Cybersécurité : pourquoi l’identité devient la cible n°1 avec l’IA

Face à l’explosion du nombre d’identités, liée à l’avènement du cloud et maintenant de l’IA, une nouvelle approche de la cybersécurité doit être développée. Lors d’un Angle d’Attaque organisé par Riskintel Media et modéré par Yasmine Douadi, Olivier Eyries, PDG de Saporo, a discuté de la sécurisation des systèmes d’information et la manière dont elle est amenée à évoluer avec l’avènement de l’IA. 

‍En 2024, 80% des attaques informatiques passaient par l’identité. Ce chiffre est susceptible d’avoir augmenté au cours des deux dernières années, compte tenu du développement d’IA toujours plus performantes, permettant aux attaquants d’exploiter des vulnérabilités dont les victimes n’avaient même pas connaissance. Le modèle Mythos d’Anthropic a ainsi autant suscité les craintes que les espoirs des experts cyber, conscients du risque associé à une telle puissance de détection des vulnérabilités, mais aussi des opportunités pour renforcer les moyens de cyberdéfense.
‍

L’identité n’est pas devenue la principale surface d’attaque du jour au lendemain. Le nombre d’identités avait déjà fortement augmenté avec l’avènement du cloud et des applications SaaS. À ces identités humaines s’ajoutent des agents IA toujours plus nombreux et qui constituent des identités non-humaines pouvant être exploitées par les attaquants pour compromettre un système. La surface d’attaque devient incontrôlable. Les RSSI peinent à déterminer ce qui compose leurs systèmes d’information et qui y a accès. Olivier Eyries revient sur cette problématique et sur la nécessité d’adopter une approche plus proactive lorsqu’il s’agit de cybersécurité. Mettant en avant l’importance de prioriser certains atouts, il évalue les gains que l’IA peut apporter, ainsi que les perspectives liées aux questions de souveraineté.
‍

Visibilité et proactivité : une nouvelle stratégie pour des menaces en mutation 
‍

L’approche proactive aux enjeux de cybersécurité part d’un constat simple : une approche défensive et/ou réactive ne suffit pas. Comme le résume Olivier Eyries, « les vulnerability scanners [...], c’est bien de les avoir, mais c’est souvent trop tard. L’attaquant, quand il est là, il peut prendre deux minutes, trois minutes pour faire une escalade en interne. Les détections en moyenne, ça peut prendre entre 12 et 18 mois. Les vulnerability scanners, c’est bien, mais il y a 40 000 nouvelles vulnérabilités par an qui sont découvertes, donc on a toujours un temps de retard. Donc malgré les investissements massifs sur ces sujets-là, il n’y a pas eu vraiment d’investissements sur la proactivité, la sécurité proactive des environnements critiques par lesquels passent tous les attaquants aujourd’hui ».

À lire aussi : Ransomware : pourquoi restaurer trop vite est une erreur fatale

La proactivité exige aussi une meilleure visibilité des différentes identités qui composent le système qu’on souhaite protéger. Au lieu de penser comme un défenseur, il s’agit de se mettre à la place de l’attaquant. « La difficulté aujourd’hui pour les défenseurs, explique Olivier Eyries, c’est qu’ils pensent en listes. Ils voient des séries de vulnérabilités ou des séries de mauvaises configurations sur ces identités. Ce qu’ils n’ont pas, c’est la vue qu’à l’attaquant, c’est-à-dire la vue en graph. L’attaquant n’a besoin que d’un compte et puis à partir de ce compte va visualiser quels sont les chemins d’attaque les plus courts pour aller un compromettre un compte de tier zero ou un compte admin. Ce que fait Saporo, c’est de la cartographie de ces chemins d’attaque à grande échelle pour que la défense puisse voir son environnement de la même manière que le verrait un attaquant et donc savoir quel chemin couper avant qu’il ne soit utilisé ». Au-delà d’identifier un lien entre deux identités, le graph peut permettre de visualiser la manière dont une identité peut être exploitée pour en compromettre une autre dix étages au-dessus. Cette vision proactive n’a rien d’inédit. En 2014, John Lambert, à l’époque chef du centre de threat intelligence de Microsoft et aujourd’hui RSSI de l’entreprise,  tenait déjà le discours suivant : « les attaquants pensent en graph, les défenseurs pensent en listes. Tant que ça sera le cas, le combat sera perdu d’avance ».
‍

