L’IA offensive change les règles de la cybersécurité des infrastructures critiques

Pour les infrastructures critiques, l’IA offensive n’est pas seulement une nouvelle menace. Elle modifie aussi le rythme auquel la cyberdéfense doit fonctionner. Le temps dont disposent les défenseurs pour agir se réduit et la cybersécurité doit devenir un processus continu fondé sur une évaluation permanente des menaces et des risques. S’adapter à ces changements a un coût. 

C’est pourquoi l’adoption de l’IA en cyberdéfense ne se justifie qu’au regard des gains mesurables qu’elle génère.

L’IA offensive : de quoi parle-t-on ?

Le terme recouvre deux catégories de technologies. La première détecte les faiblesses des logiciels et les transforme en exploits fonctionnels. Cette technologie  permet également aux défenseurs d’identifier et de  corriger les failles avant qu’elles ne soient exploitées par les attaquants. La seconde mène elle-même l’attaque, au moyen d’agents qui s’adaptent à mesure qu’ils progressent.

Des agents de ce type sont déjà sortis d’environnements de test contrôlés et ont mené des actions non autorisées contre des systèmes et des organisations réels, sans qu’aucun attaquant humain ne les dirige. Plusieurs rapports parus depuis juillet 2026 décrivent ces incidents, notamment ceux d’OpenAI, d’Anthropic et du UK AI Security Institute.

Les deux catégories s’appuient sur les modèles les plus avancés, dits « de frontière », ainsi que sur des modèles « à poids ouverts » (open weight), que chacun peut télécharger, exécuter et modifier.

Premier défi : moins de temps pour se défendre

Pour les défenseurs, le changement le plus important est la réduction du temps pour réagir. La plupart des programmes de cybersécurité supposent que l’on dispose du temps nécessaire pour évaluer, planifier et déployer un correctif avant qu’une faille ne soit exploitée. Or, selon VulnCheck, près de 30 % des vulnérabilités connues pour être exploitées en 2025 l’ont été le jour même de leur publication, voire avant. Avec l’IA, les attaquants peuvent repérer et exploiter les failles bien plus vite.

Les pratiques de sécurité éprouvées restent valables, mais elles doivent désormais être mises en œuvre à la vitesse de la machine. Le droit européen est lui aussi passé à des délais qui se comptent en heures. Depuis le 11 septembre 2026, le Cyber Resilience Act impose aux fabricants de notifier dans les 24 heures toute vulnérabilité activement exploitée affectant l’un de leurs produits numériques. La directive NIS 2 oblige déjà les organisations des secteurs critiques à alerter les autorités dans les 24 heures en cas d’incident important.

Second défi : du périodique au continu

Les scans trimestriels, les tests d’intrusion annuels et les campagnes mensuelles de correctifs ont été conçus à une époque où les défenseurs disposaient de plusieurs semaines pour corriger une faille avant le début des attaques. Mais les attaquants d’aujourd’hui n’attendent ni le prochain scan ni le prochain cycle de correctifs. Une organisation qui s’appuie encore sur ce rythme périodique risque de prendre du retard. Il devient donc nécessaire de passer  d’une logique périodique à une approche continue, automatisée et pilotée par le risque.

Les fenêtres de maintenance restent adaptées à certains systèmes, mais toutes les failles critiques ne peuvent pas attendre la prochaine. L’évaluation continue soulève alors un nouveau défi : comment hiérarchiser des milliers de vulnérabilités. A mesure qu’il devient plus facile de détecter des failles, l’enjeu principal n’est plus de les trouver, mais de déterminer lesquelles corriger en priorité. 

Pourtant, beaucoup d’équipes hierarchisent encore les vulnérabilités selon leur score de sévérité. Un critère plus pertinent consiste  à se demander si une faille est déjà exploitée et si un attaquant pourrait l’atteindre dans les systèmes concernés. Concrètement, une faille modérée sur un serveur exposé peut représenter un risque plus important qu’une faille critique dans un composant désactivé.

Infrastructures critiques : le cas le plus difficile

Dans les infrastructures critiques, la dette technique, héritée de  systèmes et de logiciels vieillissants,  est devenue un risque opérationnel. 

Face à l’accélération des menaces, la plupart des organisations cherchent à réduire leurs délais de correction. 

Dans ce secteur, c’est souvent impossible. Les équipements  restent souvent en service pendant des décennies, les systèmes certifiés peuvent perdre leur certification s’ils sont modifiés, les fenêtres de maintenance sont rares et certains composants ne sont plus supportés. Dans les environnements industriels, chaque mise à jour doit être testée avec la plus grande prudence, car une erreur peut interrompre la production ou affecter la sûreté. 

Autrement dit, le défi ne tient pas à un manque d’efforts ou de ressources, mais aux caractéristiques mêmes de ces environnements.

L’IA aggrave les effets de cette dette technique. Trouver des failles dans des systèmes et des firmwares anciens exigeait autrefois des compétences rares et un investissement important en temps. Aujourd’hui, les attaquants peuvent automatiser une grande partie de ce travail, y compris sans accès au code source. Pour les opérateurs qui ne peuvent pas appliquer de correctifs, l’enjeu devient alors de surveiller les vulnérablités réellement accessibles à un attaquant. 

