L'IA dans la cyberdéfense
Comment l'IA modifie la cyberdéfense tout au long du cycle de vie des cyberincidents
La cyberdéfense vise à protéger les systèmes, les réseaux et les données contre l'infiltration, la perturbation ou la destruction. La cyberdéfense cycle de vie des cyberincidents propose une manière utile de comprendre la cyberdéfense, en la décomposant en quatre phases :
- La prévention : prévenir et réduire les risques d'incidents et minimiser leurs effets potentiels.
- Préparation : l'élaboration de plans, d'outils et de capacités pour soutenir une réponse efficace.
- Réponse : de mettre fin à l'incident et d'éviter d'autres dommages.
- Récupération : rétablir rapidement les opérations et revenir à un niveau de sécurité normal ou plus élevé.
L'intelligence artificielle (IA) est devenue pertinente dans les quatre phases. Contrairement aux outils traditionnels qui s'intègrent parfaitement à une seule étape, de nombreuses capacités d'IA s'étendent à l'ensemble du cycle de vie : la même technique qui soutient la préparation peut également permettre une réponse plus rapide ou aider au rétablissement. Cette intégration rend l'IA à la fois puissante et difficile à classer : sa valeur réside non seulement dans l'amélioration des tâches individuelles, mais aussi dans le fait qu'elle permet de relier les phases entre elles de manière plus transparente.
La prévention
Préparation
Réponse
Récupération
Cartographie de la surface d'attaque
Numérisation du code
Synthèse des données
Classification des données
Détection des anomalies
Rédaction et analyse
Données synthétiques
Gestion des identités et des accès
Gestion des identités et des accès
Analyse du journal
Analyse des logiciels malveillants
Formation et laboratoires
Formation et laboratoires
Dans les sections qui suivent, nous examinons des applications concrètes de l'IA pour la cyberdéfense, en montrant comment elles s'intègrent dans les différentes phases du cycle de vie des incidents et, dans de nombreux cas, en couvrent plusieurs à la fois.
Cartographie de la surface d'attaque
La cartographie de la surface d'attaque identifie tous les actifs, points d'entrée et vulnérabilités qu'un adversaire pourrait exploiter lors d'une attaque. Elle offre aux défenseurs une visibilité sur leur exposition et les aide à définir les priorités en matière de sécurisation.
Comment l'IA modifie la cartographie de la surface d'attaque :
Cas mis en évidence : Utilisation de LLM pour la découverte d'actifs dans les infrastructures critiques
En 2025, Luigi Coppolino et al a publié une étude montrant comment les grands modèles de langage (LLM) peuvent améliorer la découverte d'actifs dans les infrastructures critiques. Les outils traditionnels tels que Nmap ou les plateformes de sécurité industrielle risquent de perturber les systèmes sensibles par des analyses actives ou ne détectent pas les dispositifs cachés lorsqu'ils s'appuient uniquement sur une surveillance passive.
Les chercheurs ont proposé un cadre de "mélange d'experts" basé sur le LLM qui combine des données provenant de l'observation passive du trafic, d'un sondage actif soigneusement limité et de signaux physiques tels que les émissions électromagnétiques. Des agents LLM spécialisés interprètent ensuite ces données : l'un se concentre sur les protocoles industriels, un autre sur les vulnérabilités des réseaux IT/OT, et un autre sur l'architecture et les dépendances des systèmes.
Le système peut également s'appuyer sur des sources de renseignements externes (telles que les bases de données ATT&CK ou CVE de MITRE) pour identifier les faiblesses et recommander des mesures de sécurité. Lors de tests sur un réseau industriel simulé, il a réussi à classifier des actifs tels que des contrôleurs logiques programmables, des bras robotisés et des imprimantes, tout en signalant des pratiques non sécurisées telles que le trafic Modbus non crypté.
Cette approche transforme la cartographie de la surface d'attaque en un processus adaptatif et contextuel qui offre une visibilité en temps réel et réduit les risques de l'analyse traditionnelle. En abaissant les barrières techniques pour les défenseurs, elle permet une surveillance plus complète et renforce la posture de sécurité globale des infrastructures critiques.