Le passage d’une approche réactive à une approche proactive bouleverse également des processus de cybersécurité utilisés depuis des décennies, tels que les audits. « Ce qu’on essaye de faire maintenant, résume Olivier Eyries, c’est d’automatiser la remédiation sur la base de règles très contextuelles à chaque entreprise pour faire en sorte que ça ne soit pas juste un audit tous les six mois, un audit tous les douze mois, mais qu’on rentre vraiment dans une logique de “dès qu’on problème apparaît, il est réglé.” Et ça, ça va tout changer ». 
‍

Gagner en visibilité grâce à l’utilisation de graph permet ainsi aux organisations de mieux anticiper les menaces et optimiser leurs défenses en conséquence.  
‍

Choisir, c’est renoncer : une priorisation nécessaire 
‍

Face à l’essor des attaques liées aux identités, les RSSI doivent se rendre à l’évidence : la sécurité absolue et le risque zéro ne sont que des illusions qui ne peuvent pas constituer des bases solides pour la défense. Pour s’adapter à la menace, il faut tout d’abord accepter l’état d’esprit qu’Olivier Eyries décrit. Selon lui, « il y a toujours une asymétrie entre l’attaque et la défense. L’attaquant n’a besoin que d’un chemin d’attaque, alors que la défense en a peut-être parfois des centaines de millions. Il y a toujours une asymétrie. Il y a une asymétrie dans les vulnérabilités. On l’a vu avec Mythos. Il y a beaucoup de vulnérabilités qui ont été trouvées, pas qui ont été patchées mais qui ont été trouvées. Donc il y aura forcément toujours un temps de retard. Donc tout ce qu’on peut faire, c’est accepter que l’attaquant puisse rentrer parce qu’il rentrera toujours et s’assurer que tout ce qui compte dans un environnement critique soit sécurisé et que personne ne puisse y accéder ». Parmi les éléments qui comptent, « il y a des tier zero qui sont des comptes admin à très haute valeur ajoutée : si eux tombent, tout tombe. Il y a des comptes qui manipulent des données sensibles. Tout ça est normalement cartographié ou classifié au moment du RGPD : on sait qui devrait avoir accès à quoi. Et avec ces éléments-là, on peut dire quelles sont les cibles critiques ».

Une fois cet état d’esprit de priorisation nécessaire adopté, la cartographie des identités peut donner lieu à des mesures contraignant les plans de l’attaquant, parfois de manière considérable quand la bonne vulnérabilité a été identifiée. Olivier Eyries explique que les systèmes d’information les plus importants peuvent contenir jusqu’à trois millions d’identités, ce qui « peut représenter jusqu’à un milliard de chemins d’attaque. Et la particularité de ce qu’on fait, c’est de trouver des goulets d’étranglement par lesquels convergent beaucoup de chemins d’attaque. Chez une organisation qu’on a dû défendre il n’y a pas si longtemps, on a pu fermer un goulet de chemins d’attaque qui représentait en une seule permission environ 50 millions de chemins d’attaque. Donc en une action, on a pu enlever 50 millions de chemins d’attaque potentiellement utilisables par l’attaquant pour devenir admin en l'occurrence ».
‍

L’IA : un ame changer à relativiser ?
‍

Dans le domaine de la détection des vulnérabilités, l’IA est évidemment susceptible d’apporter de grands changements. Les derniers mois ont été marqués par les actualités autour de Mythos, l’IA dont la puissance serait telle que son développeur aurait été contraint de limiter son déploiement.
‍

Olivier Eyries ne nie pas les résultats associés à Mythos, mais cherche à mettre le discours officiel d’Anthropic en perspective : « il y a quelques centaines de milliers de vulnérabilités qui ont été découvertes [par Mythos], certaines qui dataient d’il y a 22 ans, d’autres 18 ans, d’autres 17 ans [...] Ce qu’on voit, c’est qu’il y a beaucoup de gens qui se sont dits qu’ils allaient se faire remplacer. En fait, c’est un vulnerability scanner qui a vu beaucoup de vulnérabilités, mais moins d’1% d’entre elles ont été patchées. Donc il y a “voir,” il y a l’observabilité, et ça de plus en plus d’outils, y compris IA, vont pouvoir le faire, parce que “voir” c’est pas si compliqué quand on a accès à toutes les données. Ce qui est dur, c’est après de venir patcher. Chaque entreprise a son contexte, chaque entreprise peut tolérer ou non certaines vulnérabilités. Et c’est ça qui manque aujourd’hui à l’IA pour devenir vraiment utile, c’est qu’elle puisse patcher par elle-même dans le contexte de chaque entreprise ».

