L’IA bouscule la cybersécurité et pousse les défenseurs à changer de méthode

L’IA est en train de rebattre les cartes de la cybersécurité, au point de rendre obsolètes plusieurs habitudes installées depuis vingt ans, selon Alex Stamos, chief security officer chez Cognition, dans un entretien publié par The Verge le 7 novembre 2026. Il décrit une vague d’attaques plus rapides, mieux automatisées et moins coûteuses à lancer, tandis que la défense reste chère et trop lente. Dans ce contexte, les entreprises n’auront plus vraiment le luxe d’attendre le prochain correctif miraculeux.

Une cyberdéfense trop lente face à des attaques qui s’automatisent

Le diagnostic de Stamos est sévère : l’industrie de la cybersécurité vit, selon lui, une période de “dark age” pendant laquelle les attaquants gagnent en capacité plus vite que les défenses ne s’adaptent. Il cite une succession d’incidents récents, dont des compromissions chez des sociétés liées à l’IA, le piratage de Binance et l’incident Cursor, pour illustrer une chaîne d’attaques en cascade. Le point central n’est pas seulement le nombre de brèches, mais la vitesse à laquelle elles s’enchaînent et se propagent.

Cette accélération viendrait d’un basculement technique simple à décrire, mais brutal dans ses effets : des modèles open-weight peuvent désormais automatiser une grande partie du “kill chain”, c’est-à-dire les étapes qui mènent d’une faille à une intrusion effective. Là où les attaquants devaient auparavant préparer longuement leurs outils, ils peuvent maintenant détecter une vulnérabilité, écrire l’exploit et agir presque en temps réel. Alex Stamos résume cela comme une inversion du modèle classique, avec des systèmes qui “go wild” sur les cibles. La formule est imagée, mais le message est limpide.

Pourquoi les coûts changent tout dans la guerre numérique

La question n’est pas seulement technique. Elle est économique. Stamos insiste sur un déséquilibre devenu dangereux : le coût d’attaque tend vers zéro, ou presque, tandis que le coût de défense reste élevé. Il cite notamment des investigations de sécurité facturées 900 dollars sur certaines plateformes de modèles cyber, un montant difficile à absorber pour les défenseurs quand les attaquants travaillent avec du matériel réutilisé ou des ressources quasi gratuites.

Dans son raisonnement, l’ancien équilibre du secteur reposait sur une rareté de compétences. Quelques spécialistes savaient réellement construire des outils offensifs, et les entreprises ont fini par structurer une industrie autour de la sécurité, des bug bounties et de la divulgation responsable. Ce cadre se fissure. Désormais, des profils plus nombreux peuvent accéder à des capacités jadis réservées à une petite élite. Cela ne veut pas dire que tout le monde devient expert, mais suffisamment de gens deviennent dangereux pour que la surface de risque explose. Et les responsables sécurité n’ont pas signé pour courir un marathon en sandales.

Le vrai chantier : sécuriser les opérations, pas seulement le code

Une part importante du problème, selon Stamos, reste mal traitée : la sécurité opérationnelle. Détecter une faille dans le code est utile, mais cela ne suffit pas si une entreprise ne sait pas lire ses journaux, lancer une enquête ou décider vite sans bloquer toute l’activité. Il estime que les premières couches du Security Operations Center doivent désormais être automatisées, avec des systèmes plus simples que les grands modèles de langage pour traiter les volumes massifs de logs, puis des modèles plus sophistiqués pour l’analyse et la réponse.

Il décrit aussi une bascule déjà en cours dans les entreprises qu’il accompagne : scan des dépôts, découverte de milliers de bugs, génération de tests, puis fusion automatique de correctifs. À ses yeux, une refonte complète devient parfois moins coûteuse que la chasse aux failles une par une. Cette logique vaut aussi pour les briques historiques comme le noyau Linux, OpenSSL ou glibc, qu’il juge trop exposées pour être simplement “patchées” indéfiniment. Son idée va loin : un fork moderne du noyau, limité au matériel serveur, réécrit en langage mémoire-sûr et type-safe. Ambitieux, oui. Mais dans le monde des correctifs éternels, l’utopie a déjà perdu quelques points.

Les entreprises devront se red-team elles-mêmes

Stamos affirme que les organisations vont devoir tester activement leurs propres défenses dans les 90 prochains jours, soit avec des outils de red teaming par IA, soit avec des prestataires spécialisés. Sinon, elles seront testées par des attaquants. Il estime que la plupart des grands groupes ne disposent pas encore d’un cadre de gestion du risque qui autorise ce type d’exercice à grande échelle, alors même que les menaces s’exécutent plus vite que les circuits internes de validation.

Il se montre plus réservé sur l’idée de “swarm” d’agents défensifs autonomes lancés sans garde-fous. À la place, il défend des systèmes bornés par des limites déterministes : accès restreints, nombre d’actions plafonné, escalade vers un humain au-delà d’un seuil. C’est une approche prudente, mais cohérente avec son constat de départ : dans la cybersécurité, l’autonomie totale n’est pas une stratégie, c’est un pari risqué.

Le miroir des faux contenus et des fraudes à venir

L’entretien dérive aussi vers les contenus générés par IA, qui posent un problème voisin : la vérification de l’authenticité. Stamos juge plus réaliste de prouver qu’un contenu est réel que de démontrer qu’un contenu est faux. Pour la photo et la vidéo, il voit un avantage dans les chaînes de provenance cryptographiques, à condition de contrôler la capture, l’édition et la publication dans un même environnement. Pour le texte, en revanche, la tâche paraît beaucoup plus incertaine, surtout sur de courts formats.

Le sujet dépasse les réseaux sociaux. Phishing, arnaques vocales, usurpations familiales par vidéo : tout ce qui repose sur l’apparence du réel devient plus difficile à distinguer. C’est là que l’IA met la pression la plus concrète sur les usages quotidiens. Les entreprises, elles, devront composer avec deux fronts à la fois : des attaques techniques plus rapides et une fraude plus crédible. Dans un monde où l’on demande déjà aux parents d’appeler avant de croire une vidéo de “petits-enfants kidnappés”, le niveau de vigilance a clairement changé.