Premier volet de notre triptyque « Cybersécurité, IA et transformation du marché ». Avec l’arrivée des modèles d’IA dits « frontières », une question devient structurante pour les responsables de la sécurité : que devient la cybersécurité lorsque la recherche de vulnérabilités peut être accélérée, automatisée et démultipliée par une IA ?
01L’émergence des modèles frontières
Pendant longtemps, en cybersécurité, l’intelligence artificielle a été considérée comme un outil d’assistance : elle permettait de détecter les anomalies, trier les alertes et accélérer le travail des analystes.
En 2026, Anthropic présente Claude Mythos Preview, un modèle conçu notamment pour les usages avancés de la cybersécurité, et OpenAI lui emboîte le pas avec GPT-5.6 Sol. Ces modèles d’IA, dits « frontières », présentent des comportements émergents : leurs capacités ont fortement progressé grâce à des progrès généraux en matière de raisonnement, de programmation et d’autonomie, plutôt qu’à un entraînement limité et spécifique à un usage précis. Ils sont capables de raisonner en plusieurs étapes, de solliciter des outils tiers, de planifier ou encore de résoudre des problèmes abstraits dans des domaines variés. [1] [2]
Appliquée à la cybersécurité, cette évolution marque un changement important, en ce que des modèles comme Mythos ne sont plus seulement des assistants de développement plus performants. Ils peuvent comprendre du code, générer des scripts, utiliser des outils, interpréter leurs résultats, conduire une investigation par itérations successives et même interagir avec des utilisateurs, des forums ou des machines afin de progresser vers un objectif fixé.
02La rupture tient à ce que l’IA n’est plus seulement un assistant : elle devient capable d’enchaîner en autonomie raisonnement, action et réévaluation dans un environnement réel.
Les ruptures
La rupture fonctionnelle : d’une IA d’assistance à une IA agentique
La première rupture concerne le degré d’autonomie atteint dans la conduite des opérations. Les modèles récents peuvent comprendre une situation, formuler des hypothèses, sélectionner des outils, interpréter leurs résultats et déterminer l’étape suivante. C’est le passage d’une IA d’assistance à une IA agentique, capable de poursuivre un objectif en adaptant son comportement aux résultats obtenus.
L’IA ne remplace pas nécessairement les outils existants. Elle les orchestre, accélère leur utilisation et relie leurs résultats dans une séquence d’analyse et d’action. Elle transforme ainsi un portefeuille d’outils en une chaîne opérationnelle, capable de passer de l’observation à l’hypothèse, puis de l’hypothèse à l’action, en réévaluant ses résultats à chaque itération.
Cette évolution soulève autant de risques que d’opportunités. Les capacités de ces modèles peuvent servir autant aux assaillants qu’aux défenseurs : pour identifier des vulnérabilités, y compris des vulnérabilités zero-day pour lesquelles aucun correctif n’est encore disponible, pour découvrir des chaînes d’exploitation et des chemins d’attaque sophistiqués en combinant plusieurs faiblesses, pour reproduire une attaque, pour vérifier un correctif ou pour tester la résistance d’un système. Pour les responsables de la sécurité, la question devient structurante : que devient la cybersécurité lorsque la recherche de vulnérabilités peut être accélérée, automatisée et démultipliée par une IA ?
La rupture temporelle : réduire le délai entre découverte et exploitation
Le cycle traditionnel de gestion des vulnérabilités était déjà marqué par un déséquilibre entre le volume des découvertes et les capacités de correction. Si l’IA augmente fortement la capacité de découverte, le stock de vulnérabilités potentielles peut progresser plus vite que la capacité de traitement. La fenêtre d’exploitation peut désormais être mesurée en heures pour certaines vulnérabilités, alors qu’elle était historiquement souvent mesurée en jours, ce qui rend nécessaire une détection et une remédiation en temps quasi réel pour les vulnérabilités critiques. L’enjeu ne consistera donc pas seulement à découvrir davantage de failles, mais à déterminer lesquelles doivent être traitées immédiatement, lesquelles peuvent faire l’objet de mesures compensatoires et lesquelles présentent un risque limité dans leur contexte particulier.
