Comment choisir le bon partenaire en IA et en sécurité des applications

Louise ScullyResponsable senior du marketing produit, sécurité de l’IA et renseignement sur les menaces | F5

L’intégration de l’IA dans les applications rend plus difficile que jamais le choix d’un partenaire en cybersécurité. Malheureusement, les organisations ne peuvent pas repousser cette décision. Les attaquants, eux-mêmes équipés d’outils d’IA, détectent et exploitent les vulnérabilités plus rapidement que jamais.

Les applications enrichies par l’IA susceptibles d’être attaquées ne manquent pas. Selon le rapport F5 2026 sur l’état des stratégies applicatives, 98 % des organisations se préparent à l’IA agentique. Cependant, 77 % de ces mêmes organisations s’attendent à rencontrer des difficultés pour gérer l’accès des agents d’IA. Et seules 28 % déclarent simplifier les flux de travail des développeurs grâce à un point de gestion unique de l’IA.

Ce décalage entre l’adoption de l’IA et sa sécurisation soulève une question importante : comment les organisations doivent-elles étendre la sécurité des applications afin de protéger celles qui intègrent l’IA ? Pour répondre à cette question, il est utile de comprendre dans quels domaines la sécurité traditionnelle des applications reste essentielle et dans quels autres l’IA introduit de nouvelles exigences de sécurité.

L’évolution des fondamentaux de la sécurité des applications

La sécurité des applications protège les applications et les API contre les vulnérabilités, le trafic malveillant, les abus et les activités non autorisées. Lors de l’exécution, les organisations utilisent des dispositifs tels que les pare-feu d’applications web (WAF), la sécurité des API, la gestion des bots et la protection contre les attaques par déni de service distribué (DDoS) afin de sécuriser les applications et les services qu’elles exposent.

Les architectures logicielles modernes ont complexifié ces processus. Les applications actuelles se composent de nombreux services plus petits qui communiquent par l’intermédiaire d’API. Ces services sont souvent répartis entre plusieurs fournisseurs de cloud public, des centres de données sur site et des sites en périphérie. Chaque connexion sur ce parcours constitue un point d’entrée potentiel pour les attaquants.

La protection moderne des applications web et des API (WAAP) regroupe généralement quatre contrôles d’exécution essentiels :

• WAF : Inspectent le trafic HTTP et HTTPS et contribuent à bloquer les attaques visant la couche applicative avant qu’elles n’atteignent les applications.
• Sécurité des API : Détectez et protégez les API, y compris les endpoints fantômes et non gérés, tout en identifiant les activités malveillantes ou abusives liées aux API.
• Gestion des bots : Distinguez les automatisations légitimes des bots malveillants et contribuez à prévenir l’extraction de données, le bourrage d’identifiants, la prise de contrôle de comptes et d’autres abus automatisés.
• Atténuation des attaques DDoS : Protégez la disponibilité des applications contre les attaques visant à submerger les applications et les services.

Les applications intégrant l’IA présentent des risques que les contrôles traditionnels de sécurité des applications n’ont pas été conçus pour traiter. Pour les protéger, il ne suffit pas d’ajouter de nouvelles règles à un WAF existant.

Les contrôles traditionnels de sécurité des applications évaluent principalement les protocoles, les requêtes, le code, les schémas de trafic et les techniques d’attaque connues. L’IA introduit une difficulté supplémentaire : des instructions malveillantes peuvent être transmises au moyen de prompts en langage naturel syntaxiquement valides. Les contrôles de sécurité doivent donc également comprendre le contexte et l’intention.

Cette nouvelle approche d’attaque oblige les organisations à mettre en place des contrôles spécialement conçus pour encadrer les prompts et les réponses de l’IA, les données sensibles, l’accès aux modèles ainsi que les interactions avec les agents et les outils, tout en régissant l’utilisation de l’IA par l’ensemble du personnel.

Comment la sécurité des applications s’étend à l’IA

Les technologies traditionnelles de sécurité des applications restent essentielles pour les applications intégrant l’IA, mais leur rôle diffère de celui des solutions de sécurité spécialement conçues pour l’IA. Voici comment les approches courantes s’intègrent dans l’architecture de sécurité globale. Pour une comparaison plus approfondie de certaines entreprises et de leurs capacités, cliquez ici.

