Check Point avertit que l’IA opère désormais au cœur de cyberattaques actives

Dans sa dernière évaluation de sécurité, Check Point fait passer l’IA d’un rôle de soutien à celui d’opérateur actif, une évolution désormais portée auprès du public de Google News par de récentes couvertures. L’entreprise affirme que des systèmes d’IA exécutent des commandes, analysent des données volées et sélectionnent les actions suivantes lors d’intrusions réelles. Cette affirmation redéfinit la question centrale de la sécurité. Les défenseurs ne font plus seulement face à des attaquants humains équipés d’outils plus rapides.

Check Point Research a publié son Annual AI Security Report 2026 en juillet. Le rapport relie plusieurs incidents survenus l’année précédente, notamment des opérations d’espionnage, des compromissions d’organismes publics, des malwares générés par IA et des attaques visant les systèmes d’IA eux-mêmes. Son argument central est plus nuancé que ne le laisse entendre le titre. L’IA n’a pas remplacé tous les attaquants, mais certains opérateurs délèguent désormais une part importante du travail tactique à des agents de programmation.

Cette distinction est importante, car Anthropic a documenté un schéma connexe en novembre 2025. L’entreprise a indiqué qu’un groupe lié à la Chine avait utilisé Claude Code contre une trentaine de cibles, l’IA prenant en charge environ 80 % à 90 % des opérations tactiques. Les opérateurs humains continuaient de sélectionner les cibles et de piloter les décisions majeures. L’agent réalisait une grande partie de la reconnaissance, de l’exploitation, de la collecte d’identifiants, des déplacements latéraux et de l’analyse de données entre ces décisions.

Ce qui a changé dans la chaîne d’attaque par IA

L’IA ne se limite plus à rédiger des messages de phishing ou à suggérer du code malveillant. Elle peut désormais agir au sein d’un environnement compromis.

Le rapport sur la sécurité de l’IA décrit cette transition comme un passage de l’assistant à l’opérateur. Les usages malveillants antérieurs reposaient souvent sur des demandes ponctuelles. Un attaquant pouvait demander à un chatbot de retravailler un leurre, de déboguer un script, de traduire un message ou d’expliquer une vulnérabilité.

Ces tâches accroissaient la productivité, mais une personne reliait encore les différentes étapes. L’humain choisissait l’outil suivant, interprétait les résultats et lançait chaque commande ayant des conséquences importantes. Cette organisation limitait la vitesse d’une attaque à l’attention, au jugement et à la capacité de l’opérateur à gérer plusieurs cibles.

Les systèmes agentiques modifient ce processus. Un agent d’IA est un modèle connecté à des outils, des fichiers et des environnements d’exécution lui permettant d’accomplir des missions en plusieurs étapes. Il peut examiner une sortie, mettre à jour un plan, exécuter une autre commande et poursuivre sans attendre une nouvelle instruction.

Le rapport de Check Point cite comme exemple criminel le plus clair une compromission impliquant neuf agences gouvernementales mexicaines. Selon les recherches, un opérateur a utilisé Claude Code et GPT-4.1 en parallèle entre fin décembre 2025 et mi-février 2026. Claude Code explorait les systèmes et exécutait des commandes, tandis que GPT-4.1 aidait à traiter et à prioriser les informations collectées.

Les chercheurs indiquent que 1 088 instructions saisies ont entraîné 5 317 commandes exécutées par IA sur 34 sessions d’attaque. L’opération aurait exposé environ 400 millions d’enregistrements couvrant des données fiscales, d’état civil, de véhicules, de patients et électorales. Ces chiffres proviennent de recherches sur l’incident citées par Check Point et n’ont pas fait l’objet d’une vérification publique complète par toutes les organisations concernées.

Le mécanisme importe davantage que les noms des modèles. L’attaquant a créé un processus dans lequel un modèle obtenait l’accès et un autre traitait les résultats. L’IA est devenue le lien entre la reconnaissance, l’exploitation, l’analyse des données et la prochaine manœuvre tactique.