-
Impact de l'IA sur la détection des menaces - "L'IA pour la défense" (Donnie W. Wendt 2024)
Ce chapitre montre comment l'IA a fait progresser la détection et le triage des menaces, où des modèles d'apprentissage automatique traitent de grandes quantités de données hétérogènes pour identifier les attaques potentielles. Les résultats soulignent que les premières applications dans les années 2000-2010 se sont concentrées sur la détection des logiciels malveillants, des intrusions et du spam, démontrant la force de l'IA dans l'analyse de grands ensembles de données et l'amélioration des systèmes de détection existants tout en renforçant progressivement les fonctions de cybersécurité existantes. -
Détection des menaces de nouvelle génération "Révolutionner la cybersécurité : Libérer la puissance de l'intelligence artificielle et de l'apprentissage automatique" (Manoharan & Sarker 2022)
Ce document montre comment l'IA et l'apprentissage automatique révolutionnent la détection des menaces, permettant aux organisations de repérer les anomalies, d'analyser les modèles de comportement et de prédire les attaques potentielles. Les résultats soulignent comment des techniques telles que le NLP pour l'extraction de renseignements sur les menaces et l'apprentissage profond pour la reconnaissance des formes peuvent automatiser la détection et la réponse, tandis que des études de cas réels confirment leur efficacité.
Numérisation et évaluation des codes
L'analyse du code examine le code source pour détecter les vulnérabilités, les bibliothèques non sécurisées ou les mauvaises pratiques de sécurité avant qu'elles ne puissent être exploitées.
Comment l'IA modifie l'analyse et l'évaluation des codes :
L'IA accélère la détection des vulnérabilités en mettant en évidence les fonctions non sécurisées et en identifiant les schémas de codage risqués tirés d'exploits antérieurs. Elle propose également des suggestions de remédiation automatisées, aidant ainsi les développeurs à écrire un code plus sûr et réduisant la fenêtre d'opportunité pour les attaquants.
Cas mis en évidence : Utilisation des LLM pour l'analyse du code et le développement sécurisé
En 2025, Belozerov et al ont étudié la manière dont les grands modèles de langage peuvent soutenir les pratiques de codage sécurisées. Leur étude a testé ChatGPT par rapport à l'ensemble de données DevGPT, qui contenait du code de développeur réel ainsi que des vulnérabilités connues signalées par des scanners statiques. Sur 32 vulnérabilités confirmées, ChatGPT en a correctement détecté 18 et a même suggéré des correctifs pour 17 d'entre elles.
Les résultats montrent comment l'IA peut réduire l'effort manuel dans l'examen du code, aider à trier les modèles de codage à risque et fournir des suggestions de remédiation automatisées. Cela pourrait permettre de renforcer les pratiques de codage sécurisé et de réduire la période pendant laquelle les vulnérabilités restent exploitables.
Dans le même temps, l'étude a mis l'accent sur d'importantes limites : ChatGPT a parfois produit des résultats trop confiants mais incorrects, a introduit de nouvelles failles lors des tentatives de correction et s'est avéré moins fiable que l'analyse statique ou l'examen par un expert humain. L'un des principaux enseignements de cette étude est que l'IA peut être un assistant puissant dans l'évaluation du code, mais uniquement lorsqu'elle est associée à des outils traditionnels et à une supervision adéquate.
