L'IA change la cybersécurité : l'identité est votre défense

L’intelligence artificielle transforme la cybersécurité des deux côtés du combat. Les équipes de sécurité l’utilisent pour automatiser la détection des menaces, accélérer les enquêtes et réduire la fatigue liée aux alertes. Les attaquants s’en servent pour mener des campagnes plus rapides, plus convaincantes et plus évolutives.

La question n’est plus de savoir si l’IA affecte votre stratégie de sécurité. C’est déjà le cas. La vraie question est de savoir si vos fondations peuvent résister à des attaques qui se déroulent désormais en minutes plutôt qu’en jours, et si vous savez ce qu’un identifiant volé est réellement autorisé à faire une fois qu’il fonctionne.

Cette deuxième question est une question d’identité. C’est aussi celle à laquelle la plupart des organisations ne peuvent pas répondre rapidement.

L’IA accélère des attaques connues, elle n’en invente pas de nouvelles

La plupart des analyses sur l’IA en cybersécurité portent sur de nouvelles techniques d’attaque. Les données mesurées pointent vers quelque chose de moins spectaculaire et plus actionnable : l’IA rend les attaques familières plus rapides et moins coûteuses, sans les rendre fondamentalement différentes.

Le Data Breach Investigations Report 2026 de Verizon a analysé l’activité des attaquants assistée par IA en collaboration avec Anthropic, couvrant 793 acteurs de menaces sanctionnés pour des violations de politiques entre mars 2025 et février 2026. Dans le cas médian, ces acteurs ont demandé l’aide de l’IA pour environ 15 techniques MITRE ATT&CK distinctes, et moins de 2,5 % des techniques observées ont été classées comme rares. L’activité liée à l’hameçonnage représentait 44 % de l’accès initial assisté par IA.

Autrement dit, les attaquants utilisent l’IA comme un outil opérationnel pour mettre à l’échelle des techniques que les défenseurs connaissent déjà, et non pour en débloquer d’inconnues.

Cela change vos priorités. Des tâches qui exigeaient autrefois des heures de préparation manuelle se font maintenant en quelques secondes : courriels d’hameçonnage personnalisés qui imitent le style d’un collègue, campagnes d’ingénierie sociale multilingues, recherche de cibles à partir de sources publiques, et deepfakes audio ou vidéo pour usurper l’identité de dirigeants. La barrière pour lancer une campagne efficace n’a jamais été aussi basse, et la fenêtre pour détecter un compte compromis avant le déplacement latéral continue de se rétrécir.

Les techniques sont reconnaissables. Le calendrier, lui, ne l’est plus.

Sur l’hameçonnage généré par IA : Comment l’hameçonnage propulsé par l’IA a changé l’apparence d’un courriel suspect

Les attaquants entrent par des vulnérabilités, puis se déplacent avec des identifiants

C’est ici que les données 2026 deviennent intéressantes, et que beaucoup de messages sur la sécurité des identités sont désormais dépassés.

Pour la première fois en 19 ans d’histoire du DBIR, l’exploitation de vulnérabilités est devenue le vecteur d’accès initial le plus courant, représentant 31 % des brèches, contre 20 % l’année précédente. L’abus d’identifiants comme vecteur initial autonome est tombé à 13 %. À lire seulement le titre, on conclurait que les menaces liées à l’identité reculent.

Les données complètes disent le contraire. Lorsque Verizon compte l’abus d’identifiants n’importe où dans la progression de la brèche, et non seulement à la première étape, il apparaît dans 39 % des brèches, plus que toute autre technique du jeu de données. Les identifiants volés restent stables à 36 % parmi les variétés d’actions. Dans les brèches de type System Intrusion, identifiants volés et vulnérabilités exploitées sont à égalité, à 39 % chacun.

Le schéma se fait en deux étapes :

1. L’entrée vient de plus en plus d’une application non corrigée, d’un fournisseur compromis, d’un service distant exposé ou d’un paquet malveillant.
2. Le déplacement vient encore des identifiants : mots de passe, clés API, jetons OAuth, identifiants de comptes de service, clés infonuagiques, jetons de déploiement, et tout privilège permanent qui y est attaché.