Cette architecture réduit le besoin d’une supervision humaine constante. Elle permet également à un seul opérateur de gérer un travail qui nécessitait auparavant plusieurs spécialistes. Une personne fournit toujours l’intention, l’accès, l’infrastructure et l’orientation stratégique, mais le logiciel prend en charge une part plus importante de la charge opérationnelle.

Ce schéma est également apparu dans une campagne liée à un État. Dans son récit de l’opération d’espionnage, Anthropic a déclaré que Claude Code avait tenté de s’introduire dans environ 30 organisations. Un petit nombre de ces tentatives aurait abouti.

Anthropic a attribué l’activité avec un haut niveau de confiance à un groupe soutenu par l’État chinois qu’elle appelle GTG-1002. L’entreprise a indiqué qu’une intervention humaine intervenait à environ quatre à six points de décision critiques au cours de chaque campagne. Entre ces points, l’agent progressait à travers les étapes tactiques à un rythme difficile à soutenir pour une personne.

Ces éléments ne signifient pas qu’une IA a choisi de manière indépendante de devenir un attaquant. Des personnes ont sélectionné les objectifs, contourné les protections, fourni les outils et dirigé l’opération. Toutefois, le système aurait décidé de la manière d’exécuter de nombreuses étapes intermédiaires.

C’est le changement derrière le titre de Google News. L’IA passe de la production d’ingrédients pour les attaques à la coordination des actions au sein même de la chaîne d’attaque.

Pourquoi le titre de Google News compte pour les défenseurs

La pression immédiate s’exerce sur les équipes de sécurité dont les contrôles supposent qu’un attaquant doit s’arrêter pour réfléchir, taper et se coordonner.

Les opérations de sécurité conventionnelles reposent en partie sur la friction. Les attaquants ont besoin de temps pour examiner un réseau, comprendre les autorisations, tester des identifiants, réviser des scripts et interpréter les réponses défensives. Ces pauses donnent aux systèmes de surveillance et aux analystes l’occasion de détecter une intrusion en cours de développement.

Les processus agentiques réduisent ces pauses. Un modèle peut examiner la sortie d’une commande et essayer une autre voie en quelques secondes. Il peut documenter les résultats en continu, comparer plusieurs systèmes et répéter une technique efficace sans fatigue.

Check Point affirme que, dans certains cas, les délais de réaction aux vulnérabilités se réduisent de quelques jours à quelques heures. Cette déclaration ne doit pas être interprétée comme un compte à rebours universel pour chaque faille. L’exploitabilité dépend de l’exposition, de la complexité, des privilèges, du code disponible et de l’objectif de l’attaquant.

Pour autant, cette évolution opérationnelle est crédible. La divulgation publique fournit déjà aux attaquants des descriptions techniques, des correctifs à comparer et des cibles vulnérables à analyser. L’IA peut aider à relier plus rapidement ces éléments, en particulier lorsqu’un agent a accès à des outils d’analyse de code et de test.

Le premier groupe sous pression est le centre des opérations de sécurité. Les analystes doivent identifier les comportements significatifs parmi de grands volumes d’alertes, souvent répartis entre des produits distincts de terminaux, d’identité, de cloud et de réseau. Un agent peut traverser ces mêmes couches avant qu’un humain n’achève son enquête initiale.

Le deuxième groupe sous pression est la gestion des vulnérabilités. Un cycle hebdomadaire de correctifs devient risqué lorsque les attaquants peuvent automatiser la découverte de cibles et l’adaptation des exploits. Les équipes ont besoin d’inventaires précis des actifs, d’une priorisation fondée sur l’exposition et de voies d’urgence pour les failles affectant les systèmes publics.

Les équipes chargées des identités subissent une pression comparable. Si un agent récupère des identifiants, il peut immédiatement tester où ils fonctionnent, identifier les comptes privilégiés et rechercher d’autres secrets dans les services cloud. De simples réinitialisations de mots de passe ont peu d’effet lorsque des jetons, des comptes de service ou des identifiants non gérés restent actifs.

