L’IA générative au service de la modélisation des menaces et de la réponse aux incidents

Caitlin Arnspiger

Il y a quelques années, la plupart d’entre nous associaient l’« IA générative » à des activités artistiques : peindre des portraits surréalistes, composer de la musique ou même écrire des nouvelles. Aujourd’hui, ces mêmes techniques génératives sont devenues de puissants outils de cybersécurité. Il est assez ironique de constater que la technologie autrefois utilisée pour créer des images fantaisistes de chats nous aide désormais à détecter des vecteurs de menace sophistiqués et à réagir à des incidents réels.

Mais cette convergence entre l’IA générative et la cybersécurité n’est-elle qu’un effet de mode ? Ou sommes-nous à l’aube d’une nouvelle ère pour la modélisation des menaces et la réponse aux incidents, qui pourrait réduire considérablement le délai moyen de détection et d’atténuation des attaques ? Je vais défendre l’idée que l’IA générative est en passe de changer la donne, tant pour identifier de nouvelles menaces que pour orchestrer des réponses efficaces et fondées sur les données. Toutefois, comme toute technologie émergente, elle comporte son lot d’écueils. Examinons cela de plus près.

Thèse : La capacité unique de l’IA générative à synthétiser des schémas, à anticiper de nouveaux vecteurs d’attaque et à automatiser les stratégies de réponse renforcera considérablement nos capacités de modélisation des menaces et de réponse aux incidents — mais seulement si nous relevons de front les défis liés à la fiabilité, à l’éthique et à la gouvernance des données.

Les cybermenaces évoluent à une vitesse fulgurante, et les systèmes traditionnels fondés sur des règles ou des signatures sont souvent à la traîne. Les modèles génératifs (comme les grands modèles de langage avancés) peuvent détecter des anomalies et formuler des hypothèses sur de futurs modes d’attaque potentiels, bien au-delà de ce que permettent les heuristiques conventionnelles. Cependant, ils introduisent également de nouvelles vulnérabilités, comme le risque d’« halluciner » des faux positifs ou de générer involontairement du code malveillant. Nous devons aborder ces capacités avec autant d’enthousiasme que de prudence.

Modélisation des menaces au-delà des signatures connues

Pourquoi utiliser l’IA générative pour la modélisation des menaces ?

Traditionnellement, la modélisation des menaces s’appuie sur les signatures d’attaque connues, les tendances historiques et l’expertise humaine. Mais l’essor des logiciels malveillants polymorphes, des vulnérabilités de la chaîne d’approvisionnement et des exploits zero-day rend les méthodes purement réactives insuffisantes.

C’est là qu’intervient l’IA générative. Si, dans le langage actuel, le terme « générative » renvoie souvent aux grands modèles de langage (LLM), il peut également englober d’autres algorithmes capables de produire de nouveaux schémas de données. Ces modèles détectent des corrélations subtiles dans d’immenses jeux de données de télémétrie — par exemple des séquences de commandes suspectes, des tentatives de déplacement latéral ou des schémas d’exfiltration. Surtout, ils ne se limitent pas aux données explicitement étiquetées comme « malveillantes ». Ils apprennent plutôt la distribution sous-jacente des comportements « normaux » et peuvent signaler des anomalies qui n’ont pas été explicitement répertoriées comme des menaces.

Cependant, la détection des anomalies n’est qu’une première étape. Si personne n’a qualifié certains comportements de malveillants ou de bénins, un LLM (ou toute autre approche générative) devra peut-être être associé à des classificateurs supplémentaires ou à des contrôles heuristiques afin de déterminer si un comportement est réellement malveillant ou simplement inhabituel. Par exemple, il pourrait supposer qu’un nouveau schéma de déplacement latéral est suspect, alors que certaines organisations utilisent légitimement un serveur de rebond rarement sollicité, ce qui rend l’anomalie inoffensive dans ce contexte. En définitive, l’IA générative excelle à faire émerger des possibilités qui échappent aux signatures conventionnelles, mais elle doit être associée à une logique décisionnelle robuste, automatisée ou pilotée par des humains, afin de déterminer quelles anomalies constituent de véritables menaces.