Cette distinction a une conséquence pratique que la gestion des vulnérabilités seule ne peut pas traiter. Vous pouvez corriger la faille, retirer le paquet malveillant et reconstruire l’hôte, et laisser quand même une clé API copiée ou un mot de passe de compte de service en circulation. Cet identifiant continue de fonctionner jusqu’à ce que quelqu’un le trouve et le révoque.

Le Digital Defense Report 2025 de Microsoft confirme le même point à partir d’un autre jeu de données : les attaques fondées sur l’identité ont augmenté de 32 % au premier semestre 2025, et plus de 97 % d’entre elles étaient des attaques de mots de passe à grande échelle (password spray et force brute contre des identifiants prévisibles et réutilisés).

L’identité n’est donc généralement pas la façon dont les attaquants entrent d’abord. En cybersécurité moderne, ils passent souvent par des vulnérabilités ou des services exposés, mais l’identité décide jusqu’où ils peuvent aller, à quelle vitesse ils se déplacent, et ce que la brèche coûtera au final.

C’est parce que le « périmètre » n’est plus une frontière réseau fixe. Les services infonuagiques, les utilisateurs distants, les applications SaaS et les charges de travail machine opèrent dans des emplacements changeants et des environnements dynamiques. Résultat : les contrôles d’identité et d’accès deviennent la couche d’application constante pour chaque requête, qu’elle vienne d’un portable, d’une session navigateur, d’un appel API ou d’un identifiant de charge de travail.

Corriger les failles réduit la chance que la porte s’ouvre. La gouvernance des identités détermine ce qu’il y a derrière : quels systèmes un attaquant peut atteindre, quels privilèges il peut abuser, et quels risques vous pouvez contenir avant que le déplacement latéral n’accélère.

Sur l’identité comme périmètre : Pourquoi l’identité est le nouveau périmètre, et comment les PME peuvent le défendre avec des ressources limitées

Les identités non humaines sont l’angle mort qui croît le plus vite

Une identité non humaine (aussi appelée identité machine ou identité de charge de travail) est toute entité qui détient des identifiants sans être une personne : comptes de service, applications, charges de travail, scripts, pipelines CI/CD, robots, et de plus en plus des agents d’IA. En sécurité de l’IA, ces identités permettent aux agents de s’authentifier aux systèmes, de récupérer des données, d’appeler des API et d’exécuter des actions autorisées dans les processus d’affaires, sans qu’un humain se connecte.

Les risques viennent de la façon dont ces identités sont généralement gérées : elles détiennent souvent des permissions élevées, n’ont pas toujours de contrôles d’authentification forts, et sont difficiles à suivre ou à révoquer rapidement. Lorsque les identifiants d’un agent d’IA sont partagés, trop privilégiés ou mal gouvernés, une compromission peut se transformer en accès rapide et évolutif, parce que l’agent continue d’agir avec les permissions qu’on lui a accordées.

Elles dépassent désormais le nombre d’identités humaines dans la plupart des environnements, et elles sont gouvernées beaucoup moins rigoureusement. Le rapport 2025 de Microsoft note que les attaquants déplacent délibérément leur attention vers les comptes de service et leurs identifiants, précisément parce que ces comptes combinent souvent privilèges élevés et contrôles faibles. Un compte de service a rarement une AMF, a souvent un mot de passe non roté depuis des années, dispose fréquemment de plus de permissions que sa fonction n’exige, et n’a généralement pas de propriétaire clair qui remarquerait un comportement étrange.

Quatre contrôles ferment la plus grande partie de cet écart :

1. Inventoriez-les. On ne gouverne pas ce qu’on n’a pas énuméré. Incluez les comptes de service, les comptes d’urgence, les clés API et les identifiants d’agents, et assignez un propriétaire nommé à chacun.
2. Limitez leurs permissions. Un compte de service ne devrait détenir que le jeu de droits le plus étroit requis par sa fonction, sur le plus petit ensemble de systèmes.
3. Gérez leurs secrets de façon centralisée. Placez les identifiants dans un coffre, faites-les tourner selon un calendrier, et éliminez les secrets partagés ou codés en dur.
4. Rendez leur activité auditable. Si une identité de charge de travail s’authentifie depuis un nouvel emplacement ou atteint des systèmes qu’elle n’a jamais touchés, quelqu’un doit le voir.

