Sécurité à l’ère de l’IA : les attaques n’attendent pas votre PoC

Vendredi, 18 h 40. Un mail part du « DG ». La phrase est propre, le tutoiement collé au style maison, le lien vers la facture un peu trop urgent. Deux personnes cliquent. Personne n’a piraté le serveur. Quelqu’un a collé trois vrais mails dans un modèle, et a demandé « écris comme lui ».

Ce n’est plus de la science-fiction. Ce n’est pas non plus « toute la cyber a basculé ». Les rapports publics se contredisent un peu, et c’est tant mieux : ça évite le slide unique.

La question utile, pour une ETI, n’est pas « l’IA est-elle dangereuse ? ». C’est : est-ce que notre SI est encore pensé pour un humain lent, alors que l’attaque, elle, ne l’est plus ? Si la réponse est floue, un diagnostic sert à ça. Pas un livre blanc.

Ce que les chiffres disent — et ce qu’ils ne disent pas

On mélange souvent trois choses : le phishing écrit par un modèle, l’attaque qui vise un système d’IA, et l’agent qu’on a soi-même branché sur l’ERP. Ce n’est pas le même chantier.

• L’IA comme arme Textes, voix, malwares plus vite. Le SI n’a pas changé. Le volume, si.
• L’IA comme cible Modèles empoisonnés, paquets PyPI, fichiers de règles d’assistants de code. La chaîne d’approvisionnement logicielle, version 2025.
• L’IA comme habitant du SI Copilote, agent, MCP. Un compte qui agit. Souvent trop de droits, trop peu de traces.

L’ENISA Threat Landscape 2025 porte sur 4 875 incidents (1er juillet 2024 – 30 juin 2025) dans l’écosystème européen. Le phishing reste la porte d’entrée principale, autour de 60 % des cas d’intrusion observés. Et ceci, plus sec :

Dès le début de 2025, plus de 80 % de l’activité d’ingénierie sociale observée dans le monde s’appuyait déjà sur l’IA.

C’est l’ENISA qui l’écrit, en s’appuyant sur des sources ouvertes. Ce n’est pas « 80 % de toutes les attaques de la planète ». C’est l’ingénierie sociale. Le chiffre sert à une chose : arrêter de croire que le mail maladroit en anglais cassé est encore le signal.

IBM, dans le Cost of a Data Breach 2025, est plus comptable. Coût moyen mondial d’une fuite : 4,44 millions de dollars. Le phishing est le vecteur initial le plus fréquent (16 %), autour de 4,8 M$ par incident. Surtout : 16 % des fuites impliquaient déjà des attaques où l’attaquant utilisait l’IA (phishing, deepfakes). Et le trou côté défenseur : 97 % des incidents liés à l’IA concernaient des systèmes sans contrôles d’accès corrects. 63 % des organisations n’avaient pas de politique pour gouverner l’IA ou empêcher le shadow AI. Le shadow AI élevé ajoute en moyenne 670 000 $ au coût d’une fuite, par rapport à une organisation qui en a peu ou pas.

Verizon, dans le DBIR 2025, refuse le roman. Sur un échantillon d’e-mails malveillants suivi avec un partenaire, la part « assistée par IA » double en deux ans, d’environ 5 % à 10 %. Ils le disent : ce n’est pas une révolution mesurable partout. C’est une industrialisation en cours.

Les trois sources ne se tapent pas dessus. Elles ne mesurent pas la même chose. L’ENISA parle d’ingénierie sociale observée. IBM parle de fuites chiffrées. Verizon parle d’un corpus mail. Un DSI qui n’en cite qu’une a choisi son slide.

• > 80 % Ingénierie sociale avec IA (ENISA, début 2025)
• 60 % Intrusions par phishing (ENISA, jeu 2024-2025)
• 16 % Fuites où l’attaquant utilisait l’IA (IBM 2025)
• 97 % Incidents IA sans contrôles d’accès corrects (IBM)
• ~5 % → ~10 % E-mails malveillants assistés par IA (Verizon, 2 ans)
• 94 % L’IA, premier facteur de changement cyber (WEF Outlook 2026, enquête)

Le 94 % du Forum économique mondial est une opinion de dirigeants, pas un volume d’attaques. On le garde pour ce qu’il est : le sujet est entré au Comex, pas seulement au SOC.

L’attaque n’a pas besoin d’être « intelligente »

On aime les démos de malware qui se réécrit tout seul. En vrai, le gain est plus plat, et plus gênant.

Un opérateur qui vendait des kits Phishing-as-a-Service n’a plus besoin d’un rédacteur. L’ENISA décrit des plateformes (Darcula, Lucid, FlowerStorm) qui clonent des pages de connexion, y compris via iMessage ou RCS. L’IA s’y ajoute pour le texte, la voix, le visage. Le kit, lui, existait déjà.

