmes basés sur l’IA, en introduisant des invites, des plugins, des connecteurs et des intégrations qui nécessitent une protection.
Dans ce contexte, la fenêtre de remédiation de trois jours prévue par la directive pour les expositions les plus risquées ressemble moins à un objectif agressif qu’à un luxe.
Les attaquants d’aujourd’hui ne se contentent pas d’exploiter les CVE. Ils combinent des vulnérabilités avec des identités volées, des erreurs de configuration du cloud, des API exposées, des faiblesses SaaS et de plus en plus de systèmes d’IA pour construire des chemins d’attaque vers des actifs critiques. Le BOD 26-04 nous fait avancer, mais l’IA exige des défenseurs non seulement qu’ils accélèrent les processus existants, mais qu’ils les repensent.
L’IA a changé le rythme et l’économie des cyberattaques
L’un des principaux avantages de l’IA pour les attaquants est sa capacité à automatiser un travail qui nécessitait auparavant des équipes d’opérateurs humains. La reconnaissance, la recherche de vulnérabilités, la génération d’exploits, le phishing, la collecte d’informations d’identification et même une partie des mouvements latéraux peuvent désormais être accélérés ou, dans certains cas, largement orchestrés par l’IA.
Des recherches récentes ont démontré que des agents autonomes effectuent une grande partie du travail opérationnel dans le cadre de cybercampagnes sophistiquées, tandis que des humains supervisent les objectifs plus larges. En conséquence, les campagnes deviennent plus faciles et moins coûteuses à mettre à l’échelle, davantage de cibles peuvent être poursuivies simultanément et les attaquants peuvent tester bien plus de chemins dans un environnement avant que les défenseurs ne se rendent compte qu’ils sont sondés.
Pendant des années, la gestion des vulnérabilités a supposé que les organisations disposaient de semaines, voire de mois, pour identifier, hiérarchiser et résoudre les problèmes de sécurité. Cette hypothèse ne reflète plus la réalité. Les attaquants passent généralement de l’accès initial au mouvement latéral en moins d’une heure, et les vulnérabilités sont de plus en plus exploitées peu de temps après leur divulgation, et dans certains cas, elles sont militarisées avant même que les défenseurs n’aient commencé à les évaluer.
C’est pourquoi l’évolution de la CISA vers une remédiation basée sur les risques est importante. En donnant la priorité aux vulnérabilités en fonction de leur exploitabilité et du risque opérationnel, les défenseurs ont de bien meilleures chances de résoudre les problèmes les plus susceptibles d’être utilisés contre eux. Mais les vulnérabilités ne représentent qu’un élément du paysage d’exposition actuel.
Les attaques modernes suivent des chemins, pas des découvertes
La plupart des organisations de sécurité répartissent encore les responsabilités entre des équipes spécialisées. La gestion des vulnérabilités se concentre sur les CVE. Les équipes chargées de l’identité se concentrent sur l’authentification et les privilèges. La sécurité du cloud gère la configuration. Code d’examen de la sécurité des applications.
Les attaquants ne rencontrent pas ces mêmes limites. Leur objectif est d’atteindre des actifs précieux en utilisant n’importe quel itinéraire disponible. Une campagne peut commencer par une vulnérabilité exposée, des identifiants volés, des autorisations cloud excessives, une application SaaS mal configurée ou un agent IA compromis. Le plus souvent, plusieurs de ces conditions sont combinées. Par exemple, le rapport Verizon Breach de 2026 révèle que si 31 % des exploitations initiales de l’année dernière étaient une vulnérabilité, 39 % des chaînes d’attaque impliquaient des problèmes d’identité. Dans chaque violation notable, les attaquants enchaînent différents types d’expositions pour progresser à l’intérieur des réseaux.
Un attaquant qui compromet un compte à faible privilège peut découvrir une identité surautorisée, naviguer dans une charge de travail cloud, exploiter une application vulnérable et éventuellement accéder à des systèmes d’entreprise sensibles. Aucune de ces expositions individuelles ne peut paraître catastrophique lorsqu’on l’examine indépendamment. Ensemble, ils forment une voie d’attaque viable.
