Conférence Transformation IA — Jeudi 17 septembre 2026, 18h Je réserve ma place

Nous passons beaucoup de temps à expliquer aux dirigeants comment mettre un agent IA au travail. Il faut maintenant leur dire l’autre moitié : en face aussi, ils en ont. Et le premier cas documenté n’est pas une hypothèse de laboratoire, il est répertorié depuis dans la base de référence mondiale des modes opératoires d’attaque.

Le changement n’est pas que les attaquants utilisent l’IA pour écrire de meilleurs courriels de hameçonnage. Ça, c’est vrai depuis trois ans et ce n’est pas ce qui vous mettra en difficulté. Le changement, c’est qu’une intrusion peut désormais s’exécuter à la vitesse d’une machine pendant que votre défense continue de fonctionner au rythme d’une personne qui lit une alerte.

Une campagne où l’humain n’était plus l’exécutant

La campagne référencée C0062 par le MITRE ATT&CK, sous le nom d’Anthropic AI-orchestrated Campaign, s’est déroulée en septembre 2025 et a été détectée puis signalée par Anthropic en novembre 2025. Elle est attribuée à un acteur d’espionnage désigné GTG-1002, vraisemblablement lié à la Chine, et elle a visé environ trente entités dans la technologie, la finance, la chimie et le secteur public.

Le mode opératoire mérite qu’on s’y arrête, parce qu’il ressemble beaucoup à ce que nous construisons pour nos clients, à l’intention près. Les opérateurs ont découpé l’attaque en tâches discrètes, ont fabriqué des personas pour contourner les garde-fous du modèle, puis ont laissé des agents enchaîner les opérations avec une implication humaine minimale. Autrement dit : ils n’ont pas demandé à une IA de pirater quelqu’un, ce qu’elle aurait refusé. Ils ont découpé le travail en gestes anodins pris séparément, exactement comme on décompose un processus métier quand on veut le confier à un agent.

Dans son rapport State of Agentic AI Security and Governance publié le 1er juin 2026, l’OWASP GenAI Security Project estime que 80 à 90 % des opérations tactiques de cette campagne ont été exécutées par l’IA elle-même. L’humain restait au poste de supervision et d’approbation. C’est précisément le partage du travail que nous recommandons du côté défensif, retourné comme un gant.

Ce qui devient intenable : l’écart de vitesse

Le même rapport avance deux chiffres qui, mis côte à côte, résument le problème mieux qu’un long discours. Le temps de rupture, c’est-à-dire le délai entre la compromission initiale et le moment où l’attaquant se déplace latéralement dans le réseau, est descendu à 29 minutes. Et les fenêtres réglementaires de notification d’incident s’échelonnent de 4 heures sous le règlement DORA à 72 heures selon les textes.

Vingt-neuf minutes contre quatre heures. Quand vous remplissez votre notification, l’attaquant a déjà eu le temps de faire huit fois le tour de votre système d’information. Ce n’est plus une question d’outillage de sécurité, c’est une question d’ordre de grandeur.

Traduisons en gestes ordinaires. Une alerte tombe dans une boîte de réception à 14 h 12. La personne qui la reçoit est en rendez-vous et la lit à 14 h 40. Elle cherche à comprendre, appelle un prestataire, obtient une réponse en fin de journée. Sur cette même durée, une chaîne automatisée a eu le temps d’énumérer les comptes, de tester les accès, de repérer les partages ouverts et de commencer à recopier ce qui l’intéresse. Aucune des personnes impliquées n’a mal fait son travail. Elles ont simplement travaillé au rythme humain, dans une séquence qui ne l’est plus.

L’OWASP relève également une hausse de 89 % des attaques assistées par IA et note que les modèles de dernière génération réussissent désormais 60 % des défis de sécurité offensive de niveau expert. Les capacités qui demandaient une équipe spécialisée sont en train de devenir accessibles à un opérateur moyen équipé correctement.