-
Examen automatisé du code - "Examen de l'application de l'IA à la cybersécurité : Opportunités, risques et stratégies d'atténuation" (Ndibe & Ufomba 2024)
L'article montre comment l'IA et les grands modèles de langage peuvent soutenir les examens de code automatisés et les évaluations de vulnérabilité, en aidant les organisations à détecter de manière proactive les faiblesses dans le code source et à réduire les temps de réponse. Les résultats mettent également en évidence des risques tels que l'insécurité du code généré par l'IA, soulignant la nécessité d'une surveillance humaine et de cadres de gouvernance. -
Apprentissage profond interprétable pour la détection des vulnérabilités - "Détection des vulnérabilités avec des interprétations fines" (Li et al. 2021)
Cet article présente IVDetect, un modèle d'apprentissage profond qui détecte les vulnérabilités dans les codes et identifie les déclarations et dépendances spécifiques responsables. IVDetect améliore la précision par rapport aux outils de pointe et fournit des explications détaillées. Les résultats montrent des gains substantiels dans la performance de détection et une identification plus précise du code vulnérable, soutenant à la fois l'analyse automatisée et la remédiation des développeurs. -
Détection multilingue des vulnérabilités du code - "Détection des vulnérabilités du code dans différents langages de programmation à l'aide de modèles d'IA" (Humran & Sonmez 2025)
Cet article étudie les modèles basés sur les transformateurs, notamment CodeBERT et CodeLlama, pour détecter les vulnérabilités dans plusieurs langages de programmation. Grâce à un réglage fin sur divers ensembles de données, les modèles capturent à la fois la syntaxe et la sémantique, atteignant une précision de 97%. L'étude intègre également des méthodes d'ensemble et l'IA explicable pour réduire les faux positifs et améliorer la confiance des développeurs. Elle démontre que les modèles d'IA peuvent surpasser les analyseurs statiques traditionnels dans des contextes interlinguistiques, bien que des défis subsistent en matière de robustesse, de précision et de préparation au déploiement.
Synthèse des données
La synthèse des données permet de condenser de grands volumes de données techniques (par exemple, des journaux, des rapports et des renseignements sur les menaces) pour en tirer des informations accessibles.
Comment l'IA modifie la synthèse des données :
L'IA réduit la surcharge cognitive en transformant les informations brutes et non structurées en renseignements exploitables. Elle peut identifier des schémas récurrents ou des anomalies dans des ensembles de données fragmentés. Elle peut également générer des rapports en langage clair pour les non-spécialistes. L'IA rend donc l'information plus facile à consommer, à communiquer et à exploiter.
Cas mis en évidence : L'IA au service de la synthèse des journaux et de la connaissance de la situation
En 2024, Balasubramanian et al a présenté CYGENT, un agent conversationnel basé sur GPT-3, capable d'analyser et de résumer les journaux des systèmes. Au lieu de demander aux analystes de passer au crible des milliers d'entrées de journaux bruts, CYGENT les condense en de courtes sorties lisibles par l'homme qui mettent en évidence les événements et les anomalies clés.
Lors des évaluations, CYGENT a surpassé d'autres grands modèles linguistiques en produisant des résumés clairs et exploitables. Le système a permis de réduire la surcharge cognitive, d'améliorer la connaissance de la situation lors d'incidents réels et d'accélérer la prise de décision.
Ce cas illustre comment l'IA peut transformer des données brutes et techniques en renseignements accessibles. En facilitant l'interprétation des journaux, elle aide les défenseurs à se préparer plus efficacement, à réagir plus rapidement et à se rétablir avec une meilleure documentation après les incidents.
-
Ensembles de données de synthèse CTI - "CTISum : A New Benchmark Dataset for Cyber Threat Intelligence Summarisation" (Peng et al. 2024)
Ce document présente CTISum, un ensemble de données permettant de résumer les rapports de renseignement sur les cybermenaces (CTI). Il permet de résumer des rapports de renseignement complexes afin d'aider les défenseurs à planifier et à tirer des enseignements de manière plus efficace. -
Extraction du TTP - "TTPXHunter : Actionable Threat Intelligence Extraction as TTPs from Finished Cyber Threat Reports" (Rani et al. 2024)
L'article propose TTPXHunter, un outil basé sur le NLP qui extrait les tactiques, techniques et procédures (TTP) des attaquants à partir des rapports sur les menaces afin de comprendre leur modus operandi, en transformant les renseignements non structurés en résumés structurés et exploitables. -
La PNL pour l'analyse des incidents - "Traitement du langage naturel pour l'analyse des incidents de cybersécurité" (Ogundairo & Broklyn, 2024)
L'article passe en revue les applications NLP pour l'analyse des sources de données non structurées, avec des techniques NLP (par exemple, la reconnaissance d'entités, l'analyse des sentiments, le résumé, le triage basé sur les chatbots). L'article constate que le NLP peut automatiser les rapports d'incidents et les résumés de renseignements sur les menaces, en réduisant les temps de réponse et en améliorant la documentation post-incident.
