La récente vague de gros titres concernant l'utilisation de systèmes d'IA tels que Claude à des fins de piratage s'inscrit dans un schéma désormais familier. Cette technologie est présentée comme une avancée nouvelle et intrinsèquement dangereuse. C'est une vision intuitive, d'autant plus que circulent des exemples d'utilisation de l'IA pour générer des e-mails de hameçonnage, automatiser la reconnaissance ou faciliter l'écriture de code malveillant.

Cette interprétation exagère la nouveauté et minimise l'ampleur réelle des changements. L'IA n'introduit pas une catégorie d'attaques fondamentalement différente. Elle accélère et amplifie des techniques qui existent depuis des années, les rendant plus efficaces, plus accessibles et plus difficiles à distinguer d'un comportement légitime. Les méthodes sous-jacentes restent les mêmes : ingénierie sociale, usurpation d'identité, vol d'identifiants. Ce qui a changé, c'est la facilité et la régularité avec lesquelles elles peuvent être mises en œuvre.

Le véritable changement : l'accès plutôt que l'exploitation

Cette distinction est importante car elle modifie la nature du risque réel. L'efficacité croissante des attaques assistées par l'IA ne réside pas dans la mise au point de nouvelles méthodes de piratage, mais dans la capacité à y accéder de manière plus fiable. L'IA doit être considérée comme un multiplicateur de puissance appliqué à un modèle de menace déjà dominant.

Dans tous les secteurs, qu'il s'agisse de la communication gouvernementale ou des outils de collaboration d'entreprise, la tendance est la même. Les pirates s'attachent moins à contourner directement les mesures de sécurité techniques qu'à obtenir un accès d'apparence légitime. Une fois cet accès obtenu, les systèmes fonctionnent exactement comme prévu. Le pirate n'agit plus contre le système, mais à l'intérieur même de celui-ci.

Quand les modèles de sécurité échouent

Cette dynamique met en évidence les hypothèses qui sous-tendent les modèles de sécurité modernes. Depuis des années, les stratégies défensives mettent l'accent sur la prévention des intrusions : renforcement des périmètres, chiffrement des données en transit et sécurisation des terminaux. Ces mesures restent indispensables, mais elles reposent sur une distinction claire entre les menaces externes et les utilisateurs internes de confiance.

Les attaques basées sur l'IA brouillent cette frontière. Elles sont conçues pour passer les contrôles de sécurité initiaux, imiter une utilisation normale et hériter des autorisations associées à un compte piraté. Lorsque cela se produit, le système est techniquement sécurisé, mais reste vulnérable sur le plan opérationnel.

La fragilité de la confiance

Au cœur de cette question se trouve la manière dont la confiance est accordée et maintenue. La plupart des systèmes s'appuient sur des formes de vérification relativement simples : identifiants, sessions ou reconnaissance des appareils. Une fois l'utilisateur authentifié, le système lui accorde un accès étendu avec une validation continue limitée.

Ce modèle part du principe que la vérification initiale constitue un indicateur fiable de la légitimité à long terme. Cette hypothèse s'avère de plus en plus fragile. La confiance doit être évaluée en permanence ; elle ne peut être accordée une fois pour toutes et considérée comme acquise. À mesure que le coût de la mise en place d'une usurpation d'identité convaincante continue de baisser, les attaquants n'ont plus besoin d'une supercherie parfaite. Il leur suffit d'être crédibles une seule fois pour s'implanter durablement.

Pourquoi le chiffrement n'est pas la solution dans ce cas

Les implications de cette évolution dépassent le cadre d'une simple plateforme. Elles concernent tout environnement où l'accès est synonyme de confiance, notamment les systèmes de communication, les outils internes et les environnements de données partagées. Dans les systèmes de communication en particulier, une faille dans l'accès permet aux attaquants d'agir au sein même des conversations sécurisées plutôt qu'en dehors de celles-ci.

Le chiffrement reste essentiel, mais il ne résout qu'une partie du problème. Il sécurise les informations en transit, mais il ne détermine pas qui est autorisé à participer, ni n'empêche toute utilisation abusive une fois l'accès obtenu. Dans les environnements critiques, cette distinction est importante. Protéger le canal ne suffit pas si l'identité des participants eux-mêmes ne peut être vérifiée en permanence.

Les organisations peuvent se retrouver dans une situation où leurs systèmes sont sécurisés d'un point de vue technique, mais vulnérables dans la pratique.

Repenser le modèle

Pour combler cette lacune, il faut changer de perspective. Les modèles de sécurité doivent tenir compte de ce qui se passe une fois l'accès accordé, et pas seulement de la manière dont il est obtenu.

Cela nécessite une vérification continue de l'identité, un lien plus étroit entre les utilisateurs et les appareils fiables et vérifiés, ainsi qu'un contrôle plus précis des autorisations et des comportements. Cela nécessite également une meilleure visibilité sur l'utilisation des systèmes, afin de pouvoir détecter toute activité anormale, même lorsqu'elle provient d'une source apparemment légitime. Cela revêt une importance particulière au sein des canaux de communication fiables, où des utilisations abusives peuvent persister sans déclencher les alertes traditionnelles.

Ces modifications n'éliminent pas le risque de compromission, mais elles réduisent la probabilité qu'un seul accès réussi débouche sur une utilisation abusive prolongée ou non détectée.

L'IA comme multiplicateur de force

Il est tentant de présenter l'IA comme le principal moteur de ces défis, mais cela risque de masquer le véritable problème. L'IA renforce l'ampleur et la cohérence de certaines techniques d'attaque, mais elle n'en modifie pas l'objectif. L'objectif reste l'accès.

En se concentrant de manière trop restrictive sur la technologie, les organisations risquent de négliger les facteurs qui favorisent la réussite de ces attaques : une authentification insuffisante, une confiance limitée dans les appareils et des systèmes accordant des accès étendus sur la base d'une vérification minimale. Renforcer ces aspects s'avère en fin de compte plus déterminant que de tenter de restreindre les outils eux-mêmes.

Et maintenant ?

À mesure que l'IA continue d'évoluer, elle jouera sans aucun doute un rôle tant dans les pratiques de sécurité offensives que défensives. Cela s'inscrit dans la continuité d'une tendance de longue date selon laquelle les nouvelles technologies sont adoptées par les deux parties prenantes du secteur de la sécurité.

La question la plus importante est de savoir si les modèles utilisés pour définir et gérer la confiance évoluent au même rythme. Si ce n'est pas le cas, le fossé entre la sécurité technique et la réalité opérationnelle continuera de se creuser, exposant les organisations à des risques difficiles à détecter et encore plus difficiles à corriger.

Ce qu'il faut retenir, ce n'est pas que l'IA introduit des risques entièrement nouveaux, mais qu'elle rend les risques existants plus visibles et plus urgents. Les systèmes qui reposent fortement sur une confiance implicite, des vérifications peu fréquentes ou un accès peu contrôlé sont susceptibles de subir une pression croissante à mesure que le coût de la génération de tentatives d'accès convaincantes continue de baisser.

Dans ces contextes, l'efficacité de la sécurité dépend moins de la vulnérabilité des systèmes que de leur fiabilité dans des conditions d'exploitation réelles. Cela revêt une importance cruciale dans les environnements de communication à haut niveau de confiance, tels que la coordination des interventions d'urgence, les communications au plus haut niveau et les opérations gouvernementales, où la validation continue de l'identité des utilisateurs, de l'intégrité des appareils et du contexte d'accès est essentielle au maintien de la sécurité opérationnelle.

L'IA n'a pas changé la donne. Elle a simplement rendu ses faiblesses plus difficiles à ignorer.