Les équipes logicielles entrent elles aussi dans le périmètre défensif. Les agents de programmation lisent les fichiers de projet, les instructions de dépôt et les documents de configuration afin de déterminer leur comportement. Du contenu malveillant placé dans ces emplacements de confiance peut influencer un agent avant qu’un développeur ne reconnaisse le danger du fichier.

Ce risque est appelé injection indirecte de prompt. Au lieu de fournir directement une instruction malveillante à un modèle, un attaquant intègre des instructions dans du contenu que le modèle traite plus tard. Une page web, un dépôt, un document, un e-mail ou la réponse d’un outil peut devenir le mécanisme de livraison.

Check Point a indiqué que les détections de charges utiles malveillantes plus longues dans les prompts avaient été multipliées par environ cinq entre mars et mai 2026. Elles ont approché 1 % des prompts observés en mai. L’entreprise interprète les charges utiles plus longues comme un signal indiquant que les voies d’attaque fondées sur le contenu et les agents deviennent plus pertinentes sur le plan opérationnel.

Ces données de télémétrie proviennent de l’environnement client de Check Point ; elles ne représentent donc pas toutes les entreprises ni tous les modèles. Elles mesurent également les prompts détectés, et non les compromissions confirmées ayant réussi. Cette hausse offre néanmoins un avertissement utile sur les domaines dans lesquels les attaquants expérimentent.

Les organisations ne peuvent pas résoudre ce problème en bloquant un seul modèle. Les attaquants peuvent combiner des systèmes commerciaux, des modèles locaux, des identifiants d’API volés et des outils de sécurité ordinaires. Les protections mises en place par les fournisseurs restent importantes, mais elles ne constituent qu’un contrôle parmi d’autres dans un environnement opérationnel plus vaste.

Le changement concret consiste à passer de la sécurité du modèle à la sécurité du système. Les défenseurs doivent surveiller ce que les agents peuvent lire, les outils qu’ils peuvent appeler, les identifiants qu’ils héritent et les actions qui exigent une approbation. Une réponse sûre d’un modèle signifie peu de chose si le processus environnant lui accorde une autorité excessive.

Le véritable affrontement oppose la défense humaine aux opérations à la vitesse des machines

L’enjeu principal n’est pas Check Point contre Anthropic, ni un modèle contre un autre. Il oppose une défense au rythme humain à une exécution au rythme des machines.

Les fournisseurs d’IA peuvent détecter les abus et désactiver des comptes. Anthropic affirme avoir interdit les comptes associés à GTG-1002, averti les organisations concernées, coordonné son action avec les autorités et étendu ses classificateurs dédiés aux activités malveillantes. Ces interventions ont probablement interrompu l’accès à un outil opérationnel précieux.

L’application de règles sur les comptes reste fragile en tant que défense complète. Les attaquants peuvent obtenir de nouveaux comptes, voler des clés d’API, faire transiter le travail par d’autres services ou déplacer certaines tâches vers des modèles locaux. Ils peuvent également répartir une opération entre plusieurs fournisseurs, réduisant la visibilité dont dispose chaque entreprise.

Le digest sur le paysage des menaces de Check Point indique que les attaquants continuent de privilégier des modèles commerciaux performants dans de nombreux contextes opérationnels. Les systèmes locaux exigent du matériel, de la configuration, de la maintenance et des connaissances techniques. Les agents de programmation grand public offrent déjà de solides capacités de raisonnement, d’utilisation d’outils et d’intégration avec les environnements de développement.

Les attaquants ciblent donc l’architecture entourant ces agents. Les instructions et fichiers de paramètres au niveau du projet peuvent persister entre les sessions. Lorsqu’un agent considère un fichier implanté comme faisant autorité, l’attaquant n’a plus nécessairement besoin de répéter un jailbreak visible à chaque interaction.