IBM note qu’un e-mail de phishing qui prenait 16 heures à peaufiner tombe autour de cinq minutes. Ce n’est pas un exploit zero-day. C’est du temps humain en moins. À l’échelle d’une campagne, ça change le volume, pas la physique du réseau.

On a vu, de l’autre côté de la table, le réflexe inverse : « on a un filtre anti-phishing, donc c’est bon ». Le filtre attrape le français bancal. Il attrape moins le mail qui reprend le vrai ton de la compta, avec le vrai nom du dossier en cours. Là, la formation « ne cliquez pas sur les pièces jointes .exe » ne suffit plus. Il faut des chemins métier : double contrôle sur un IBAN, un canal hors mail pour les virements urgents. C’est ennuyeux. C’est ce qui marche.

Les agents malveillants autonomes, l’ENISA les signale depuis le début de 2025 : plus seulement un ChatGPT jailbreaké, des systèmes dédiés (WormGPT, FraudGPT, et d’autres). Mandiant / Google, dans M-Trends 2026, décrit des malwares qui interrogent un LLM en cours d’exécution pour se cacher, et des voleurs de secrets qui cherchent les outils d’IA déjà installés sur la machine (tokens GitHub, NPM). L’attaque utilise votre copilote, une fois à l’intérieur.

L’agent que vous avez déployé

C’est le sujet qu’on sous-estime, parce qu’il porte le tampon « innovation ».

Un chatbot qui résume une page Confluence, on peut en débattre. Un agent qui ouvre un ticket, lit un stock, envoie un mail, c’est un compte de service. Souvent créé pour la démo, avec la clé d’un admin, « on resserrera après le comité ». Après le comité, personne ne resserre.

On l’a déjà écrit pour MCP : sans outils bornés, le modèle n’a que le presse-papier. Avec des outils trop larges, il a le SI. Le milieu existe. Il se conçoit. Il ne se « prompt » pas.

1. Métier colle un fichier
2. SaaS d’IA non cadré
3. Prompt + pièces
4. Région inconnue
5. Pas de journal

Ce n’est pas un APT. C’est une fuite par copier-coller. IBM appelle ça du shadow AI. La CNIL, une perte de maîtrise.

La chaîne qu’on vise :

1. Identité nominative
2. Agent / outil borné
3. Droit par action
4. Journal
5. Arrêt humain

Si vous ne savez pas qui a appelé « exporter les clients » mardi à 21 h, vous n’avez pas un agent. Vous avez un trou.

Les assistants de code (Copilot, Cursor, et les autres) ont leur variante : l’ENISA mentionne le Rules File Backdoor — des instructions malveillantes glissées dans les fichiers de règles que l’assistant lit. Plus le slopsquatting : des paquets inventés par un modèle, enregistrés ensuite par quelqu’un de moins scrupuleux. Ce n’est pas « le développeur est nul ». C’est que la revue de code n’a pas été prévue pour des fichiers que personne n’a tapés.

Un ERP généré à l’IA avec une clé dans le front, on l’a déjà croisé. L’agent ne fait qu’accélérer le même oubli.

Cinq ans : pas de volume officiel, trois mouvements

On nous demande souvent « et en 2031 ? ». La réponse honnête agace les directions qui veulent un camembert.

Personne — ni l’ENISA, ni IBM, ni Verizon — ne publie un nombre d’attaques IA à cinq ans. Les courbes « ×10 d’ici 2030 » qu’on voit passer sont presque toujours des études vendeurs, pas des observatoires publics. On ne les reprend pas.

Ce qu’on peut écrire sans tricher :

1. Le coût unitaire baisse. Cinq minutes au lieu de seize heures, ce n’est pas un slogan. C’est une capacité de volume. Même si le taux de clic ne bouge pas, le nombre de tentatives, lui, peut bouger.
2. Les agents sortent du labo. 2025 : systèmes malveillants autonomes observés. 2026 : la CNIL publie une note sur l’IA agentique. Les cinq ans, côté attaquant, ce n’est pas « un Skynet ». C’est un opérateur qui enchaîne reconnaissance, mail, relance vocale, sans recruter trois stagiaires.
3. Le droit rattrape, lentement. Application progressive du Règlement européen sur l’IA jusqu’en 2027 pour une partie des obligations à haut risque. Ce n’est pas un pare-feu. C’est un calendrier. Qui n’a rien cadré en 2026 se retrouvera à documenter dans l’urgence.