Classification des données
La classification des données permet d'organiser les informations en fonction de leur sensibilité ou des exigences de conformité, ce qui garantit que les actifs critiques bénéficient d'une protection appropriée.
Comment l'IA modifie la classification des données :
L'IA utilise le traitement du langage naturel pour étiqueter automatiquement les contenus sensibles et détecter les données mal classées ou exposées à grande échelle.
Cas mis en évidence : L'IA pour la classification des données sensibles
En 2024, De Renzis et al a étudié la manière dont les grands modèles de langage pouvaient être utilisés pour améliorer la classification des informations sensibles. L'un des principaux défis dans ce domaine est que les données personnelles réelles ne peuvent pas toujours être utilisées pour la formation en raison des risques liés à la protection de la vie privée. Les auteurs ont proposé de générer des données de formation synthétiques qui reflètent toujours les modèles des catégories sensibles, telles que la santé, la politique ou la religion.
Leur approche a permis de former des classificateurs précis sans exposer les données réelles des utilisateurs, démontrant ainsi comment l'IA peut aider les organisations à se conformer à des réglementations telles que le GDPR tout en augmentant leur capacité à détecter et à protéger les informations sensibles. Ce cas illustre comment l'IA renforce à la fois la prévention (en réduisant l'exposition accidentelle des données) et la préparation (en soutenant les cadres de conformité). En même temps, il souligne l'importance de la gouvernance et de la validation pour s'assurer que les données synthétiques et les modèles qui en résultent restent représentatifs et fiables.
-
Marquage des catégories GDPR à l'aide d'un transformateur - "Détection automatique de données sensibles à l'aide de classificateurs basés sur des transformateurs" (Petrolini et al. 2022)
Cette étude applique des modèles d'IA pour marquer automatiquement les textes sensibles, couvrant des domaines tels que la politique, la santé, la religion et la sexualité, dans de grandes collections de documents. Elle démontre que les approches basées sur les transformateurs peuvent classer ces données de manière fiable, ce qui permet de respecter le GDPR et d'obtenir un étiquetage automatisé à grande échelle pour une classification des données axée sur la conformité. -
Analyse sémantique pour la détection automatisée de données sensibles - "Identification automatisée des données sensibles à partir des spécifications implicites des utilisateurs (S3)" (Yang & Liang 2018)
Cet article présente S3, un système qui identifie les données sensibles dans les applications mobiles en analysant la sémantique plutôt qu'en s'appuyant sur des mots-clés. En apprenant les préférences des utilisateurs en matière de protection de la vie privée, il atteint une précision supérieure à celle des outils traditionnels, illustrant ainsi la manière dont l'IA peut adapter la classification des données aux contextes du monde réel. L'étude souligne que la sensibilité des informations dépend à la fois du contexte de l'application et des préférences de l'utilisateur, et qu'une protection efficace à l'ère de l'informatique dématérialisée nécessite d'abord d'être en mesure d'identifier ces données.
Détection d'anomalies au niveau des points finaux ou du réseau
La détection des anomalies permet de surveiller les points d'extrémité et le trafic réseau afin de déceler des comportements inhabituels susceptibles d'indiquer une compromission.
Comment l'IA modifie la détection des anomalies au niveau des points finaux et du réseau :
L'IA apprend ce à quoi ressemble une activité normale et signale les écarts qui pourraient indiquer une activité malveillante. Contrairement aux systèmes basés sur les signatures, elle peut détecter des intrusions plus subtiles qui échappent à la détection traditionnelle. L'IA permet une réponse plus rapide et plus efficace aux incidents en hiérarchisant les alertes et en réduisant les faux positifs.
Cas mis en évidence : Utilisation de l'IA pour la détection d'anomalies dans les systèmes critiques
En 2024, Nwoye et Nwagwughiagwu a examiné comment la détection d'anomalies pilotée par l'IA pouvait améliorer la cyberdéfense au niveau des terminaux et des réseaux. En utilisant des modèles d'apprentissage automatique formés sur des modèles normaux de comportement des systèmes et de trafic réseau, leur approche leur a permis d'identifier des déviations subtiles que les systèmes traditionnels basés sur les signatures ne verraient pas, y compris, par exemple, les signes précoces de menaces internes et d'atteintes à la protection des données.
