Lorsque l’IA peut détecter des vulnérabilités logicielles critiques plus rapidement, à moindre coût et à une échelle bien supérieure à celle des meilleurs chercheurs humains, chaque RSSI est confronté aux questions urgentes suivantes : De combien de temps disposez-vous avant de devoir corriger les vulnérabilités de vos logiciels open source — et combien en suivez-vous : quelques-unes, des dizaines ou des milliers ? Votre dispositif de défense est-il adapté à la vitesse et à l’ampleur auxquelles les menaces émergent désormais ?
Les modèles d’IA peuvent désormais faire bien plus qu’écrire du code : ils peuvent le lire, en comprendre l’objectif et repérer précisément ses failles. Pour détecter et exploiter les vulnérabilités logicielles, cette capacité surpasse celle de tous les humains, à l’exception des plus compétents.
Claude Mythos Preview, le modèle de pointe au cœur de l’initiative, a déjà découvert des milliers de vulnérabilités critiques, dont certaines dans de grands systèmes d’exploitation et navigateurs web. Dans certains cas, ces failles ont échappé à des décennies d’examen humain et à des millions de tests de sécurité automatisés.
“Les organisations qui agissent dès maintenant pour automatiser l’application des règles du WAF grâce à l’IA feront de la sécurité un avantage concurrentiel.”
Les logiciels sur lesquels reposent les systèmes bancaires, les dossiers médicaux, les réseaux logistiques et les réseaux électriques ont toujours comporté des failles. Mais leur détection et leur exploitation nécessitaient autrefois une expertise spécialisée et rare. L’IA a considérablement réduit les coûts, les efforts et le niveau de compétence requis. Compte tenu du rythme auquel elle progresse, ces capacités ne tarderont pas à se généraliser et pourraient se retrouver entre les mains d’acteurs qui ne s’engagent pas à les déployer de manière sûre.
Ce que cela signifie pour les cyberdéfenseurs
Ce qui n’était autrefois qu’une préoccupation théorique est désormais une réalité opérationnelle : la découverte de vulnérabilités assistée par l’IA augmente considérablement, tant en volume qu’en rapidité, réduisant le délai entre leur divulgation et leur exploitation active.
La question qui se pose à toutes les organisations de sécurité est de savoir si elles peuvent exploiter l’IA à des fins défensives avec autant d’intensité que leurs adversaires l’utiliseront à des fins offensives. Dans ce contexte, les défenses statiques reposant uniquement sur des signatures ne suffisent plus. Si les modèles d’IA peuvent mettre au jour des milliers de nouvelles vulnérabilités critiques en quelques semaines, les équipes de sécurité ne peuvent tout simplement pas créer, tester, ajuster et déployer manuellement des signatures assez rapidement pour suivre le rythme, et encore moins celui auquel les attaquants agiront.
Le cycle opérationnel traditionnel d’un pare-feu applicatif web (WAF) — trier les alertes, les valider avec les développeurs, mettre en place des exceptions, puis répéter l’opération pour chaque application et chaque version — devient intenable lorsque le flux de vulnérabilités est alimenté par l’intelligence artificielle. Les équipes déjà en sous-effectif prendront encore plus de retard, exposant les organisations précisément au moment où elles peuvent le moins se le permettre.
Pourquoi l’ère du projet Glasswing change le modèle opérationnel des WAF
Project Glasswing ne se contente pas de révéler des vulnérabilités ; il met également en évidence un problème de rapidité.
Lorsque Claude Mythos Preview est capable de mettre au jour, en quelques semaines, des milliers de failles critiques dans les principaux systèmes d’exploitation et navigateurs web, chaque nouvelle vulnérabilité déclenche une course contre la montre : à quelle vitesse pouvez-vous détecter, analyser et bloquer les tentatives d’exploitation avant que les attaquants ne transforment la découverte en arme ? Cette course a toujours existé, mais l’IA vient d’en raccourcir considérablement les délais.
Pour les WAF en particulier, cela engendre trois pressions cumulatives :
1. Le pipeline de signatures ne peut pas suivre le rythme à lui seul : Les signatures restent essentielles face aux menaces connues, car elles permettent de bloquer avec un haut niveau de fiabilité et de manière déterministe les exploits répertoriés. Mais elles sont réactives par nature : quelqu’un doit identifier la vulnérabilité, rédiger la règle, la tester et la déployer. Lorsque le pipeline de vulnérabilités évolue au rythme de l’IA, avec des milliers de nouvelles découvertes qui apparaissent en permanence, une stratégie reposant uniquement sur les signatures creuse l’écart entre la découverte et la protection.
2. Le coût du réglage devient un risque pour la sécurité : De nombreux programmes de pare-feu d’applications web (WAF) s’enlisent au même stade : ils sont déployés et génèrent des alertes, mais le passage en mode blocage est retardé, car le réglage est coûteux, implique plusieurs équipes et comporte des risques. Dans un monde post-Glasswing, ce frein n’est pas qu’un simple désagrément opérationnel : il constitue un risque de sécurité mesurable. Chaque semaine consacrée au réglage avant l’activation du blocage est une semaine pendant laquelle des vulnérabilités nouvellement découvertes peuvent être exploitées contre des applications non protégées. Alors que l’IA peut détecter de manière autonome des vulnérabilités du noyau et les combiner pour passer d’un accès utilisateur à une prise de contrôle totale du système, le coût d’une solution « déployée, mais sans blocage activé » n’a jamais été aussi élevé.