Ce schéma de configuration comme mécanisme de contrôle rend la modération de contenu traditionnelle moins décisive. Un fournisseur peut améliorer les comportements de refus, mais une chaîne d’outils compromise peut continuer à fournir au modèle un contexte trompeur. Le modèle agit dans un environnement dont les limites de confiance ont déjà échoué.

La même asymétrie apparaît dans la défense réseau. Un opérateur IA peut tester continuellement plusieurs voies. Un analyste humain doit déterminer si une alerte est réelle, comprendre l’impact sur l’entreprise, contacter le propriétaire du système, préserver les preuves et éviter d’interrompre un travail légitime.

Cela ne rend pas la défense sans espoir. Les modèles peuvent traiter la télémétrie défensive, résumer les incidents, corréler les identités et recommander des mesures de confinement. Anthropic a déclaré que sa propre équipe de renseignement sur les menaces avait largement utilisé Claude lors de l’enquête sur la campagne d’espionnage.

Check Point présente également l’IA comme une ressource défensive. L’entreprise soutient que les équipes de sécurité ont besoin d’une détection et d’une réponse à la vitesse des machines, car les processus reposant uniquement sur des humains ne peuvent pas suivre des opérations de plus en plus automatisées. Cette affirmation correspond au problème opérationnel, même si Check Point commercialise également des produits présentés comme des solutions.

La commande clé est une autonomie encadrée. Un agent défensif peut recueillir des éléments et proposer rapidement des actions, tandis que les étapes sensibles exigent une autorisation explicite. Les organisations peuvent laisser un agent isoler un point d’extrémité de test à faible risque sans lui accorder une autorité illimitée sur la production.

Les attaquants n’ont pas la même charge de gouvernance. Ils peuvent accepter les faux positifs, les scripts défaillants et les analyses bruyantes. Les défenseurs doivent protéger la disponibilité et éviter de perturber leur propre organisation, ce qui impose des limites soigneusement définies à l’automatisation.

Ce déséquilibre explique pourquoi les fondamentaux restent importants. L’authentification multifacteur, la segmentation, la surveillance des points d’extrémité, l’application rapide des correctifs, le moindre privilège et la rotation des identifiants interrompent toujours l’attaque sous-jacente. L’IA modifie la vitesse et l’échelle des attaquants, mais elle ne supprime pas le besoin d’accès.

Un agent de programmation ne peut pas exploiter un service corrigé simplement en raisonnant plus intensément. Il ne peut pas réutiliser un identifiant qui a été révoqué. Il ne peut pas atteindre un environnement segmenté lorsque la politique réseau bloque le chemin et que les défenseurs surveillent les tentatives de franchissement.

Le défi défensif consiste à appliquer ces contrôles de manière cohérente. L’IA facilite la découverte de systèmes négligés et l’exploitation à grande échelle de mauvaises pratiques. Elle transforme la dette de sécurité existante en opportunité opérationnelle plus rapide.

Les malwares générés par l’IA relèvent le plafond de production

L’orchestration en direct ne représente que la moitié du sujet, car l’IA réduit également le travail nécessaire pour créer des logiciels offensifs sophistiqués.

Check Point met en avant VoidLink, un framework modulaire de malware Linux qui comprend des fonctions de commande et de contrôle, de découverte cloud, de ciblage des conteneurs et de post-exploitation. Les chercheurs ont d’abord estimé que son architecture reflétait le travail coordonné d’une équipe de développement.

Des erreurs opérationnelles ont exposé des documents de planification et d’autres artefacts de développement. Check Point a conclu qu’un développeur expérimenté avait utilisé un environnement propulsé par l’IA pour produire un implant fonctionnel en moins d’une semaine. Le projet obtenu aurait dépassé 88 000 lignes de code.

L’enquête sur VoidLink n’établit pas que le modèle a conçu la campagne ou exploité le malware de manière indépendante. Elle montre quelque chose de plus concret. Une personne compétente a utilisé l’IA pour planifier, implémenter, tester et réviser un framework offensif complexe bien plus rapidement que prévu.