Les identités machine non gouvernées sont le moyen par lequel les attaquants traversent un environnement plus vite qu’une équipe ne peut répondre, et c’est la catégorie la plus susceptible d’être oubliée dans une revue d’accès construite autour des employés.

L’IA aide aussi les défenseurs, mais l’adoption est le goulot d’étranglement

Les équipes de sécurité tirent déjà une vraie valeur de l’IA. Les plateformes modernes corrélent des millions d’événements en temps réel, font ressortir des anomalies, regroupent des alertes liées et résument des incidents complexes en quelques secondes. Concrètement, les analystes passent moins de temps à trier et plus de temps sur les incidents qui comptent : prioriser les alertes à haut risque, accélérer la réponse, recommander des remédiations et automatiser le travail opérationnel répétitif.

L’écart est le déploiement, pas la capacité. Le sondage Devolutions sur l’état de la sécurité TI dans les PME a révélé que 71 % des PME prévoient d’augmenter leur usage de l’IA en cybersécurité, mais que seulement 25 % l’utilisent aujourd’hui et que 40 % n’ont pas encore commencé. Pendant ce temps, moins du tiers des répondants ont dit pouvoir identifier une attaque assez vite pour en limiter les dommages.

C’est le couple inconfortable : les attaquants ont déjà opérationnalisé l’IA, et la plupart des défenseurs l’ont encore sur une feuille de route.

Il faut aussi être clair sur ce que l’IA peut et ne peut pas corriger. Elle comprime le temps de détection et d’enquête. Elle ne compense pas des privilèges excessifs, des secrets non gérés, ou un compte admin que plus personne ne se souvient d’avoir créé. Un SOC assisté par IA qui détecte un compte compromis en 4 minutes plutôt qu’en 40 vous a acheté du vrai temps, mais seulement si les permissions de ce compte sont assez étroites pour que ce temps vaille quelque chose.

Sur la course à l’armement de l’IA : IA offensive vs IA défensive : qui a l’avantage en 2026

Les fondamentaux décident de votre rayon d’impact

Alors que l’IA domine la conversation, il est tentant de croire que la prochaine génération d’outils réglera le problème de fond. Ce ne sera pas le cas, pour une raison simple : les contrôles qui limitent les dommages après une compromission sont les mêmes qu’avant. Ce qui a changé, c’est la vitesse à laquelle un écart est trouvé et exploité.

Les organisations qui réduisent durablement le risque suivent une séquence reconnaissable :

• Appliquer le principe du moindre privilège, pour que chaque compte ne détienne que les droits exigés par son rôle
• Sécuriser les comptes privilégiés avec la gestion des accès privilégiés (PAM)
• Déployer une authentification multifacteur (AMF) résistante au hameçonnage sur les accès privilégiés et les systèmes critiques
• Gérer les secrets et les comptes de service de façon centralisée, avec rotation
• Réviser et certifier les accès utilisateurs selon un calendrier défini
• Surveiller l’activité privilégiée en continu
• Mettre en place un accès privilégié juste-à-temps (JAT) partout où l’accès permanent peut être retiré

Aucun de ces contrôles n’est nouveau. Deux d’entre eux ont un levier particulièrement élevé en ce moment.

Le premier est l’AMF résistante au hameçonnage : une authentification cryptographique forte qui utilise des clés d’accès, des clés de sécurité FIDO2 ou des méthodes fondées sur des certificats pour lier la connexion au service légitime et résister au relais d’identifiants. En pratique, un attaquant qui vole un mot de passe ne peut toujours pas terminer l’authentification, parce que le second facteur ne peut pas être rejoué ou relayé comme les codes à usage unique traditionnels.

Utilisez-la d’abord pour les comptes privilégiés et les systèmes critiques, puis étendez-la à l’accès distant et aux autres points d’entrée à haut risque où les identifiants volés ont le plus de chances d’être utilisés. C’est l’une des défenses à plus fort levier en cybersécurité, parce qu’elle réduit directement les risques créés par le vol d’identifiants : elle rompt le chemin entre « volé » et « utilisable », et limite les menaces qu’une compromission d’identité peut transformer en vraie activité de brèche.