Cette accélération renforce également le risque de voir les modèles d’IA soutenir des opérations malveillantes. L’Agence de l’Union européenne pour la cybersécurité (ENISA) souligne que les dépendances numériques élargissent la surface d’attaque et que les modèles d’IA émergents peuvent être utilisés pour soutenir de telles opérations. [4]
La cybersécurité entre dans une logique de course : l’avantage dépendra moins du modèle le plus puissant que de la capacité à intégrer l’IA dans une chaîne complète de détection, de validation, de correction et de supervision.
La délégation et la gouvernance des opérations
Ce qui est certain, c’est que l’arrivée de ces nouveaux modèles impose un nouveau paradigme. L’intégration de l’IA aux processus de remédiation, avec un niveau de délégation élevé, pourrait devenir nécessaire pour rester dans la course : déléguer à un agent une séquence d’exploration, lui demander de comparer plusieurs hypothèses et obtenir une synthèse des résultats, et parfois même lui permettre d’agir en quasi-autonomie dans le déploiement de correctifs ou de mesures compensatoires visant à réduire le risque.
La valeur des équipes de sécurité se déplace de plus en plus vers la définition du périmètre, le choix des autorisations et la capacité à vérifier les conclusions. L’intégration de l’IA dans les processus de cybersécurité pose également la question de la gouvernance et des garde-fous : la frontière entre outil, opérateur et système de décision devient ainsi moins nette. Un agent qui dispose d’un accès trop large peut accélérer une investigation, mais aussi étendre rapidement une erreur ou une mauvaise interprétation. Dans les organisations, il devient nécessaire de préciser les objectifs assignés aux agents IA, les ressources auxquelles ils peuvent accéder, les actions qu’ils peuvent effectuer automatiquement et les situations dans lesquelles une validation humaine reste nécessaire.
03Les limites de l’automatisation et le maintien de la décision humaine
L’IA n’efface pas la complexité technique et organisationnelle
Il serait dangereux d’en déduire que toute remédiation de vulnérabilité deviendra facilement automatisable. Les failles de logique métier, les vulnérabilités impliquant plusieurs états applicatifs et les scénarios dépendant de relations complexes entre composants restent difficiles à identifier. Le Center for Security and Emerging Technology rappelle que certaines vulnérabilités résultent de combinaisons complexes de situations et d’actions. Le nombre de scénarios possibles peut être si élevé qu’aucune méthode ne garantit une couverture exhaustive de tous les chemins d’exécution. [3]
L’IA est efficace lorsqu’elle peut reconnaître des motifs, produire des variantes, explorer rapidement des hypothèses et interagir avec des outils spécialisés. Pour l’heure, elle reste moins fiable lorsque l’impact dépend d’une connaissance métier absente des données disponibles. Une vulnérabilité dans un environnement de test, une application de développement ou un service critique ne produit pas le même risque. Une faille techniquement sérieuse peut être difficilement exploitable dans une architecture segmentée. À l’inverse, une faiblesse moins spectaculaire peut devenir prioritaire lorsqu’elle affecte un service central ou une dépendance mutualisée.
Le rôle de la décision humaine se transforme
L’IA ne dispense pas les organisations de qualifier le risque et d’arbitrer les actions. Elle modifie la vitesse et l’échelle des opérations, mais la décision reste fondée sur le contexte technique, métier et organisationnel. Cela suppose de disposer d’un inventaire fiable, de propriétaires identifiés, d’une cartographie des dépendances, d’une connaissance de la criticité des services et d’une vision des contraintes opérationnelles.