Un essai en conditions réelles : l’environnement sandbox de F5

Chez F5, nous avons mené une simulation contrôlée fin 2024 afin d’évaluer les performances potentielles d’un modèle d’IA générative dans un environnement de menaces en constante évolution. Nous avons fourni à l’environnement de test interne de F5 des données de journaux anonymisées provenant d’un environnement mutualisé, en y injectant délibérément de nouveaux schémas d’attaque encore jamais observés. Au départ, le modèle a généré quelques « fausses alertes » (ces modèles peuvent avoir tendance à s’emballer), mais au fil des entraînements successifs, il a commencé à détecter les anomalies avec une plus grande précision que notre système de référence fondé sur les signatures. Le plus impressionnant ? Il a également signalé des exploitations potentielles que même les analystes de notre équipe bleue n’avaient pas envisagées, comme certaines tentatives de déplacement latéral dissimulées dans des protocoles classiques de partage de fichiers.

Réduire le « délai moyen de remédiation »

Guides de réponse adaptatifs

Les modèles génératifs ne servent pas uniquement à la détection : ils peuvent rapidement élaborer des procédures d’intervention lorsqu’un incident survient. Imaginez-les comme des collaborateurs IA qui surveillent les journaux en temps réel, recoupent les renseignements issus de plusieurs sources de données et proposent un plan d’intervention coordonné.

Par exemple, si le système détecte une anomalie à haut risque, il peut recommander des politiques de pare-feu dynamiques ou la mise en quarantaine des machines virtuelles (VM) suspectes. Comme il tire des enseignements des incidents passés, ces recommandations s’affinent au fil du temps. Il s’agit d’une avancée majeure par rapport aux procédures statiques, qui sont rarement mises à jour après leur configuration initiale.

Orchestrer les outils à grande échelle

Nous avons récemment assisté à une vague d’intégrations de l’IA générative lors de grandes conférences sur la sécurité (comme Black Hat 2024 et le tout nouveau sommet AI-SecOps lancé cette année). Elles mettent l’accent sur des réponses « autonomes » ou « agentiques », dans lesquelles une couche d’IA orchestre en temps réel plusieurs outils de sécurité — SIEM, protection des terminaux, WAF. À l’heure où le multicloud est devenu la norme, un modèle génératif unique capable de coordonner les réponses aux menaces dans les environnements AWS, Azure et sur site devient particulièrement séduisant.

Mais il y a un hic : Si nous nous contentons d’automatiser des processus obsolètes ou inefficaces, nous risquons d’« échouer plus vite » au lieu d’améliorer notre posture globale de sécurité. En adoptant l’IA sans repenser les workflows fondamentaux, nous risquons d’accélérer l’exécution de procédures défaillantes. C’est pourquoi l’IA doit être considérée comme un catalyseur permettant de repenser notre approche de la sécurité et de la livraison, plutôt que comme un simple moyen d’accélérer ce que nous faisons déjà.

Il convient également de noter que ce n’est pas parce qu’un modèle génératif peut automatiser une réponse qu’il doit nécessairement le faire. Nous avons besoin de garde-fous et de procédures d’escalade afin de garantir que les humains restent impliqués dans les décisions critiques (comme l’isolement de segments entiers de la production). En bref, l’IA générative offre une occasion prometteuse de remettre en question les anciennes hypothèses et de concevoir des cadres de réponse aux incidents plus efficaces et adaptatifs, à condition que nous soyons prêts à revoir les fondements mêmes de nos processus, et pas seulement leur rapidité.