Les opérateurs dépendent aussi les uns des autres et de composants partagés, si bien qu’une seule compromission peut se propager bien au-delà de son point de départ. Les tensions géopolitiques accentuent la pression sur deux fronts. L’agence de l’Union européenne pour la cybersécurité, l’ENISA, indique que les systèmes OT exposés sur Internet restent des cibles de grande valeur pour tous les types d’attaquants : des outils d’attaque plus rapides et moins coûteux y ont donc leur importance. 

Par ailleurs, une stratégie de cyberdéfense dépendante d’un fournisseur unique d’IA reste vulnérable à des restrictions d’exportation ou à des évolutions de politique. Les opérateurs doivent donc conserver la liberté de s’appuyer sur plusieurs modèles.

« Les systèmes de nos clients sont construits pour durer des décennies et rigoureusement certifiés. Ce sont des atouts, et nous pensons que la sécurité doit être conçue autour d’eux. »
Christophe Bianco, Vice-président, Thales Cybersecurity Services

Notre vision : cinq piliers pour une défense continue

Pour suivre le rythme de menaces de plus en plus automatisées, les organisations doivent concidérer la cybersécurité comme une fonction continue, et non comme une juxtaposition de mesures isolées.

Chez Thales, nous structurons cette réponse autour d’une transformation globale  qui apporte  la visibilité nécessaire pour prioriser les risques et éclairer la décision à chaque étape. Cette approche s’appuie sur cinq piliers complémentaires. Pour chacun d’eux, la défense assistée par l’IA a un coût de fonctionnement et n’est pas une fin en soi : son adoption doit se traduire par un gain mesurable en réduction du risque, en rapidité d’exécution ou en capacité opérationnelle.

1. Sécuriser les applications 

Alors que l’IA accélère le développement logiciel et élargit la surface d’attaque, les organisations doivent renforcer la sécurité de leurs applications, existantes comme nouvelles. Cela suppose d’intégrer la sécurité dès la conception et tout au long du cycle de déploiement, tout en industrialisant les processus de remédiation.

2. Détecter et répondre à vitesse machine

Le délai entre la compromission et l’impact s’est réduit. Les équipes de sécurité doivent donc pouvoir investiguer, prioriser et contenir les menaces à la vitesse de la machine, tandis que l’humain supervise le processus et se concentre sur les décisions critiques, les investigations complexes et le contrôle stratégique.

3. Connecter les opérations de sécurité au sein d’une plateforme unifiée

La détection, la gestion des vulnérabilités, le renseignement sur la menace et la gestion des surfaces d’exposition ne peuvent plus fonctionner en silos. En réunissant ces fonctions au sein d’une plateforme unifiée,  appuyé par des agents d’IA, les organisations  peuvent identifier et  traiter les risques plus rapidement.

4. Tester et évaluer en continu

Les organisations ont besoin d’une vision actualisée de leur niveau d’exposition et de tests réguliers démontrant que leurs défenses restent efficaces, afin que leurs dépenses de sécurité soient à la mesure des menaces auxquelles elles sont réellement confrontées.

5. Protéger ce que l’on ne peut pas corriger

Lorsqu’un système ne peut être ni modernisé, ni corrigé, ni remplacé, les organisations doivent en réduire l’exposition,  l’isoler lorsque c’est possible et mettre en place des mesures compensatoires adaptées. Une approche Zero Trust permet de contenir une éventuelle compromission et de préserver la continuité des services essentiels.

Par où les décideurs peuvent-ils commencer ? 

Automatiser la cyberdéfense 

L’IA offensive comprime les délais d’attaque : la défense doit donc, elle aussi, gagner en vitesse. L’automatisation peut accélérer la détection, l’investigation et la réponse, tout en réservant le jugement humain aux décisions les plus critiques.

Traiter la dette technique comme un enjeu de résilience

Les environnements hérités constituent un risque opérationnel autant qu’un défi technologique. Lorsqu’ils ne peuvent être modernisés ou corrigés rapidement, les organisations doivent les identifier, les prioriser et mettre en place des mesures permettant de réduire leur exposition et de limiter leur impact potentiel.

Préserver son autonomie stratégique

La gestion des dépendances est désormais une priorité à part entière. Le choix des modèles d’IA, des environnements d’hébergement et des fournisseurs technologiques doit être guidé par la criticité des activités, les exigences réglementaires et la nécessité de garantir la résilience et l’autonomie à long terme.

Rien de tout cela ne dépend d’une technologie unique. Le passage à une défense continue relève de l’organisation, de la gouvernance et du financement de la sécurité, et les premières décisions reviennent aux dirigeants. 

Pour les infrastructures critiques, la défense continue ne consiste pas à aller plus vite à tout prix, mais à s’aligner sur la vitesse de la menace tout en préservant la stabilité, la sûreté et la résilience dont dépendent les services essentiels.