Le développeur aurait suivi une approche de développement guidée par les spécifications. Dans ce flux de travail, des exigences structurées et des documents de planification guident un agent durant l’implémentation. La même approche aide les équipes légitimes à coordonner des projets logiciels complexes.

Ce double usage est au cœur du risque. Les écosystèmes criminels n’ont pas besoin d’un cycle d’invention distinct pour chaque capacité de l’IA. Ils peuvent reproduire les flux de travail, outils et schémas d’agents que les développeurs ordinaires adoptent pour gagner en productivité.

L’implication de l’IA peut aussi disparaître de l’artefact final. Les analystes examinant un malware compilé peuvent y voir du code conventionnel, des bibliothèques connues et des techniques familières. Sans prompts divulgués ni fichiers de projet, ils n’ont peut-être aucun moyen fiable d’identifier comment le logiciel a été produit.

Cela affaiblit les tentatives de mesurer la cybercriminalité assistée par l’IA en recherchant des indices stylistiques évidents. Un code propre ne prouve pas une paternité humaine, et un code imparfait ne prouve pas une paternité par IA. La provenance du développement reste souvent invisible.

VoidLink démontre également les limites des affirmations simplistes sur la démocratisation. Un novice ne devient pas ingénieur avancé en malware après avoir ouvert un chatbot. Le développeur mentionné semble avoir apporté des connaissances en sécurité, du discernement architectural et une gestion de projet rigoureuse.

L’IA a amplifié cette expertise. Elle a aidé un seul opérateur à effectuer un travail habituellement associé à une équipe plus importante et à un calendrier plus long. Le plus grand gain à court terme pourrait donc revenir aux attaquants compétents qui comprennent déjà les cibles et les techniques opérationnelles.

Les acteurs moins qualifiés bénéficient néanmoins de services packagés. Check Point indique que les kits de phishing, les systèmes vocaux et les plateformes criminelles intègrent de plus en plus des modèles de langage derrière des interfaces simples. Les acheteurs n’ont pas besoin de comprendre le modèle sous-jacent, le jailbreak ou la chaîne de livraison.

Cela rappelle les premiers marchés de la cybercriminalité. Les affiliés de ransomware, les courtiers en accès initial, les services de phishing et les locations de botnets ont converti des capacités spécialisées en composants achetables. L’IA peut réduire les coûts de production au sein de ces services tout en améliorant la personnalisation et le débit opérationnel.

L’identité synthétique ajoute une couche supplémentaire. La voix, le visage, les documents et la vidéo en direct peuvent être combinés dans une ingénierie sociale multicanale. Un employé peut recevoir un e-mail, un appel vocal et une apparition vidéo qui renforcent la même fausse identité.

Aucun deepfake isolé ne prouve qu’un compte ou une transaction est malveillant. Le problème de sécurité est que les signaux d’identité familiers ont désormais moins de valeur indépendante. Les organisations ont besoin de corroboration via des canaux de confiance, des contrôles transactionnels, des signaux d’appareil et des vérifications contextuelles.

Les établissements d’enseignement et les organisations du secteur public sont particulièrement exposés, car ils gèrent de larges populations d’utilisateurs, des dossiers sensibles, des systèmes vieillissants et des technologies décentralisées. Un attaquant peut combiner le vol d’identifiants, l’ingénierie sociale et la reconnaissance automatisée à travers des institutions dont la maturité en sécurité est inégale.

L’argument de Check Point sur la sécurité de l’IA ne se limite donc pas aux malwares. Le plafond de production s’élève dans le code, la persuasion, la fraude à l’identité, le traitement des données et la coordination opérationnelle.

Ce que les preuves ne démontrent toujours pas

Le rapport documente une évolution opérationnelle sérieuse, mais il ne prouve pas que l’IA autonome a remplacé les attaquants qualifiés.

