Ce que Mythos, Glasswing et une nouvelle génération de systèmes d’IA révèlent sur l’évolution de la cyberdéfense.
Lorsqu’Anthropic a dévoilé le projet Glasswing et le modèle Mythos, une grande partie de la discussion s’est concentrée sur les capacités elles-mêmes.
Les responsables de la sécurité ont débattu de ce que ces systèmes pourraient signifier pour la découverte des vulnérabilités, le développement des exploits et le rythme de l’innovation offensive. Les chercheurs ont examiné des références techniques. Les observateurs du secteur se demandent avec quelle rapidité ces capacités pourraient tomber entre les mains des attaquants.
Ces conversations sont importantes. Ils soulignent également une question plus vaste qui prédomine dans mes discussions avec les RSSI : de combien de temps disposons-nous ?
Au cours de l’année écoulée, les discussions sur l’IA dans la cybersécurité ont sensiblement changé. Il y a douze mois, les responsables de la sécurité voulaient comprendre si l’IA pouvait améliorer de manière significative les opérations de sécurité. Ils voulaient savoir si l’entreprise pouvait enquêter avec précision sur les alertes, réduire la charge de travail des analystes et fonctionner de manière fiable dans les environnements de production.
Aujourd’hui, les responsables de la sécurité s’interrogent sur les délais, la mise en œuvre, la rapidité avec laquelle l’IA modifie le paysage des menaces et ce que cela signifie pour le fonctionnement des équipes de sécurité.
Mythos et Glasswing d’Anthropic, Daybreak d’OpenAI et les avancées de DeepSeek accélèrent ces conversations. Chaque développement donne un autre aperçu du rythme auquel les capacités de l’IA progressent.
L’IA raisonne désormais à travers des problèmes de sécurité qui nécessitaient historiquement une expertise hautement spécialisée. Les implications couvrent la découverte de vulnérabilités, l’analyse des chemins d’attaque, la reconnaissance, l’ingénierie sociale et les opérations de sécurité.
Ce changement reflète une réalité plus large : la cybersécurité entre dans une période où le rythme de l’adaptation peut avoir autant d’importance que la qualité des défenses elles-mêmes. L’IA accélère simultanément l’attaque et la défense. Les organisations repensent rapidement leurs opérations de sécurité en fonction de cette réalité.
Une conséquence devient de plus en plus visible. Pendant des années, les équipes de cybersécurité ont investi d’énormes efforts pour découvrir les menaces, identifier les vulnérabilités, collecter des données télémétriques et collecter des renseignements. L’IA accélère simultanément bon nombre de ces activités. La visibilité s’améliore. La découverte s’accélère. Les enquêtes deviennent plus rapides et plus complètes.
Le goulot d’étranglement commence à bouger. Le défi se concentre de plus en plus sur la rapidité avec laquelle les organisations peuvent agir sur la base de ce qu’elles savent. Les organisations qui bénéficient d’un avantage ne sont peut-être pas celles qui disposent du plus grand nombre d’informations. Ce seront eux qui pourront opérationnaliser ces informations le plus rapidement.
La chronologie se comprime
La cybersécurité a connu de nombreuses transitions technologiques majeures. Le cloud computing a modifié l’infrastructure. Les appareils mobiles ont élargi la surface d’attaque. La transformation numérique a connecté des systèmes auparavant isolés.
L’IA introduit une dynamique différente.
La plupart des transitions technologiques se sont déroulées sur des années. Les organisations ont eu le temps d’évaluer, de piloter, de déployer et d’adapter progressivement leurs modèles opérationnels.
Le cycle actuel de l’IA évolue à un rythme différent.
Les capacités s’améliorent continuellement. De nouveaux modèles arrivent tous les quelques mois. De nouvelles recherches émergent toutes les quelques semaines. Les équipes de sécurité absorbent les développements en même temps que les attaquants.
La découverte de vulnérabilités fournit un exemple utile. Les équipes de sécurité fonctionnent depuis longtemps selon un cycle familier de découverte, de validation, de correction et de protection. Les systèmes d’IA accélèrent chaque étape de ce processus. Des schémas similaires existent en matière de phishing, de reconnaissance, d’ingénierie sociale et de planification d’attaques.
Une vulnérabilité qui traversait autrefois ce cycle sur plusieurs semaines passe désormais de plus en plus par ces étapes en jours, voire, dans certains cas, en heures.
Les attaquants opèrent déjà à la vitesse de l’IA. Les défenseurs se concentrent désormais sur l’atteinte du même niveau de vitesse opérationnelle.
Ce changement modifie les questions que se posent les RSSI.
Les premières discussions se sont concentrées sur la capacité. L’IA pourrait-elle enquêter avec précision sur les alertes ? Pourrait-il fonctionner de manière fiable dans des environnements de production ? Pourrait-on lui confier un travail de sécurité significatif ?
À mesure que les organisations acquéraient de l’expérience avec l’IA, la discussion s’est orientée vers la mise en œuvre. Les équipes de sécurité ont commencé à évaluer où l’IA pourrait créer un levier opérationnel et à quelle vitesse elles pourraient la déployer dans les flux de travail existants.
Aujourd’hui, de nombreux RSSI se concentrent sur le timing.
Le rythme des progrès influence les horizons de planification, les décisions budgétaires et les discussions sur le modèle opérationnel. Les responsables de la sécurité évaluent la rapidité avec laquelle ils peuvent introduire l’IA dans les enquêtes, la chasse aux menaces, l’ingénierie de détection et les workflows de réponse. Les conseils d’administration posent des questions. Les équipes dirigeantes sont attentives.
Les programmes de sécurité qui considéraient autrefois l’IA comme une initiative future la considèrent de plus en plus comme une priorité opérationnelle actuelle.