À lire aussi : Protection des données : comment sécuriser le nouvel « or noir »

Une des raisons pour lesquelles l’IA n’est pas encore en capacité de patcher des vulnérabilités elle-même, c’est parce qu’une telle action peut être lourde de conséquences et nécessite une compréhension du contexte dans lequel la décision doit être prise. « Quand on parle de patcher des accès, des permissions, des chemins d’attaque, des mauvaises configurations, on a besoin de connaître le contexte, explique Olivier Eyries. On a besoin de savoir pourquoi ces chemins existent. On a besoin de savoir s’il y a une utilisation par les utilisateurs de ce service, de cette application, de cette machine, etc. On a besoin de se demander pourquoi ça a été mis en place. On ne peut pas le savoir sans poser de questions à l’humain, en fait, et donc il y a un vrai besoin de contexte. En ce qui nous concerne, on juge que pour avoir du contexte, il faut du graph. Si on regarde toutes les consolidations dans le secteur de la cybersécurité, on voit que le graph joue un rôle central pour apporter ce contexte. Si on a ce contexte, alors oui, l’IA peut venir aider, assister à la remédiation et automatiser ». Il manque donc encore quelques compétences à l’IA pour qu’elle puisse atteindre les espoirs des experts cyber.
‍

Souveraineté : une nécessité mais aussi une opportunité
‍

Dans un contexte géopolitique marqué par de fortes rivalités entre grandes puissances et la montée des politiques révisionnistes, les perspectives dans la cybersécurité comme dans d’autres domaines peuvent sembler incertaines. Face à de tels enjeux, Olivier Eyries affirme être « un grand défenseur du principe de souveraineté. Je pense qu’il faut penser à l’échelle européenne. Si on pense pays par pays, on a déjà perdu la bataille parce qu’on a des marchés trop petits pour espérer atteindre une taille critique sur la scène mondiale en restant cantonnés à nos pays. On voit qu’il y a des changements brutaux de considération. On voit le gouvernement français qui annonce qu’ils vont complètement lâcher l’Active Directory pour passer sur Linux, ce qui est un énorme chantier. On voit des préférences maintenant nationales dans un premier temps, puis européenne dans un deuxième temps, puis reste du monde pour l’achat de solutions de cybersécurité ou de cloud providers. On voit des clouds souverains numériques qui apparaissent de plus en plus, donc on voit que ça devient vraiment une vraie considération politique et au-delà de la politique, il commence à y avoir des effets. C’est très récent. C’est totalement lié au changement d’administration aux États-Unis. Il faut savoir que la cybersécurité, c’est ultra dominé par des solutions israéliennes et des solutions américaines, qui sont souvent la même chose – des solutions israéliennes qui se font racheter par des Américains. Et donc on a peur du kill switch, en fait, en Europe. On a peur qu’un jour on nous éteigne le bouton. Donc on a besoin absolument d’être en mesure de protéger des solutions des entreprises, critiques notamment, ou dans le domaine hospitalier, ou dans le domaine des données sensibles avec des solutions qui sont basées ici. Effectivement, c’est un combat parce que c’est David contre Goliath. Ce n'est pas les mêmes moyens, ce n’est pas les mêmes réputations, les mêmes marques, mais techniquement, je peux garantir que les solutions européennes sont, si pas à niveau, très souvent au-dessus ».

La quête d’autonomie, au-delà d’être perçue comme une nécessité pour s’adapter au contexte international, peut aussi représenter une opportunité commerciale pour les entreprises comme Saporo. « Un marché qui est intéressant pour les Européens aujourd’hui, explique Olivier Eyries, c’est le Moyen-Orient. Pourquoi ? Parce qu’il y a aussi beaucoup de conséquences de ce qu’il se passe en ce moment [ndlr, l’émission a été enregistrée début mai 2026, un peu plus de deux mois après le début des affrontements entre les États-Unis et Israël d’un côté, et l’Iran de l’autre] sur la confiance de certains pays – des Émirats notamment, du Qatar, de l’Arabie saoudite – vis-à-vis des solutions israéliennes ou américaines. Donc il y a beaucoup d’enjeux d’acheter européen aujourd’hui ».
‍

Dans un monde marqué par l’incertitude, des mesures fortes et des investissements doivent être réalisés pour se préparer aux menaces de demain. Méconnue du grand public, l’identité constitue pourtant plus de trois quarts des cyberattaques et devrait donc recevoir davantage d’attention de la part des dirigeants d’organisations. Olivier Eyries ne remet pas en question la révolution que l’IA représente et reconnaît ses potentielles contributions dans le domaine de la détection et du traitement des vulnérabilités. Il souligne néanmoins les limites que les modèles actuels présentent et qui les empêchent pour l’instant de traiter des vulnérabilités critiques au même titre qu’un humain.