Le NIST (National Institute of Standards and Technology), qui publie des cadres et des recommandations de référence en matière de cybersécurité, rappelle que les caractéristiques techniques et métier d’un actif doivent être prises en compte pour comprendre la portée d’une vulnérabilité et orienter les actions de correction. [5] La gestion des correctifs consiste donc à identifier, prioriser, installer et vérifier les mises à jour dans un contexte donné. Une décision de correction doit tenir compte des fenêtres de changement permises par les contraintes de continuité opérationnelle, des engagements de service et des interdépendances applicatives. L’IA peut recommander une action et comparer plusieurs scénarios, mais elle ne peut pas, à elle seule, arbitrer l’ensemble de ces contraintes. [5]
Le contrôle humain ne disparaît pas : il se déplace de la validation de chaque action vers la définition des politiques, des seuils d’autonomie, des exceptions et des mécanismes de supervision.
La remédiation en production pourrait progressivement évoluer vers l’auto-remédiation, sous réserve de garde-fous adaptés au risque opérationnel. Les vulnérabilités critiques pourraient aussi être traitées selon une logique proche de la réponse aux incidents, avec qualification contextualisée, mobilisation accélérée et délais de traitement resserrés.
L’enjeu central : organiser la connaissance
Après Mythos, l’enjeu ne sera pas seulement de disposer de nouveaux outils offensifs ou défensifs, mais de pouvoir les exploiter dans un environnement fiable, contextualisé et gouverné. Les organisations disposent déjà de scanners, de solutions de gestion des vulnérabilités, de plateformes applicatives et de sources de renseignement sur les menaces. Leur difficulté consiste à relier ces informations, à en qualifier la pertinence et à engager rapidement les bonnes équipes.
Une entreprise qui connaît ses actifs, ses dépendances et ses processus pourra mieux orienter l’IA, vérifier ses résultats et transformer ses recommandations en décisions opérationnelles. À l’inverse, une organisation qui ignore quels actifs elle possède, quels services ils supportent ou quelles équipes en sont responsables risque de produire davantage de résultats de détection des vulnérabilités sans améliorer sa sécurité réelle.
Cette connaissance constitue elle-même un actif sensible. Une cartographie précise permet d’orienter la défense, mais peut fournir à un attaquant une représentation exploitable du système d’information. Elle doit donc être protégée, avec des contrôles d’accès, des garanties d’intégrité et une surveillance de ses usages.
Dans ce contexte, une CMDB (Configuration Management Database) peut fournir le socle de connaissance nécessaire pour traiter efficacement les vulnérabilités découvertes par les modèles d’IA de dernière génération. Cette base recense les principaux composants du système d’information, comme les applications, les serveurs et les services, ainsi que leurs relations et leurs responsables. Elle permet ainsi de relier chaque vulnérabilité à l’actif concerné, aux services qui en dépendent, à son niveau de criticité et aux équipes chargées de sa remédiation.
La question centrale devient alors la suivante : comment construire une représentation suffisamment fiable et dynamique du système d’information pour permettre à l’IA de raisonner sur le risque réel ? La réponse ne réside pas dans l’automatisation seule, mais dans l’organisation de la connaissance qui la rend utile, contrôlable et actionnable. Cette connaissance devra rester suffisamment à jour pour accompagner les changements rapides des infrastructures, mais suffisamment gouvernée pour servir de base à des décisions auditables.
C’est à cette condition que l’IA pourra aller au-delà de la simple accélération de la production de signaux, d’hypothèses et d’actions difficiles à maîtriser, pour devenir un véritable pilier des stratégies et des opérations de cybersécurité.
Références
- Anthropic, « Assessing Claude Mythos Preview’s cybersecurity capabilities », 7 avril 2026, https://www.anthropic.com/research/mythos-preview
- OpenAI, « Previewing GPT-5.6 SOL: a next-generation model », https://openai.com/index/previewing-gpt-5-6-sol/
- Center for Security and Emerging Technology, Chris Rohlf, « AI and the Software Vulnerability Lifecycle », 4 août 2025, https://cset.georgetown.edu/article/ai-and-the-software-vulnerability-lifecycle/
- ENISA, « Threat Landscape », édition 2026, https://www.enisa.europa.eu/topics/cyber-threats/threat-landscape
- NIST, Special Publication 800-40 Revision 4, « Guide to Enterprise Patch Management Planning », avril 2022, https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-40r4.pdf