Les violations étant toujours une chaîne d’expositions diverses et les vulnérabilités ne représentant qu’une partie de la façon dont les violations se produisent réellement, c’est là que la sécurité centrée sur les vulnérabilités commence à s’effondrer. CrowdStrike a également signalé une augmentation de 42 % d’une année sur l’autre des vulnérabilités exploitées, les fournisseurs les ont même annoncés. Cela signifie que les organisations qui sont sur le point de mettre fin à des centaines de découvertes de haute gravité seront piratées parce qu’elles ne disposent pas du contexte nécessaire pour bloquer la route la plus pratique qu’un attaquant emprunterait pour accéder à leurs actifs critiques.
Les organisations doivent assumer la violation et prévoir la possibilité qu’un attaquant finisse par prendre pied. L’architecture de sécurité doit être aussi segmentée que possible et limiter la distance qu’un adversaire, ou un agent IA compromis, peut parcourir après cette compromission initiale. Et les contrôles de sécurité doivent être validés en permanence plutôt que supposés efficaces parce qu’ils ont été déployés avec succès.
Ces principes détournent l’attention des découvertes individuelles et se concentrent sur les conditions qui permettent le succès des attaques.
Comment les défenseurs peuvent s’adapter : évaluation et validation continues
Un moyen pratique d’effectuer cette transition consiste à prendre au sérieux la mise en œuvre d’un programme de gestion continue de l’exposition aux menaces (CTEM), qui établit un processus continu pour comprendre et réduire l’exposition.
Cela commence par quelque chose que de nombreuses organisations ont encore du mal à maintenir : une compréhension actuelle de l’environnement. Cela signifie cartographier en permanence les actifs, les identités, l’infrastructure cloud, les applications SaaS, les systèmes d’IA et les relations entre eux. À partir de là, les équipes de sécurité peuvent identifier les expositions, les hiérarchiser en fonction de leur exploitabilité et de leur impact commercial, valider si elles sont réellement accessibles et piloter les mesures correctives au sein des équipes opérationnelles.
Ce cycle continu restaure ce que Mandiant appelle l’avantage du défenseur. Les attaquants doivent d’abord découvrir un environnement inconnu avant de pouvoir l’exploiter. Les défenseurs ont déjà cette connaissance – ou devraient le faire. Le défi consiste à le maintenir à jour alors que les services cloud, les identités, les applications d’IA et les systèmes d’entreprise évoluent quotidiennement.
Intégrer la validation dans le processus
Les équipes de sécurité doivent également vérifier que les vulnérabilités qu’elles ont identifiées peuvent réellement être exploitées et que les mesures correctives ont éliminé les risques significatifs.
C’est là que la validation de l’exposition, consciente de l’adversaire, devient une partie essentielle du processus. Des technologies telles que la simulation de violation et d’attaque, les tests d’intrusion automatisés et l’analyse des chemins d’attaque permettent aux organisations de tester en permanence leurs environnements à l’aide de techniques qui ressemblent à de vrais adversaires.
Au lieu de se demander si une vulnérabilité existe, la validation de l’exposition répond à des questions plus pratiques : un attaquant peut-il l’atteindre ? Peuvent-ils l’exploiter ? Peuvent-ils passer de cela à quelque chose qui intéresse réellement l’entreprise ? Tout aussi important, la validation confirme si les efforts de remédiation ont véritablement fermé la porte plutôt que de simplement réduire le nombre de résultats sur un tableau de bord.
Donnez la priorité à l’entreprise, pas au tableau de bord
La validation devient encore plus précieuse lorsqu’elle est combinée au contexte commercial. Une faiblesse de gravité moyenne affectant une application génératrice de revenus, des données réglementées ou un système opérationnel critique peut représenter un risque organisationnel plus important que plusieurs vulnérabilités critiques affectant des environnements de développement isolés.
La priorisation des expositions validées en fonction de leur impact sur l’entreprise donne aux responsables de la sécurité une stratégie de remédiation qu’ils peuvent expliquer aux dirigeants en termes opérationnels plutôt qu’en termes techniques. Plus important encore, elle aligne les efforts défensifs sur les voies d’attaque les plus susceptibles d’affecter l’organisation.
BOD 26-04 constitue une avancée importante. Mais l’IA a déjà défini des enjeux de mise à jour basés sur les risques. À l’ère de l’IA, les organisations qui réussiront ne seront pas nécessairement celles qui mettront à jour les correctifs le plus rapidement possible. Ce seront eux qui comprendront mieux leur exposition que les attaquants qui tentent de l’exploiter.
Cet article est publié dans le cadre du Foundry Expert Contributor Network.
Voulez-vous nous rejoindre ?
