if ( !emtpy($headline_subheadline ) ) : ?>
Une petite équipe rouge dotée d’une IA de pointe peut désormais surpasser une équipe traditionnelle beaucoup plus grande. Les gagnants seront donc les opérateurs qui associent un jugement intelligent à des outils intelligents.
endif; ?>
Quelque chose a changé dans la sécurité offensive au cours des dix-huit derniers mois, un changement que la plupart des organisations n’ont pas encore pleinement absorbé. Ce n’est pas que les attaquants soient devenus plus intelligents. C’est que l’économie de l’attaque a complètement changé – et ceux d’entre nous qui dirigent des équipes rouges ont été aux premières loges de cette transformation.
Le débat sur l’IA dans la cybersécurité a tendance à se concentrer sur la défense : une meilleure détection des anomalies, un tri plus rapide et des analystes SOC assistés par l’IA. Ce cadrage passe à côté de l’histoire la plus urgente. Le côté attaque de ce grand livre a déjà été réécrit. Une petite équipe offensive bien équipée utilisant aujourd’hui des modèles d’IA de pointe peut surpasser ce qui était possible avec une opération traditionnelle beaucoup plus importante il y a à peine deux ans, avec une marge qui devrait déstabiliser tous les responsables de la sécurité qui liront ces lignes.
Grâce à notre travail en première ligne de la sécurité offensive, le consensus est clair : si vous n’augmentez pas vos opérations avec l’IA, vous êtes déjà désavantagé.
Avant d’aborder le changement opérationnel, nous devons clarifier une distinction fondamentale qui est souvent confondue dans les discussions de l’industrie :
- Équipe rouge IA : Cela implique de rechercher des vulnérabilités dans les grands modèles linguistiques (LLM), de tester les pipelines agents et d’identifier les vecteurs d’injection rapide ou les comportements involontaires.
- IA de l’équipe rouge : Utiliser l’IA comme outil d’opérateur pour exécuter des opérations offensives traditionnelles.
C’est dans cette deuxième catégorie, Red Teaming AI, que se produit la transformation la plus immédiate, la plus drastique et la plus dangereuse.
L’ampleur stupéfiante de la productivité
Les opérations augmentées par l’IA sont passées d’un luxe agréable à une exigence non négociable. La démocratisation des modèles frontières introduit une asymétrie entre des adversaires bien équipés et des équipes défensives traditionnelles s’appuyant sur un triage manuel.
Les gains de productivité que nous constatons sur le terrain sont stupéfiants. Lorsque l’IA est efficacement utilisée comme arme par les équipes offensives, certaines des premières conclusions parlent d’elles-mêmes :
| Métrique | Équipe rouge traditionnelle | Équipe rouge augmentée par l’IA |
| Production annuelle de l’équipe | 60 à 70 résultats (équipe de 3-4 personnes) | Plus de 90 résultats générés au cours d’un seul exercice en dehors des heures normales |
| Engagement avec une seule application | 7 à 10 résultats | Plus de 100 véritables résultats positifs |
| Numérisation à grande échelle | Prend le séquençage et les pipelines appropriés, ou expire complètement | Vous permet de créer des fonctionnalités capables d’analyser des millions d’adresses IP en 2 à 3 heures (pour environ 20 000 à 30 000 $) |
| Reconnaissance des applications externes | 150 à 200 résultats valides/an | Plus de 100 résultats par mois |
L’IA tout au long du cycle de vie de l’engagement
Nous n’utilisons plus seulement l’IA pour rédiger des e-mails de phishing. Les organisations et les acteurs de la menace adoptent une approche structurée pour intégrer l’IA à chaque phase de la kill chain :
- Pré-opération (mise en place et reconnaissance) : La phase de configuration, qui a duré des semaines, a été accélérée en quelques instants. La collecte d’informations Open Source (OSINT), le provisionnement de l’infrastructure, la création d’organigrammes et la configuration des serveurs de commande et de contrôle (C2) peuvent désormais être délégués à l’IA agentique. Cela réduit considérablement le temps et les efforts manuels nécessaires pour lancer une opération, même si les décisions complexes en matière d’infrastructure nécessitent toujours des opérateurs expérimentés. La pré-opération commence généralement de manière passionnante (une nouvelle opération arrive) mais se termine souvent par une corvée. Nous aimons l’accélération fournie par l’IA ici.
- Mi-opération (énumération et attaque) : lors d’engagements actifs, l’IA agit comme un expert en temps réel et à la demande. Les opérateurs utilisent l’IA de manière interactive pour générer des scripts d’audit personnalisés, adapter rapidement leurs stratégies et interroger à la volée des piles technologiques inconnues. En utilisant un flux de travail LLM en tant que juges, dans lequel le résultat d’un modèle est vérifié par un autre pour vérifier son exactitude et ses risques avant son exécution, les attaquants peuvent garantir des actions automatisées et hautement fiables. L’énumération et l’attaque sont le lieu où se produisent toute l’excitation et l’adrénaline. Nous utilisons l’IA pour nous aider ici, mais elle ne remplace pas (encore) nous, les humains.