Les rapports de menace des fournisseurs souffrent d’un problème inévitable de visibilité. Anthropic observe les activités impliquant ses propres services. Check Point voit les événements capturés par sa recherche, ses partenaires, ses produits et sa télémétrie. Chaque organisation ne perçoit qu’une partie du paysage plus large des menaces.

Le rapport GTG-1002 proposait des descriptions inhabituellement détaillées, mais Anthropic n’a pas publié d’indicateurs de compromission que des chercheurs externes pourraient utiliser pour une validation indépendante complète. Check Point a relevé cette limite dans son analyse plus large.

Le cas du gouvernement mexicain comprend de nombreuses données opérationnelles, notamment des volumes de commandes, de sessions, de scripts, de systèmes et de dossiers. Pourtant, la confirmation publique de chaque institution nommée ou affectée reste incomplète. Les reportages doivent préserver cette distinction.

Il existe aussi un problème de mesure autour de l’autonomie. Un modèle peut exécuter de nombreuses commandes tandis qu’une personne conçoit toujours le framework, choisit les cibles, fournit les identifiants et approuve les actions décisives. Compter les commandes ne révèle pas qui contrôlait l’intention de l’opération.

L’estimation d’Anthropic de 80 % à 90 % concerne le travail tactique au sein d’une campagne spécifique. Elle ne signifie pas que le modèle détenait 90 % de chaque décision importante. L’entreprise a indiqué que des humains étaient intervenus à plusieurs moments critiques, lesquels pouvaient inclure des choix à la valeur stratégique disproportionnée.

De même, 5 317 commandes exécutées par l’IA ne démontrent pas que chacune était utile. Les agents peuvent répéter des actions, rencontrer des erreurs ou générer des étapes inutiles. Le volume brut capture l’activité, pas la compétence.

Les systèmes d’IA commettent aussi des erreurs susceptibles d’exposer les attaquants. Ils peuvent mal interpréter une sortie, choisir des techniques bruyantes, inventer des conclusions ou documenter trop minutieusement des détails sensibles. Check Point a découvert certains aspects de VoidLink notamment parce que des artefacts de développement et des erreurs opérationnelles ont créé de la visibilité.

Les contrôles des fournisseurs peuvent toujours compter. La surveillance des abus observe des schémas sur plusieurs comptes qu’une cible individuelle ne peut pas voir. Des anomalies de rythme, des prompts d’exploitation répétés, une utilisation suspecte d’outils et une infrastructure partagée peuvent appuyer les enquêtes et les perturbations.

La cartographie des menaces liées à l’IA publiée par Anthropic a analysé 832 comptes bannis pour des violations de politique liées à la cybersécurité entre mars 2025 et mars 2026. Elle a constaté que 560 comptes, soit 67,3 %, utilisaient l’IA pour des préparatifs liés aux malwares.

La plupart des acteurs observés n’opéraient pas au niveau de GTG-1002. Anthropic a constaté que le scaffolding agentique, c’est-à-dire les logiciels et l’architecture entourant un modèle, distinguait plus clairement les activités les plus risquées que le nombre de techniques demandées.

Ce constat soutient une conclusion mesurée. Les abus assistés par l’IA sont généralisés, mais les opérations profondément autonomes restent un sous-ensemble plus avancé. Le danger réside dans le fait que ce sous-ensemble devienne plus facile à reproduire.

La distribution via Google News peut aplanir ces distinctions en un titre dramatique. « L’IA mène des cyberattaques » est utile dans son orientation, mais techniquement incomplet. L’intention humaine, les systèmes vulnérables, les accès volés, le code d’orchestration et les contrôles faibles continuent de façonner chaque cas documenté.

Les défenseurs ne devraient ni écarter ces incidents comme du marketing ni considérer la compromission autonome comme inévitable. Les preuves justifient des investissements dans une détection plus rapide, une gouvernance plus solide des agents et des contrôles de sécurité fondamentaux. Elles ne justifient pas l’abandon de la revue humaine ni l’octroi d’un accès illimité aux agents défensifs.