Le second est la réduction des privilèges permanents. Le moindre privilège limite ce qu’un utilisateur, un compte de service ou une charge de travail peut faire; le contrôle d’accès fondé sur les rôles (RBAC) attribue les permissions selon la fonction, et non selon l’historique des demandes. Ensemble, ils plafonnent le nombre d’actions qu’un attaquant peut poser avec un identifiant qui fonctionne, contraignent le déplacement latéral et contiennent le rayon d’impact. Le même sondage a révélé que 52 % des PME gèrent encore les accès privilégiés manuellement (tableurs, coffres partagés, ou aucun système formel) et que seulement 32 % utilisent un outil PAM dédié. Les processus manuels introduisent des erreurs, brouillent la visibilité et retardent la révocation exactement quand la vitesse compte le plus.

Lorsque les attaquants automatisent la reconnaissance et l’élévation de privilèges, chaque permission inutile, chaque compte dormant et chaque secret non géré devient une opportunité trouvée plus tôt qu’avant.

Sur l’accès élevé : Comment PIM et PAM transforment l’élévation de privilèges en événements courts, auditables et gouvernés

L’accès conditionnel transforme l’identité en contrôle en temps réel

L’authentification à la connexion est une seule vérification à un seul moment. L’accès conditionnel et la vérification continue transforment l’identité en un contrôle permanent.

L’accès conditionnel évalue des signaux (identité de l’utilisateur, posture de l’appareil, emplacement, comportement et sensibilité de la ressource demandée) et décide d’autoriser, de restreindre ou de bloquer la requête. La vérification continue réévalue ensuite ces signaux pendant la session. Si le risque augmente en cours de session parce qu’un appareil n’est plus conforme, qu’un schéma d’emplacement semble impossible, ou que le comportement s’écarte de la baseline, le système peut exiger une authentification renforcée, réduire les permissions ou terminer la session.

La valeur, c’est le timing. Ces contrôles raccourcissent l’intervalle entre le vol d’un identifiant et le moment où cet identifiant cesse de fonctionner, soit l’intervalle que les attaques accélérées par l’IA sont conçues pour exploiter.

La visibilité est ce qui vous manque vraiment

La question la plus fréquente après un incident est d’une simplicité déconcertante : pourquoi ce compte avait-il encore accès?

La réponse est généralement la visibilité, pas la technologie. La plupart des organisations possèdent des outils capables de répondre à la question. Peu peuvent y répondre en quelques minutes.

Essayez ces cinq questions dans votre propre environnement :

• Qui détient actuellement des privilèges administratifs?
• Quels comptes privilégiés n’ont pas été utilisés depuis 90 jours ou plus?
• Quelles autorisations d’accès temporaire n’ont jamais été révoquées?
• Où sont stockés les identifiants des comptes de service, et quand ont-ils été rotés pour la dernière fois?
• Quelles identités peuvent atteindre vos systèmes les plus critiques aujourd’hui?

Si l’une de ces réponses prend des heures ou des jours, un attaquant qui travaille à partir d’un identifiant volé en sait plus sur votre environnement que vous. Une gouvernance solide des identités transforme ces questions en requêtes, plutôt qu’en enquêtes.

Sur ce qui s’en vient : Tendances cybersécurité 2026 : identité, IA et réponse aux incidents

Ce qui compte, ce n’est pas la quantité d’IA que vous avez

L’IA continuera d’évoluer des deux côtés. Les attaquants trouveront de nouvelles applications; les défenseurs continueront d’améliorer la détection, l’automatisation et la réponse. Cette course ne ralentit pas.

Mais les organisations qui s’en sortiront bien ne seront pas celles qui ont le plus d’IA. Ce seront celles qui ont le contrôle le plus serré sur les identités, les privilèges et les accès, parce que ce contrôle détermine le coût d’une brèche déjà commencée.

Chez Devolutions, nous traitons la sécurité des identités comme un pilier fondateur, et non comme une fonctionnalité. L’IA peut vous aider à détecter plus vite et à fonctionner plus efficacement. Elle ne peut pas remplacer une gouvernance disciplinée des identités ni de solides contrôles d’accès privilégiés.