Le Global Cybersecurity Outlook 2026 du Forum économique mondial (enquête, 94 % voient l’IA comme le premier moteur de changement ; 87 % citent les vulnérabilités liées à l’IA comme le risque qui a le plus crû en 2025) décrit une course, pas un décompte. 77 % des organisations disent déjà utiliser l’IA pour se défendre. La course n’est pas « les méchants ont l’IA, pas nous ». C’est : eux industrialisent, vous avez un PoC et un compte admin partagé.

À cinq ans, le scénario raisonnable n’est pas l’apocalypse. C’est plus de campagnes, plus propres, plus de deepfakes de direction, plus d’agents qui se trompent — ou qu’on a trop autorisés — et plus d’amendes si les données perso ont voyagé sans base légale. Le volume d’attaques suivra le prix de la génération. Votre surface, elle, suit le nombre d’outils que vous avez branchés sans revue.

Ce qu’un audit doit regarder (pas un scan de ports)

Un scan, on le lance un mardi. Un audit de sécurité « ère IA », c’est plus près d’un audit de projet : faits, droits, run.

1. Quels copilotes et agents sont en prod ? Noms, éditeurs, région, données qu’ils voient. Y compris ceux que l’IT n’a pas achetés.
2. Quels droits ? Lecture seule, écriture, export. Un agent « support » n’exporte pas le fichier client.
3. Qui arrête ? Un kill switch. Un humain. Un horaire. Si la réponse est « le stagiaire qui a la clé », ce n’est pas un run.
4. Où sont les secrets ? Fichiers `.env` dans le dépôt, tokens dans le navigateur, webhooks dans un Slack ouvert : on les a déjà trouvés. L’IA n’a fait qu’aider à les poser.
5. Quelle preuve RGPD ? Finalité, durée, sous-traitant, transfert. Pas un bandeau cookies. Un traitement.

SRE / DevSecOps à taille humaine, ça veut dire ça : journaux, secrets, un déploiement qu’on ose. L’IA n’ajoute pas une couche magique. Elle ajoute des comptes et des sorties de données.

Si vous ne savez pas répondre aux cinq questions en une page, vous n’avez pas un retard de « stratégie IA ». Vous avez un trou. Le diagnostic forfaitaire sert à écrire la page. La plupart restent sous 2 000 €. On annonce le périmètre avant.

Ce n’est pas un audit « pour faire plaisir à l’assureur ». C’est pour savoir, avant le mail du vendredi, si le clic suivant ouvre une facture — ou le SI.

AI Act, RGPD, CNIL : ce qui tient déjà, sans attendre 2027

On entend « on verra à l’AI Act ». C’est une mauvaise excuse. Le RGPD s’applique aujourd’hui. Un agent qui lit des dossiers RH n’attend pas 2027 pour devenir un traitement.

Le 20 juillet 2026, la CNIL et le CIANum publient une note exploratoire sur l’IA agentique. Points utiles, sans jargon de cabinet :

• L’agent agit à la place de l’utilisateur, avec une mémoire, plusieurs services, une chaîne parfois opaque. Risque de perte de maîtrise des données.
• Pas de régime spécial. RGPD + Règlement sur l’IA. La CNIL rappelle que le RIA s’applique déjà aux systèmes agentiques, même s’il n’a pas de chapitre « agents ».
• L’application complète du RIA est visée vers 2027 pour une partie des systèmes à haut risque. Ce n’est pas un sursis pour les AIPD.
• Des lignes directrices CEPD / Commission sur l’articulation RGPD ↔ RIA sont attendues d’ici fin 2026. En attendant, on ne bloque pas les projets. On documente : finalité, minimisation, droits des personnes, sous-traitants, région.

Transferts hors UE, modèles américains, logs chez l’éditeur : c’est du classique, juste plus fréquent parce que le métier colle un PDF « pour voir ». Le shadow AI d’IBM et la « perte de maîtrise » de la CNIL, c’est la même photo.

La responsabilité civile sur toute la chaîne (éditeur, intégrateur, déployeur) reste floue — la CNIL le dit, après le retrait de la directive responsabilité IA en 2025. Ce n’est pas une raison pour ne rien tracer. C’est une raison de plus pour savoir qui a fait quoi.

Par où on commence

Pas par un outil. Par une liste.

Les trois copilotes réellement utilisés. Les dossiers qu’on y a mis. Les agents en test. Les comptes. Un humain qui a le droit de tout couper. Ensuite seulement : durcir, borner, ou arrêter.

Si la liste n’existe pas, elle sort d’un diagnostic. C’est le livrable. Pas un score. Une décision : on laisse, on borne, on héberge autrement, on gèle.

L’IA n’a pas rendu la sécurité « nouvelle ». Elle a rendu l’à-peu-près plus cher, et plus visible. Le mail du vendredi arrivera de toute façon. La question est de savoir s’il trouvera un SI encore pensé pour 2019 — ou un run que quelqu’un assume.