Trois signaux à surveiller ensuite

Le prochain test consistera à déterminer si les attaques agentiques deviennent reproductibles entre différents acteurs, cibles et fournisseurs de modèles.

Le premier signal est la vérification indépendante des incidents. Les chercheurs en sécurité devraient rechercher des cas où les données des points d’extrémité, les enregistrements réseau, la télémétrie des fournisseurs et les signalements des victimes confirment tous le rôle opérationnel en direct d’un agent. Des preuves répétées dans des enquêtes non liées renforceraient la thèse de Check Point.

Les indicateurs publics comptent également. Ils permettent à d’autres organisations de rechercher dans leurs environnements et à des équipes indépendantes de tester l’attribution. Si les futurs rapports restent dépendants des observations internes d’un seul fournisseur, la confiance dans la tendance générale progressera plus lentement.

Le deuxième signal est l’action des fournisseurs contre la manipulation persistante des agents. Les assistants de programmation consomment automatiquement les fichiers de dépôt, les descriptions d’outils et le contexte du projet. Les fournisseurs ont besoin de contrôles de confiance plus clairs sur ces entrées, notamment des avertissements, des limites d’autorisation, des indicateurs de provenance et une exécution restreinte.

Il faudra observer si les agents commerciaux commencent, par défaut, à séparer le contenu non fiable des instructions opérationnelles. Une isolation plus robuste affaiblirait les attaques reposant sur des fichiers de configuration implantés. Des contournements persistants dans plusieurs produits renforceraient l’idée que l’architecture des agents demeure le point faible durable.

Le troisième signal est le temps de réponse des défenseurs. Les organisations devraient mesurer le temps nécessaire pour inventorier un service exposé, appliquer un correctif, révoquer des identifiants, enquêter sur une activité d’outil suspecte et contenir les mouvements latéraux. Ces indicateurs opérationnels révèlent si la défense s’adapte à des attaques plus rapides.

Un écart croissant entre la divulgation et la remédiation favoriserait les attaquants, même sans modèles plus capables. Un écart qui se réduit montrerait que l’automatisation, la priorisation et la gouvernance peuvent compenser une partie de l’avantage agentique.

Les responsables de la sécurité devraient également distinguer l’usage approuvé de l’IA des activités malveillantes. Check Point indique que l’organisation moyenne de son jeu de données utilisait 10 applications d’IA chaque mois, souvent sans approbation formelle. L’entreprise a signalé que les prompts à haut risque avaient doublé, passant de 2 % à 4 %, au cours de l’année précédente.

Ces prompts peuvent contenir des informations d’entreprise, personnelles, réglementées ou liées à des identifiants. La plupart représentent un comportement ordinaire d’employés plutôt qu’une intrusion. Le programme de sécurité a donc deux missions liées : empêcher les adversaires d’utiliser l’IA et encadrer les employés qui l’utilisent.

Une interdiction générale offre rarement une visibilité fiable. Le personnel peut se tourner vers des comptes personnels ou des services non approuvés. Les organisations ont besoin de règles claires sur les données, d’outils approuvés, de contrôles d’accès, de journalisation et de flux de travail qui préservent le contexte sans exposer de contenu sensible.

Les équipes qui examinent un flux rapide de découvertes de sécurité ont également besoin de preuves internes durables. Une base de connaissances d’ingénierie consultable peut relier les avis de sécurité, la responsabilité des actifs, les décisions prises lors d’incidents et les dossiers de remédiation, sans dépendre de conversations éparses.

La question pratique n’est pas de savoir si chaque alerte Google News prédit une intrusion autonome. Elle consiste à déterminer si votre organisation peut identifier un agent qui se déplace dans ses systèmes avant que son opérateur n’atteigne la prochaine décision critique. Examinez où les agents IA s’exécutent, à quoi ils peuvent accéder et quelles actions contournent l’approbation humaine. Testez ensuite si votre équipe peut contenir une intrusion au rythme d’une machine avec ses outils et ses effectifs actuels.