D’après une étude du secteur, les entreprises adoptent aujourd’hui l’intelligence artificielle plus vite qu’elles n’arrivent à la sécuriser. Dans les environnements cloud et IA, 99,9 % des vulnérabilités qui pourraient être corrigées restent encore ouvertes.
Le diagnostic est sec : à en croire cette même étude, le problème tient moins à la nouveauté de la technologie qu’à un manque de rigueur sur les bases de la cybersécurité.
Et l’écart entre détection et remédiation continue de s’élargir.
Toujours selon cette analyse, les environnements cloud et IA observés font remonter près de 25 vulnérabilités confirmées par jour en moyenne. En face, les équipes de développement n’en corrigent qu’environ 1,5 sur la même durée.
Même quand un correctif existe déjà, son déploiement complet demande encore entre 3 et 5 mois, d’après l’étude.
Cette lenteur arrive au moment même où plus de la moitié des organisations ont déjà mis des agents autonomes en production. Une part comparable se sert aussi de l’IA pour créer des applications développées en interne, toujours selon l’étude sectorielle.
Le résultat est assez simple : l’infrastructure grossit plus vite que les mécanismes de défense.
Et le plus frappant, c’est que le problème ne se limite pas aux vulnérabilités logicielles.
L’étude explique que beaucoup de services sont encore déployés avec des contrôles de sécurité trop faibles : chiffrement absent, droits d’accès trop larges, visibilité partielle sur les dépendances logicielles ou sur les actifs exposés dans le cloud.
Pour les experts cités dans l’étude, l’intelligence artificielle ne fabrique pas forcément des attaques entièrement nouvelles. Elle aggrave surtout des failles déjà connues depuis longtemps. Un contrôle d’accès mal réglé ou un composant qui n’est plus maintenu devient tout de suite plus dangereux dès qu’il est relié à des modèles d’IA, à des données sensibles ou à des agents capables d’agir seuls.
En face, les attaquants accélèrent aussi.
Selon l’étude sectorielle, les outils appuyés sur l’intelligence artificielle servent déjà à automatiser le phishing, à rendre les malwares plus adaptatifs et à repérer des vulnérabilités plus vite, quasiment en temps réel.
L’une des projections citées par l’étude parle de 28 millions d’incidents cyber liés à ces technologies en 2025, soit 72 % de plus en un an. Mieux vaut quand même regarder ce chiffre avec prudence.
Cette dynamique inquiète particulièrement, toujours selon l’étude, les secteurs liés aux infrastructures critiques et les PME. Beaucoup restent freinés par des systèmes anciens, des chaînes d’approvisionnement complexes et des moyens de défense plus limités.
Dans des régions moins documentées, comme l’Afrique, l’Amérique latine ou l’Asie du Sud-Est, l’adoption rapide pourrait aussi dépasser les capacités locales en cybersécurité, souligne l’étude sectorielle.
Les responsables de la sécurité appellent donc à une approche plus terre à terre : obtenir une vue d’ensemble des environnements cloud et IA, automatiser la prévention et renforcer les fondamentaux, depuis les correctifs jusqu’à la gestion des identités.
Des réponses commencent malgré tout à apparaître.
Des entreprises comme Anthropic, Amazon Web Services (AWS), IBM et Microsoft ont rejoint la coalition Akrites, créée pour repérer, divulguer et corriger les failles dans les logiciels open source.
Aux États-Unis, le département du Trésor américain et la Cybersecurity and Infrastructure Security Agency (CISA) publient eux aussi des recommandations consacrées à la cybersécurité de l’intelligence artificielle.
Le message, au fond, est limpide : la course au déploiement ne peut plus se faire en sacrifiant la sécurité de base.
Suivez-moi sur Twitter : @pierrevitre