- Post-opération (signalisation et déconfliction) : le reporting a toujours été la charge la plus fastidieuse de tout engagement. Aujourd’hui, neuf à dix mois de journaux bruts de C2 peuvent être intégrés à un modèle frontalier pour générer un rapport complet de déconfliction en moins de 20 minutes. Ces outils peuvent mapper chaque commande exécutée au cadre MITRE ATT&CK, croiser les renseignements sur les menaces et traduire des données hautement techniques en récits clairs et exploitables pour les dirigeants du conseil d’administration. Le résultat nécessite toujours une révision manuelle. L’IA vous permet d’obtenir une première ébauche en quelques minutes au lieu de plusieurs jours, mais un opérateur doit vérifier les résultats, valider les mappages ATT&CK et garantir l’exactitude avant la livraison. La billetterie et le suivi sont le fléau de la plupart des équipes rouges. L’IA est devenue un formidable compagnon pour nos équipes pour créer nos rapports et effectuer une grande partie du travail fastidieux.
La fracture des talents : le jugement comme différenciateur ultime
Avec l’IA automatisant l’énumération, l’analyse et l’échafaudage de base, l’ensemble des compétences de base de l’équipe rouge – pensée critique, compréhension architecturale, jugement contradictoire – est plus précieux que jamais. L’IA ne remplace pas cela. Mais les opérateurs qui peuvent tirer parti de l’IA en plus de ces compétences surpasseront ceux qui ne le peuvent pas. Le différenciateur n’est pas l’IA ou l’absence d’IA ; il s’agit de savoir si vous possédez les connaissances fondamentales nécessaires pour le diriger efficacement et valider ce qu’il vous donne. Cela modifie fondamentalement le profil requis d’un professionnel de la cybersécurité performant. En conséquence, le secteur se divise rapidement en deux catégories distinctes de praticiens :
- Les « licornes » (les plus performantes) : Ce sont ces praticiens qui apportent à l’IA une pensée critique et un jugement contradictoire approfondi. Ils comprennent exactement où les frontières de confiance échouent et où les architectures sont faibles. Ils utilisent l’IA pour exploiter efficacement ces informations, se déchargeant ainsi du travail fastidieux pour se concentrer sur une exploitation complexe.
- Les « canons à slops » : Opérateurs qui utilisent l’IA comme raccourci copier-coller insensé. Ils s’appuient entièrement sur des résultats non vérifiés sans comprendre les mécanismes sous-jacents, produisant un travail bruyant et facilement détectable qui fait perdre du temps et déclenche des alarmes.
Par conséquent, les pratiques d’embauche doivent changer. Le principal critère de sélection des nouveaux talents ne peut plus être une pile de certifications existantes ; cela doit être leur curiosité pratique, leur compréhension fondamentale de l’architecture de réseau et leur expérience dans la création d’outils avec des modèles d’IA de pointe. Les certifications sont toujours importantes, mais le recrutement doit également évaluer si les candidats peuvent réfléchir de manière critique aux systèmes et exploiter efficacement les outils d’IA, et pas seulement les utiliser aveuglément.
Impératifs stratégiques pour 2027
Pour les responsables de la sécurité qui cherchent à survivre à ce changement de paradigme, la voie à suivre nécessite une action immédiate. Sur la base de nos observations, voici les priorités critiques pour les 18 prochains mois :
- Formaliser les budgets IA : L’accès aux modèles frontières est coûteux, mais il s’agit d’un coût opérationnel nécessaire. Les équipes qui n’ont pas le budget nécessaire pour expérimenter et construire prendront du retard sur leurs adversaires.
- Mettre en œuvre des tests programmatiques continus : Alors que les entreprises déploient des milliers de leurs propres intégrations agentiques, les tests manuels ne sont plus viables. Les tests contradictoires continus et automatisés doivent devenir la procédure opérationnelle standard.
- Préparez-vous aux vecteurs de menaces hybrides : À mesure que les périmètres numériques se renforcent grâce à la défense automatisée, les attaques mêleront de plus en plus d’exploits numériques hyper-automatisés à des vecteurs d’ingénierie physique et sociale hautement sophistiqués.
- Embaucher par curiosité : Constituez des équipes composées de praticiens qui expérimentent activement l’IA et possèdent le jugement de haut niveau nécessaire pour la guider de manière sûre et efficace.
Les organisations qui ne parviennent pas à adopter une mentalité renforcée par l’IA risquent d’être submergées par des adversaires opérant plus rapidement, plus intelligemment et à une échelle sans précédent. Le succès dans le paysage cybernétique moderne repose sur un principe fondamental : combiner de manière transparente le jugement humain d’élite et l’automatisation intelligente.