WAF cloud natifs

Les WAF cloud natifs continuent de protéger la couche des applications web et des API, mais l’inspection traditionnelle des WAF ne suffit pas à contrer de nombreuses menaces propres à l’IA. Certains fournisseurs de services cloud associent donc leurs fonctionnalités WAF à des services de sécurité de l’IA distincts qui analysent les invites et les réponses, détectent les tentatives d’injection d’invites et de contournement des restrictions, protègent les données sensibles et appliquent des garde-fous propres à l’IA.

Avantages

• Intégration native à l’infrastructure : Les WAF proposés par les fournisseurs de services cloud permettent généralement une intégration native à l’écosystème du fournisseur concerné, ce qui simplifie le déploiement et la gestion des pare-feu.
• Intégration de la sécurité : Les WAF basés dans le cloud peuvent souvent être intégrés à d’autres fonctionnalités de cybersécurité, reposant sur l’IA ou plus traditionnelles, dans le cadre d’une stratégie de défense en profondeur. Par exemple, vous pouvez facilement ajouter des services de protection contre les attaques DDoS, de gestion des bots, entre autres.
• Réseaux mondiaux : Les fournisseurs de services cloud disposent souvent de vastes réseaux mondiaux, qui permettent d’identifier les activités malveillantes et de réduire la latence des mesures d’atténuation des menaces. En outre, les fournisseurs de services cloud et les éditeurs de solutions de cybersécurité disposent souvent de laboratoires de recherche qui fournissent quotidiennement des renseignements sur les menaces afin d’orienter les règles du WAF.

Inconvénients

• Écosystème fermé : Les WAF proposés par les fournisseurs de services cloud protègent principalement les applications et les charges de travail d’IA hébergées dans leurs propres clouds.
• Contraintes de déploiement : Les WAF cloud natifs ne constituent pas toujours la solution la plus adaptée aux organisations disposant d’environnements multicloud ou hybrides.
• Complexité du réseau : Lorsque le trafic transite par le réseau d’un fournisseur, il peut être difficile de détecter les menaces ou d’autres problèmes liés à l’application. Par exemple, vous devrez peut-être examiner les configurations réseau, les paramètres DNS, le comportement de la mise en cache ou l’application elle-même afin d’en déterminer la cause profonde.
• Tarification à l’usage : Lorsque les fournisseurs facturent en fonction du nombre de règles ou de modules complémentaires sélectionnés, il peut être difficile de prévoir les dépenses.

Plateformes de diffusion et de sécurité des applications

Les plateformes de mise à disposition et de sécurité des applications aident les organisations à fournir, optimiser et protéger de manière cohérente les applications et les API dans des environnements distribués. Certains fournisseurs enrichissent ces plateformes de fonctionnalités de passerelle d’IA et de sécurité de l’IA afin de gérer le trafic d’inférence, de contrôler l’accès aux modèles et aux agents, et d’appliquer des mesures de sécurité propres à l’IA.

Avantages

• Flexibilité de déploiement : Certaines de ces solutions de protection de la mise à disposition des applications sont disponibles sous forme d’appliances sur site, dans le cloud et dans des configurations hybrides.
• Modèle de sécurité hybride : Ces solutions peuvent offrir une sécurité hybride qui combine une détection des attaques basée sur les signatures et un modèle de sécurité positif, lequel apprend le comportement habituel des applications, puis détecte les anomalies.
• Sécurité multicouche : Les solutions de protection de la mise à disposition des applications peuvent souvent être intégrées à d’autres offres de sécurité, telles que les WAF, ainsi qu’à des outils de gestion des bots, de visibilité à l’exécution, d’atténuation des attaques DDoS et de sécurité des API.
• Intégration de solutions tierces : Certaines solutions peuvent être intégrées à des WAF tiers, ce qui permet aux entreprises d’étendre leurs capacités tout en évitant la dépendance vis-à-vis d’un fournisseur.

Inconvénients

• Limites en tant que solution autonome : Malgré les intégrations avec des services tiers, certaines solutions conviennent surtout aux équipes qui utilisent déjà ce fournisseur pour déployer leurs applications. Si vous avez uniquement besoin de fonctionnalités de sécurité, opter pour ces solutions peut entraîner des coûts excessifs et une complexité inutile.
• Coûts supplémentaires : Certains fournisseurs proposent des fonctionnalités telles que la découverte d’API ou les services managés uniquement sous forme d’options payantes, ce qui augmente le coût total.

