L’IA surpasse la réactivité humaine face aux failles : quelles stratégies pour les RSSI ?

L’intelligence artificielle repousse les limites de la détection des failles de sécurité, mais elle impose un rythme que les équipes humaines ne suivent plus. Les RSSI se retrouvent submergés par un volume de vulnérabilités jamais vu. La question n’est plus de détecter, mais de trier et de prioriser sous pression.

Les scores CVE ne suffisent plus. Les correctifs s’empilent. Et chaque mise à jour peut réserver son lot de surprises.

L’IA détecte les failles plus vite que les équipes ne peuvent les corriger

En juillet, Microsoft a publié 570 correctifs pour son Patch Tuesday, dont trois failles zero-day. Un record absolu. Apple, de son côté, a limité les soumissions de bogues par les chercheurs, submergé par les rapports générés par les machines.

Le problème ne touche pas que les géants. Le noyau Linux a vu 432 CVE remontés en seulement deux jours. Les équipes de maintenance croulent sous des signalements souvent difficiles à vérifier.

La détection des menaces par l’IA est une arme à double tranchant. Elle permet de révéler des failles plus tôt, mais elle noie aussi les équipes sous un déluge de données. Le tri devient un enfer.

La réactivité humaine ne suit plus le flux de l’intelligence artificielle

L’IA génère des rapports en masse, dont beaucoup sont des faux positifs ou des doublons. Prouver qu’un signalement est erroné demande du temps et de l’expertise. Un temps qui manque cruellement lorsqu’il faut traiter des dizaines de vulnérabilités par jour.

Dan Lorenc de Chainguard résume bien le problème : l’IA a jeté de l’essence sur un feu avant d’inventer un meilleur extincteur. La correction reste lente, manuelle et complexe.

Pourquoi la correction automatisée par l’IA reste un échec

Une étude universitaire portant sur plus de 20 000 correctifs générés par des modèles de langage montre qu’ils introduisent neuf fois plus de nouvelles vulnérabilités que les développeurs. Les correctifs créent des schémas d’erreur inédits.

Même les meilleurs outils comme PatchitPy n’atteignent que 80% de réussite sur le code Python. C’est insuffisant pour un environnement de production sécurisé.

Les scores de gravité ne suffisent plus à l’analyse des risques

Un bug peut être critique dans un contexte et anodin dans un autre. L’analyse des risques exige une compréhension fine des déploiements. Les scores CVE deviennent presque inutiles face à une telle complexité.

Ben Hawkes, ancien du Project Zero de Google, insiste sur cette difficulté. La correction des vulnérabilités est un métier qui ne se résume pas à appliquer un patch.

Stratégies de défense pour les RSSI face à la surenchère de l’IA

Face à cette inflation, il faut revenir à l’essentiel. La priorisation est devenue une compétence critique. Les équipes doivent identifier les seules failles réellement exploitables.

Les stratégies de défense passent par un tri automatisé avant toute intervention humaine. Les scanners et les fuzzers doivent être utilisés pour dédupliquer et contextualiser les rapports.

Séparer la détection de la vérification pour une meilleure protection des données

Google recommande de confier à l’IA des corrections ciblées et minimalistes, comme une mise à jour de dépendance précise. Vérifier ensuite avec des outils de test indépendants, sans se fier au simple fait que la compilation passe.

La révision humaine reste indispensable pour les modifications complexes impliquant l’authentification ou le traitement des données. L’IA est un assistant, pas un remplaçant.

Le coût humain de la cybersécurité moderne

Les équipes de sécurité sont épuisées, et les budgets ne suivent pas. L’ISC2 classe désormais les restrictions budgétaires comme première cause de pénurie de personnel. C’est une question de direction, plus que de talents.

Les entreprises veulent plus de sécurité, mais hésitent à investir. Résultat : des professionnels sous pression et des systèmes jamais tout à fait à jour.

Vers une refonte opérationnelle de la gestion des correctifs

Le rythme des correctifs ne va pas ralentir. Il faut des règles de publication plus claires et une automatisation du tri en amont. Sinon, l’IA continuera de produire toujours plus de bruit.

La gestion des vulnérabilités devient un problème opérationnel global, touchant toute la chaîne logicielle. Prendre ces questions au sérieux est désormais une urgence absolue.

Source: www.zdnet.fr