L’industrie passe de l’évaluation de l’IA en tant que technologie à l’intégration de l’IA en tant que capacité de sécurité.
La compression du calendrier crée une pression sur le modèle traditionnel des opérations de sécurité. La vitesse d’investigation, la vitesse de réponse et la couverture défensive déterminent de plus en plus si les organisations peuvent suivre le rythme des adversaires opérant avec l’aide de l’IA.
Les opérations de sécurité entrent dans une nouvelle phase
L’impact de l’IA devient particulièrement visible au sein du SOC.
De nombreux centres d’opérations de sécurité ont été construits autour d’une hypothèse simple : les alertes sont transmises aux analystes humains qui mènent les enquêtes. La capacité opérationnelle évolue principalement grâce au recrutement.
Le volume des données de sécurité, le nombre d’alertes et la complexité des environnements modernes n’ont cessé d’augmenter. Les équipes de sécurité ont réagi en élaborant des processus, en ajoutant des outils et en créant des rôles d’analystes spécialisés.
L’IA introduit une nouvelle source de capacité opérationnelle.
Les investigations qui nécessitent que les analystes examinent des dizaines ou des centaines d’artefacts sur les systèmes de points finaux, d’identité, de cloud, de réseau et de messagerie peuvent désormais être réalisées en quelques minutes. Les analystes ont accès à une profondeur d’enquête et à une cohérence qu’il serait difficile d’obtenir manuellement à grande échelle.
De nombreux responsables de la sécurité envisagent désormais cette capacité sous l’angle de la conception du modèle opérationnel. Ils examinent comment les enquêtes sont menées, comment le travail est réparti et où l’expertise humaine crée la plus grande valeur.
L’évolution du rôle d’analyste
L’un des développements les plus importants issus des premiers déploiements de production est l’évolution des responsabilités des analystes.
Les analystes de sécurité restent au cœur des opérations de sécurité. Leur expertise devient encore plus précieuse à mesure que les systèmes d’IA assument une plus grande part du travail d’enquête.
La chasse aux menaces, l’ingénierie de détection, la stratégie de réponse, la gouvernance et la surveillance font l’objet d’une attention accrue. Les analystes consacrent plus de temps à façonner la manière dont les enquêtes sont menées, à évaluer les résultats et à améliorer les opérations de sécurité globales.
De nombreuses organisations ont déjà entamé ce changement.
Les équipes investissent davantage dans des activités de sécurité proactives. Les programmes d’ingénierie de détection se développent. La chasse aux menaces devient plus accessible. Les analystes passent plus de temps à améliorer les systèmes et moins de temps à répéter les tâches d’enquête.
Ces changements créent ce que je considère comme un SOC amplifié par les analystes : un environnement dans lequel l’IA étend la portée des professionnels de la sécurité et permet un travail de sécurité plus approfondi dans l’ensemble de l’organisation.
La confiance est essentielle et ne doit pas compromettre la vitesse
Face à un calendrier qui se resserre, l’instinct est de considérer la vitesse et la confiance comme un compromis, c’est-à-dire d’aller plus vite et de vérifier moins. Ce compromis semble inévitable. Ce n’est pas le cas.
Vous ne faites pas confiance à l’IA dans l’abstrait. Vous êtes sûr qu’un système comprend vos outils, votre télémétrie et les cas extrêmes qui n’existent que dans votre réseau. Le problème n’a jamais été la vitesse. C’est de la vitesse sans contexte. Plus un système aveugle au contexte s’exécute rapidement, plus vous ne pouvez pas vérifier les décisions.
La tension s’atténue lorsque le système est rapide à déployer et s’adapte à votre environnement une fois qu’il est là, plutôt que de traiter chaque réseau de la même manière. La vitesse n’est plus ce que vous échangez contre la confiance. Plus il en apprend sur votre environnement, plus il devient précis et digne de confiance, de sorte que les deux se mélangent plutôt que de s’affronter. La confiance se développe toujours grâce à des preuves opérationnelles telles que des résultats mesurables, une visibilité sur les décisions et des performances cohérentes. Mais l’endroit où ces preuves s’accumulent est important.
Les organisations qui réalisent les progrès réels les plus rapides le comprennent. Ils ne compromettent pas la qualité et la confiance au profit de la rapidité. Ils investissent dans une IA qui gagne la confiance au sein de leur propre environnement, afin qu’ils n’aient pas à choisir.
Leadership dans une période de changement rapide
Les conversations autour de Mythos et de Glasswing reflètent une réalité plus large à laquelle sont confrontés les responsables de la sécurité.
L’IA fait désormais partie à la fois de l’offensive et de la défense. Les équipes de sécurité l’intègrent dans les enquêtes, l’ingénierie de détection, les flux de travail de réponse et la chasse aux menaces. Les attaquants l’intègrent dans leurs propres opérations.
Les responsables de la sécurité ont la possibilité de moderniser leurs modèles opérationnels, d’étendre leurs capacités défensives et d’acquérir une expérience organisationnelle tout en continuant d’évoluer.
Les organisations qui progressent aujourd’hui investissent dans la préparation. Ils acquièrent de l’expérience, adaptent les flux de travail et préparent les équipes à un nouveau modèle d’opérations de sécurité.
La prochaine phase de la cybersécurité sera définie par l’efficacité avec laquelle les organisations combinent le jugement humain et l’exécution à l’échelle machine.
La question à laquelle sont confrontés les responsables de la sécurité est de plus en plus claire : à quelle vitesse leurs organisations peuvent-elles s’adapter à un environnement de menaces en constante évolution ?
Cet article est publié dans le cadre du Foundry Expert Contributor Network.
Voulez-vous nous rejoindre ?