Tendances actuelles en 2025

• La guerre des LLM se poursuit : Les principaux fournisseurs de services cloud rivalisent pour proposer le grand modèle de langage (LLM) le plus « sécurisé », chacun affirmant avoir recours à un ajustement avancé pour réduire les hallucinations et améliorer la conformité.
• Projets open source : Des initiatives portées par la communauté (comme AI-SIGS ou ThreatGen) voient le jour et fournissent aux chercheurs en cybersécurité des frameworks open source permettant de créer des modèles génératifs de menaces personnalisés.
• Coup de projecteur sur la réglementation : Les nouvelles propositions de réglementation de l’UE sur l’IA classent les applications génératives de cybersécurité parmi les technologies « à haut risque », exigeant transparence et traçabilité explicite des données.

La période est exaltante : nous constatons une adoption croissante par les grandes entreprises et les acteurs de taille intermédiaire, désireux de dépasser les solutions existantes. Mais le déploiement précipité de l’IA générative peut poser problème si les organisations négligent des étapes fondamentales telles qu’une gouvernance rigoureuse des données, l’explicabilité des modèles et la mise en place de cadres de responsabilisation.

Hallucinations, confidentialité et dilemmes éthiques

Si les modèles génératifs peuvent impressionner par leurs déductions créatives, ils peuvent aussi « halluciner » des menaces plausibles, mais inexistantes. Une vague de faux positifs pourrait submerger votre équipe chargée des opérations de sécurité sous une avalanche d’alertes dénuées de sens. À terme, cela peut éroder la confiance dans les systèmes basés sur l’IA.

L’entraînement de modèles robustes nécessite des données — beaucoup de données. Selon la région, les lois sur la protection de la vie privée peuvent restreindre l’utilisation de certains journaux ou de certaines données de télémétrie. Il est essentiel de nettoyer ou d’anonymiser les données sensibles des utilisateurs afin d’éviter les problèmes de conformité et de garantir une utilisation éthique des données.

Nous ne pouvons pas ignorer le revers plus sombre de la médaille : des acteurs malveillants peuvent utiliser — et ont déjà utilisé — l’IA générative pour rédiger des e-mails d’hameçonnage convaincants, développer de nouvelles formes de logiciels malveillants ou découvrir plus rapidement des vulnérabilités zero-day. Alors que nous développons ces capacités défensives, nous devons partir du principe que les attaquants font de même à des fins offensives.

Adopter l’avenir

À l’avenir, l’IA générative pourrait devenir une composante standard de chaque boîte à outils SecOps, aussi étroitement intégrée que le sont aujourd’hui les scanners de vulnérabilités ou les systèmes de détection d’intrusion. Grâce aux progrès réalisés en matière d’explicabilité — notamment une plus grande transparence sur la manière dont l’IA parvient à ses conclusions — les équipes de sécurité seront davantage disposées à confier à l’IA une part plus importante du cycle de vie de la modélisation des menaces.

Nous pourrions également voir apparaître des coalitions mondiales de renseignement sur les menaces, au sein desquelles des modèles génératifs entraînés dans différentes organisations partageraient une partie de leurs connaissances tout en préservant la confidentialité. Cela pourrait permettre de réagir plus rapidement et de manière plus coordonnée aux attaques zero-day dans tous les secteurs.

Il convient néanmoins de rappeler que nous n’en sommes qu’aux prémices. Avant de s’appuyer sur l’IA générative dans des contextes critiques, les organisations doivent investir dans de bonnes pratiques en matière de données, des pipelines d’entraînement robustes et une gouvernance clairement définie.

Prêt à repenser la sécurité ?

L’IA générative a le potentiel de bouleverser les approches traditionnelles de la modélisation des menaces et de la réponse aux incidents. En analysant les tendances de manière innovante et en automatisant les stratégies de réponse, elle peut offrir une rapidité et une précision inégalées, à condition de relever les défis qui lui sont inhérents, tels que les hallucinations, la conformité et les garanties éthiques.

À propos de l’auteur

Caitlin Arnspiger

Autres articles de Caitlin Arnspiger