Quand un incident survient, la question importante n’est pas de savoir si l’IA était impliquée. C’est ce que cette identité compromise était autorisée à faire.

Voir les données : Le rapport Devolutions sur l’état de la sécurité TI dans les PME : adoption du PAM, préparation à l’IA et lacunes de réponse aux incidents

Foire aux questions

Ces réponses courtes reprennent les questions d’identité qui comptent le plus quand l’IA accélère des attaques déjà connues : comment elles commencent, comment elles se propagent, et quels contrôles limitent vraiment les dommages.

L’IA crée-t-elle de nouvelles techniques d’attaque, ou seulement des versions plus rapides des techniques existantes?

Surtout des versions plus rapides. L’analyse du DBIR 2026 de Verizon sur 793 acteurs de menaces sanctionnés a montré que, dans le cas médian, les attaquants ont utilisé l’IA pour environ 15 techniques MITRE ATT&CK connues, et que moins de 2,5 % des techniques observées ont été classées comme rares. L’effet principal de l’IA est de comprimer le temps de préparation et d’augmenter l’échelle et la qualité d’attaques familières, en particulier l’hameçonnage, qui représentait 44 % de l’accès initial assisté par IA, plutôt que d’introduire des méthodes nouvelles.

Si l’exploitation de vulnérabilités est maintenant le premier vecteur d’accès initial, pourquoi la sécurité des identités compte-t-elle encore?

Parce que l’accès initial n’est que la première étape. Le DBIR 2026 a trouvé que l’exploitation de vulnérabilités représente 31 % des points d’entrée, mais que l’abus d’identifiants apparaît dans 39 % des brèches lorsqu’on le compte n’importe où dans la progression de l’attaque, plus que toute autre technique. Les attaquants entrent souvent par un système non corrigé, puis utilisent des identifiants volés pour se déplacer latéralement et élever leurs privilèges. La correction des failles contrôle si un attaquant entre; les contrôles d’identité et d’accès privilégiés déterminent jusqu’où il va et quels dommages il cause.

Qu’est-ce qu’une identité non humaine, et pourquoi est-ce un risque de sécurité?

Une identité non humaine est toute entité qui détient des identifiants sans être une personne : comptes de service, applications, charges de travail, scripts, pipelines CI/CD, robots et agents d’IA. Elles sont un risque parce qu’elles combinent généralement des privilèges élevés et des contrôles faibles : pas d’AMF, mots de passe rarement rotés, permissions plus larges que nécessaire, et aucun propriétaire clair pour surveiller le comportement. Le Digital Defense Report 2025 de Microsoft note que les attaquants ciblent de plus en plus les comptes de service pour exactement cette raison. Les gouverner exige un inventaire avec des propriétaires nommés, des permissions limitées, des secrets centralisés dans un coffre et rotés, et des journaux d’activité auditables.

Pourquoi le moindre privilège compte-t-il davantage contre les attaques propulsées par l’IA?

Le moindre privilège limite ce qu’un attaquant peut faire avec un identifiant qui fonctionne déjà, et l’IA raccourcit le temps entre le vol d’identifiants et l’élévation de privilèges. Quand la reconnaissance et l’élévation sont automatisées, chaque permission inutile est trouvée et utilisée plus vite qu’avant. Le moindre privilège et le contrôle d’accès fondé sur les rôles plafonnent le nombre d’actions disponibles après une compromission, restreignent le déplacement latéral et contiennent le rayon d’impact, ce qui détermine le coût d’un incident une fois que la détection a déjà été dépassée.

Quel est le contrôle d’identité le plus efficace à déployer en premier?

L’authentification multifacteur résistante au hameçonnage sur les comptes privilégiés et les systèmes critiques. Microsoft rapporte que plus de 97 % des attaques d’identité sont des attaques de mots de passe à grande échelle, et que l’AMF résistante au hameçonnage en prévient jusqu’à 99 %. Après l’AMF, l’étape à plus fort levier est de retirer l’accès privilégié permanent au profit d’une élévation juste-à-temps, ce qui réduit la fenêtre pendant laquelle un identifiant privilégié volé reste utilisable.