Pourquoi une PME est concernée alors qu’elle n’intéresse personne

L’objection arrive toujours au même moment : tout cela vise des grands groupes et des ministères, pas un cabinet de conseil de douze personnes. C’est vrai pour l’espionnage ciblé. Ça ne l’est pas pour ce qui vient ensuite.

Ce qui rendait une PME peu intéressante, c’était le rapport entre l’effort et le gain. Attaquer une petite structure demandait presque autant de travail humain qu’attaquer une grande, pour un butin sans commune mesure. Ce rapport est en train de s’inverser : quand la reconnaissance, l’identification des accès faibles et l’exploitation sont automatisées, le coût marginal d’une cible supplémentaire tend vers zéro. Les petites structures ne deviennent pas des cibles intéressantes, elles deviennent des cibles rentables, ce qui revient au même du point de vue de celui qui les subit.

Nous le constatons déjà sur le terrain, à un stade plus rudimentaire. Les tentatives d’hameçonnage qui arrivent chez nos clients ne ressemblent plus à celles d’il y a deux ans : elles citent le bon nom de dossier, le bon interlocuteur, le bon montant, parce que les informations publiques d’une entreprise se collectent et se recoupent désormais sans effort. La qualité du ciblage a changé de niveau avant que la sophistication technique ne suive.

Il y a un second effet, plus direct. Vos agents à vous sont connectés à vos outils : votre messagerie, votre espace de documents, votre CRM. Un agent utile est par construction un point d’accès privilégié à tout ce qui compte dans l’entreprise. Nous détaillons ce point dans notre article sur la manière de donner accès à sa base de connaissances à un agent en toute sécurité, et il prend un relief particulier quand on sait que l’attaquant d’en face dispose des mêmes automatismes que vous.

Trois mesures qui tiennent dans une PME

Rien de ce qui suit ne demande une équipe de sécurité dédiée. Ce sont des décisions d’organisation, prises au moment où vous concevez vos agents.

Restreindre les droits de l’agent à ce dont il a besoin ce jour-là. Un agent de veille n’a pas besoin d’écrire dans votre CRM. Un agent qui rédige des comptes rendus n’a pas besoin d’accéder à la comptabilité. La question n’est pas de savoir si votre agent est digne de confiance, elle est de savoir ce qu’un attaquant obtiendrait s’il prenait sa place. Le raisonnement est le même que pour les garde-fous contre l’exfiltration de données.

Traiter les contenus entrants comme hostiles. Un agent qui lit vos courriels, vos PDF ou des pages web ingère du texte écrit par des tiers. Ce texte peut contenir des instructions destinées à l’agent, et non à vous. C’est le mécanisme que nous décrivons dans notre article sur les attaques par injection de prompt, et l’OWASP considère aujourd’hui qu’il s’agit d’un défaut structurel plutôt que d’un bogue que le prochain modèle corrigera. On ne l’élimine pas, on le contient en limitant ce que l’agent a le droit de faire de ce qu’il lit.

Réduire le délai de détection, pas seulement la surface d’attaque. Avec un temps de rupture de 29 minutes, une revue hebdomadaire des accès ne sert à rien. Ce qui sert : une alerte quand un agent sort de son périmètre habituel, et un journal consultable de ce qu’il a fait. Un agent qui écrit tout ce qu’il exécute vous donne, le jour de l’incident, la seule chose dont vous aurez vraiment besoin, à savoir une chronologie. Notre checklist d’audit de sécurité pour vos outils IA reprend ces points un par un.

Ce que ça change dans la conversation avec un dirigeant

Pendant deux ans, le débat sur l’IA en entreprise a porté sur le gain de productivité. La question qui arrive maintenant sur la table des comités de direction est différente et plus inconfortable : à quelle vitesse êtes-vous capable de réagir. Elle ne se règle pas en achetant un outil de plus, elle se règle en décidant à l’avance ce que vos agents ont le droit de faire, ce qu’ils journalisent, et qui est prévenu quand ils sortent du cadre.

Les entreprises qui s’en sortiront ne sont pas celles qui auront le plus d’agents. Ce sont celles qui savent exactement ce que les leurs ont fait hier.

L’IA propose, vous décidez.

Sources

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *