La réalité opérationnelle de la sécurité à l’ère de l’IA et la manière dont nous vous aidons à y faire face

Michael MontoyaDirecteur des opérations technologiques | F5

Note de la rédaction (14 octobre 2026) : F5 désigne désormais les « versions renforcées » sous le nom de « versions critiques ». Ce changement de terminologie reflète l’importance de ces versions et la nécessité de déployer la dernière version dès que possible.

J’ai consacré ma carrière à la cybersécurité, notamment à la direction des opérations de sécurité et en tant que RSSI, et je travaille aujourd’hui chez F5, où je dirige l’ensemble des opérations liées à l’IA et aux technologies. Cette perspective est importante, car le défi auquel nous sommes confrontés relève à la fois de la sécurité et des opérations.

Je sais ce que l’on ressent lorsqu’on se retrouve face à son conseil d’administration et qu’on vous demande si votre organisation est prête à faire face à une menace qui n’existait pas trois mois auparavant. Je sais ce que signifie mettre en balance le coût opérationnel d’un correctif et le risque de ne pas l’appliquer. Et je sais que les problèmes de sécurité les plus difficiles sont rarement ceux que l’on peut résoudre en achetant un outil supplémentaire. Ce sont ceux qui exigent de changer la façon dont votre organisation fonctionne.

Tout comme l’IA de pointe offre aux défenseurs de nouveaux moyens puissants de renforcer la sécurité des logiciels, elle permet aux attaquants d’identifier et d’exploiter plus rapidement les vulnérabilités découvertes. Dans l’ensemble du secteur, de nombreux fournisseurs adoptent un rythme de publication plus soutenu, car l’IA fait émerger des problèmes à une cadence que le modèle traditionnel de divulgation et de correction n’a jamais été conçu pour absorber.

Notre directeur des produits, Kunal Anand, a récemment présenté les changements apportés à notre rythme de publication : le passage à des versions renforcées mensuelles, suivies de notifications de sécurité mensuelles. La première de ces versions renforcées est disponible dès aujourd’hui. Je souhaite aborder ici la question qui empêche les RSSI de dormir : votre organisation est-elle réellement en mesure d’intégrer les correctifs qui arrivent désormais à un rythme plus soutenu ?

Détecter et corriger les vulnérabilités plus rapidement ne sert à rien si les correctifs ne peuvent pas être appliqués dans votre environnement. Une organisation médiane met 20 jours à déployer un correctif. Désormais, les attaquants exploitent les vulnérabilités en quelques heures, souvent avant même qu’elles ne soient rendues publiques. À mesure que chacun de vos fournisseurs accélère son rythme de publication, cet écart se creuse. Davantage de versions, provenant d’un plus grand nombre de fournisseurs, à une fréquence accrue, que doit gérer la même équipe aux ressources limitées.

C’est la charge opérationnelle qu’entraîne un rythme plus soutenu. Et si nous nous contentions de multiplier les versions sans vous aider à les intégrer, nous vous imposerions un problème au lieu de vous apporter une solution.

Rendre durable un rythme plus soutenu

Nous avons développé les capacités nécessaires pour rendre cela gérable, car la rapidité avec laquelle vous pouvez déployer un correctif fait désormais partie intégrante de votre posture de sécurité.

Aujourd’hui, parallèlement à notre première version renforcée, nous lançons de nouvelles fonctionnalités de gestion de parc dans F5 Insight for ADSP. Ces processus offrent aux équipes de sécurité et d’exploitation une visibilité sur l’ensemble du parc, une gestion guidée des mises à jour et la possibilité de passer de l’identification des risques à la mise en œuvre d’actions responsables dans de vastes environnements distribués F5 BIG-IP. Concrètement, elles disposent ainsi d’une vue unique indiquant quels appareils sont à jour, lesquels sont exposés et lesquels nécessitent une intervention, puis de processus guidés et de contrôles de préparation préalables à l’exécution pour les mettre à jour en toute sécurité et à grande échelle.

Pour les entreprises des secteurs réglementés, une autre dimension entre en jeu. À mesure que l’IA s’intègre aux opérations quotidiennes, vous devez consigner ce qui s’est passé : les éléments auxquels l’IA a accédé, ses recommandations, l’identité de la personne ayant approuvé l’action et le résultat obtenu. F5 Insight intègre désormais des contrôles adaptés aux exigences de gouvernance, tels que l’authentification d’entreprise, le contrôle des accès basé sur les rôles et une piste d’audit de l’IA permettant de détecter toute altération. La responsabilité de chaque action opérationnelle, qu’elle soit effectuée par une personne ou par une IA, est ainsi consignée.