3. Les défenseurs doivent répondre à la vitesse de l’IA par celle de l’IA : Si l’IA accélère le volet offensif de l’équation, le volet défensif doit suivre le même rythme. Cela implique des contrôles de sécurité capables d’évaluer les menaces en temps réel à partir de plusieurs signaux, d’attribuer dynamiquement un niveau de risque et d’appliquer les décisions sans attendre les cycles de réglage nécessitant une intervention humaine.
Comment F5 réagit
Nous avions anticipé cette évolution, c’est pourquoi le WAF basé sur l’IA de F5 Distributed Cloud Services est conçu pour cette nouvelle réalité. Il complète les signatures par une analyse multicouche, notamment des combinaisons de signatures sélectionnées, des indicateurs d’attaque contextuels et des modèles de machine learning (ML) en temps réel, ainsi que par la détection des attaques zero-day afin d’identifier les menaces jusqu’alors inconnues faisant l’objet d’une exploitation active, et par la détection des anomalies afin de repérer les écarts de comportement qu’aucune signature ni règle ne pourrait anticiper. Chaque requête se voit attribuer un niveau de risque dynamique, ce qui permet aux équipes de passer plus rapidement en mode blocage, avec moins de faux positifs et sans la complexité opérationnelle qui freine les déploiements de WAF traditionnels.
Voici trois questions que chaque RSSI devrait se poser ce trimestre pour évaluer son niveau de préparation :
- Pouvez-vous suivre le rythme face à un tel volume ? Votre processus de gestion des vulnérabilités a été conçu pour un monde où les nouvelles failles étaient découvertes à un rythme humain. Lorsque l’IA met au jour des milliers de failles critiques en quelques semaines, votre équipe peut-elle les identifier, les hiérarchiser et y remédier assez rapidement, ou le retard ne fait-il que s’accumuler ?
- Pouvez-vous détecter ce que vous n’avez encore jamais vu et réagir en quelques secondes ? Les attaques zero-day n’attendent pas la création de signatures. Votre dispositif de sécurité peut-il détecter en temps réel des menaces jusqu’alors inconnues, et à quelle vitesse votre logique de détection peut-elle être mise à jour lorsqu’une nouvelle vulnérabilité est découverte ? Si la réponse implique d’écrire manuellement des règles et de suivre un processus de gestion des changements, vous avez déjà pris du retard.
- Bloquez-vous les attaques ou vous contentez-vous de les surveiller ? Quelle part de votre portefeuille d’applications est activement protégée en mode blocage, plutôt que simplement surveillée ? Pour chaque application qui reste en mode surveillance, vous verrez l’attaque se produire, mais vous ne l’arrêterez pas. Cet écart constitue votre véritable surface d’attaque non protégée.
La plupart des entreprises disposent d’un WAF, mais rares sont celles qui l’utilisent en mode blocage. L’ajustement des politiques exige du temps et des compétences dont les équipes de sécurité ne disposent pas, si bien que le WAF reste cantonné au mode surveillance.
Le résultat ? Une ligne de votre budget de sécurité qui, en réalité, ne protège pas l’entreprise. À mesure que les attaques basées sur l’IA s’intensifient, cette lacune devient un risque existentiel. Les organisations qui agissent dès maintenant pour automatiser l’application des politiques du WAF grâce à l’IA feront de la sécurité un avantage concurrentiel.
Pour en savoir plus sur le WAF optimisé par l’IA dans les services F5 Distributed Cloud, consultez notre page Web consacrée à F5 Distributed Cloud WAF.
Consultez également notre précédent article de blog, « La fenêtre d’application des correctifs est désormais fermée. Voici comment F5 se prépare à la suite ».
À propos des auteurs
Articles de blog associés
IA et cybersécurité
Découvrez comment l’IA et la cybersécurité fonctionnent de concert. Découvrez comment l’IA et le machine learning (ML) permettent à votre entreprise de rester sécurisée, efficace et prête à innover avec F5.
Suivre le rythme de l’innovation de pointe ne suffit pas à faire avancer l’entreprise : se préparer à la réglementation de l’IA
À mesure que la réglementation de l’IA évolue, réfléchissez aux mesures de protection que vous pouvez mettre en place dès maintenant.
Les contrôleurs de mise à disposition d’applications reviennent au cœur des priorités stratégiques
L’IA rebat les cartes de la livraison d’applications. Nirav Shah de F5 revient sur la nouvelle étude de Gartner® consacrée aux ADC et explique ce qu’elle implique pour les décisions des entreprises en matière d’infrastructure.
Ce que nos clients nous disent sur l’IA, le multicloud hybride et la sécurité des applications
Le nouveau vice-président senior du marketing produit de F5 explique les pressions liées à l’IA auxquelles sont confrontés les dirigeants d’entreprise et ce dont ils ont besoin pour renforcer leur organisation.
Cinq niveaux de cyberrésilience antifragile transforment les pratiques en résultats
Découvrez comment cinq niveaux de résilience antifragile transforment les perturbations en comportements adaptatifs qui limitent les défaillances et renforcent l’architecture multicloud hybride.
Optimiser les pipelines d’IA en éliminant les goulets d’étranglement dans les charges de travail modernes
À mesure que les charges de travail d’IA montent en puissance, les entreprises constatent des ralentissements provenant du pipeline de données en amont qui alimente le modèle d’IA. Voici comment F5 BIG-IP peut les aider.