F5 AI Security Platform

La F5 AI Security Platform réunit la découverte, la gouvernance, les tests et la protection à l’exécution pour l’ensemble de l’IA d’entreprise. F5 Workforce AI Security offre une visibilité sur les usages autorisés et non autorisés de l’IA, notamment sur les modèles, les outils, les prompts et les données utilisés par les collaborateurs. F5 AI Gateway fournit un point de contrôle permettant de régir l’accès aux modèles, agents et outils d’IA. F5 AI Red Team utilise des tests adversariaux pour détecter les vulnérabilités et les faiblesses des systèmes d’IA, tandis que F5 AI Guardrails applique des politiques lors des interactions avec l’IA afin de contribuer à prévenir les fuites de données sensibles, les activités malveillantes et les violations des politiques.

Ensemble, ces fonctionnalités étendent la sécurité des applications aux nouveaux points de contrôle introduits par l’IA. La F5 AI Security Platform étend la stratégie F5 Application Delivery and Security Platform (ADSP) à l’IA d’entreprise, en associant une sécurité spécialement conçue pour l’IA aux fonctionnalités éprouvées de F5 en matière de sécurité des applications et des API.

Fonctionnalités principales :

• Tests continus : Red teaming détecte les vulnérabilités et y remédie automatiquement.
• Protection à l’exécution : Les équipes peuvent mettre en place des garde-fous pour se protéger contre les menaces à l’exécution, telles que l’injection de prompts et le contournement des restrictions.
• Création simplifiée de politiques : Les fonctionnalités de traitement du langage naturel permettent aux équipes de créer facilement des politiques et des contrôles personnalisés.
• Sécurité des effectifs utilisant l’IA : Les organisations peuvent détecter l’IA fantôme, classer les workflows selon leur finalité et encadrer les usages au moyen de contrôles applicables.

La plateforme AI Security est un composant essentiel de la F5 Application Delivery and Security Platform (ADSP), qui offre des fonctionnalités avancées de sécurité et de gestion du trafic pour les applications et les API. Déployable partout, la plateforme permet aux entreprises d’intégrer la sécurité de l’IA à la sécurité des applications sans complexité supplémentaire.

Questions fréququemment posées

Un WAF peut-il protéger une application d’IA ?

Un WAF reste un élément important de la protection d’une application intégrant l’IA, car l’application et ses API demeurent exposées aux attaques web traditionnelles. Toutefois, la protection offerte par un WAF ne suffit pas à contrer les risques propres à l’IA, tels que l’injection de prompts, le contournement des garde-fous, les sorties de modèle malveillantes ou les comportements dangereux des agents. Les organisations doivent mettre en place des contrôles de sécurité spécifiques à l’IA en complément des protections traditionnelles des applications web et des API.

Comment la sécurité de l’IA complète-t-elle la sécurité des applications ?

La sécurité des applications protège les applications, les API et le trafic qui prennent en charge les systèmes d’IA. La sécurité de l’IA ajoute des contrôles spécialement conçus pour la couche d’IA, notamment des tests contradictoires des modèles et des agents, l’inspection des requêtes et des réponses, la protection contre l’injection de requêtes et les fuites de données, la gouvernance de l’accès aux modèles et aux outils, ainsi que la visibilité sur l’utilisation de l’IA au sein de l’entreprise.

Quel est l’impact de l’intégration de l’IA sur la sécurité des applications ?
La sécurisation des applications intégrant l’IA ne se limite pas à l’ajout de nouvelles règles à un pare-feu d’applications web (WAF). La sécurité traditionnelle des applications et des API reste essentielle, mais l’IA introduit des risques supplémentaires au niveau des modèles et des interactions. Les organisations doivent également mettre en place des garde-fous pour les requêtes et les réponses de l’IA, tester les modèles et les agents face à des attaques contradictoires, régir l’accès aux modèles et aux outils, protéger les données sensibles et conserver une visibilité sur la manière dont l’IA est utilisée dans l’ensemble de l’entreprise.

En savoir plus sur la F5 AI Security Platform.

À propos de l’auteur

Louise ScullyResponsable senior du marketing produit, sécurité de l’IA et renseignement sur les menaces | F5

Louise Scully est Senior Manager en marketing produit pour la sécurité de l’IA et le renseignement sur les menaces chez F5. Au cours de sa carrière, elle a exercé dans les domaines du marketing produit, de la gestion de produits, de la stratégie de mise sur le marché, de la communication, du leadership d’opinion et du développement de catégories, dans les secteurs de la sécurité de l’IA et des technologies d’entreprise. Avant de rejoindre F5, Louise a dirigé le marketing chez CalypsoAI et Artomatix, contribuant à la commercialisation de technologies et de travaux de recherche en IA.

Autres articles de Louise Scully