Notre objectif est de faire d’un rythme mensuel non plus une contrainte opérationnelle, mais un processus courant, à faible risque et largement automatisé. Voici trois mesures que je vous recommande de prendre dès maintenant pour vous y préparer :

• Essayez gratuitement F5 Insight for ADSP. Déployez-le dès aujourd’hui pour obtenir une vue d’ensemble de l’état actuel de votre parc et profiter des nouvelles fonctionnalités de gestion de parc. Cette visibilité est indispensable pour tout le reste.
• Contactez les services professionnels de F5 pour automatiser les mises à jour. Notre équipe travaillera avec vous pour concevoir et mettre en œuvre un processus de mise à jour automatisé, à faible risque et adapté à votre environnement. Nous utilisons des collections Ansible certifiées, nous nous adaptons à vos exigences réglementaires, à vos configurations de haute disponibilité et à vos flux de trafic, et nous intégrons des étapes de validation et de test.
• Planifiez une démonstration guidée de F5 AI Red Team. Les mêmes capacités d’IA de pointe qui transforment les attaques peuvent être mises au service de votre défense. Contactez notre équipe pour découvrir comment AI Red Team vous permet d’identifier les failles potentielles dans vos propres applications avant qu’un adversaire ne les exploite, et de vérifier que vos contrôles sont réellement efficaces.

Ce que cela exige de vous et de nous

Le changement le plus important ici concerne l’état d’esprit. Dans un monde où les attaquants combinent des failles de moindre gravité pour créer de nouveaux exploits, la gravité d’un correctif pris isolément donne une mauvaise indication de son importance. Les organisations qui prospéreront seront celles qui considéreront le maintien à jour — c’est-à-dire l’utilisation de la dernière version renforcée — comme une discipline fondamentale de cybersécurité, et non comme une corvée de maintenance. Cela nécessite d’investir dès maintenant dans l’automatisation et la visibilité, avant que la pression n’atteigne son paroxysme.

De notre côté, nous nous imposons les mêmes exigences. Nous faisons de F5 le meilleur utilisateur de nos propres produits et le plus avancé. Nous exploitons notre propre infrastructure comme nous vous demandons d’exploiter la vôtre, avec la même rigueur, les mêmes outils et le même sentiment d’urgence. Nous ne vous demandons pas d’adopter une posture que nous n’avons pas nous-mêmes mise en œuvre.

Il s’agit d’une réponse structurelle à un changement durable dans la manière dont les logiciels sont attaqués et défendus. Le paysage des menaces continuera d’évoluer. Nous aussi, nous évoluerons, qu’il s’agisse de la manière dont nous détectons et corrigeons les vulnérabilités, dont nous vous aidons à déployer les correctifs ou des défenses à l’exécution qui vous protègent pendant la période précédant l’application d’un correctif.

Les plus grandes organisations mondiales placent F5 au cœur de leurs infrastructures les plus critiques. C’est une responsabilité que nous prenons très au sérieux et qui guide chacune de nos décisions.

Vous trouverez plus d’informations sur l’approche de F5 en matière de défense contre les menaces liées à l’IA de pointe ici.

À propos de l’auteur

Michael MontoyaDirecteur des opérations technologiques | F5

Michael est responsable de la stratégie et de sa mise en œuvre à l’échelle de l’entreprise afin de placer la sécurité et la résilience au cœur de ses activités. Il dirige les équipes de F5 chargées de la sécurité, des risques et des opérations numériques, garantissant ainsi une confiance opérationnelle de bout en bout aux clients, aux partenaires et aux collaborateurs. Montoya a rejoint l’équipe de direction de F5 en octobre 2025, après avoir siégé au conseil d’administration de F5 de 2021 à 2025. Avant de rejoindre F5, Montoya était directeur des opérations chez BlueVoyant. Il avait auparavant occupé le poste de directeur de la sécurité des systèmes d’information chez Equinix et Digital Realty. Il a passé plus de dix ans chez Microsoft à des postes de direction à l’échelle mondiale, notamment en tant que directeur de la cybersécurité, DSI/RSSI régional pour la région EMEA et l’Asie, et responsable mondial des opérations des centres de données.

Autres articles de Michael Montoya