L'étude présente des exemples de cas dans des secteurs critiques, montrant que la détection d'anomalies par l'IA a permis de réduire les temps de réponse et de maintenir la continuité des activités en signalant les activités suspectes avant qu'elles ne causent de graves dommages. Les auteurs ont également reconnu les défis à relever, notamment les faux positifs et le besoin de transparence dans les modèles d'IA complexes. Ce cas montre comment l'IA contribue à la fois à la préparation (en établissant des lignes de base de l'activité normale) et à la réponse (en détectant et en hiérarchisant les anomalies en temps réel).
-
Détection d'anomalies basée sur le GAN - "TadGAN : Time Series Anomaly Detection Using Generative Adversarial Networks" (Geiger et al. 2020)
Cet article présente TadGAN, un cadre non supervisé qui applique des GAN cohérents avec les cycles pour détecter les anomalies dans les données de séries temporelles. En combinant les erreurs de reconstruction et les résultats critiques, TadGAN génère des scores d'anomalie fiables et réduit les faux positifs. Testé sur 11 ensembles de données de référence provenant de différents domaines, il a constamment surpassé les méthodes de pointe. L'étude montre comment les GAN peuvent améliorer la détection d'anomalies temporelles subtiles dans divers systèmes du monde réel. -
Apprentissage automatique pour la détection d'anomalies dans les infrastructures - "AI Defenders : Machine Learning Driven Anomaly Detection in Critical Infrastructures" (Nebebe et al. 2024)
Cet article compare les modèles d'apprentissage automatique pour la détection des anomalies dans les infrastructures critiques, en utilisant des séries de données temporelles provenant d'un simulateur de système hydraulique. Il distingue les anomalies ponctuelles (valeurs aberrantes uniques) des anomalies contextuelles (déviations uniquement apparentes dans le contexte) et compare des modèles simples interprétables (par exemple, régression logistique, arbres de décision) à des modèles plus complexes de type boîte noire sur des ensembles de données cohérents. L'objectif est d'évaluer quelles sont les méthodes les plus performantes dans le monde industriel réel. L'article souligne que si les modèles complexes peuvent produire des taux de détection plus élevés, les méthodes plus simples offrent toujours des avantages en termes d'interprétabilité et de robustesse dans les domaines d'infrastructures sensibles.
Tâches générales de rédaction et de collecte/analyse de données
Les opérations défensives impliquent également de nombreux travaux de rédaction, de recherche et d'analyse de données afin de documenter les incidents, d'informer les décisions et de former le personnel.
Comment l'IA modifie les tâches générales de rédaction et de collecte ou d'analyse de données :
L'IA peut rédiger des rapports, des politiques et des comptes rendus d'incidents, ce qui allège la charge administrative des analystes. Elle peut automatiser la collecte de renseignements provenant de sources ouvertes pour les exercices, ce qui permet aux étudiants et aux professionnels de se concentrer sur l'analyse et la stratégie de haut niveau plutôt que sur des tâches répétitives.
Cas mis en évidence : Collecte et communication automatisées de renseignements
En 2024, Gao et al a présenté ThreatKG, un système alimenté par l'IA qui recueille automatiquement des renseignements sur les cybermenaces à partir de sources ouvertes, extrait les entités clés telles que les acteurs et les vulnérabilités, et les organise dans un graphe de connaissances structuré. Au lieu que les analystes lisent manuellement de longs rapports non structurés, le système fournit une vue d'ensemble consolidée et consultable. Cela permet de réduire la charge administrative des opérations défensives, d'accélérer la production de rapports sur les incidents et d'améliorer la connaissance de la situation en cas de menaces actives. En transformant des informations fragmentées en informations accessibles, ThreatKG permet au personnel de consacrer plus de temps à l'interprétation et à la prise de décision. L'étude illustre comment l'IA peut remodeler le travail défensif quotidien en rendant la collecte de renseignements plus efficace et exploitable, tout en soulignant la nécessité d'une supervision pour garantir l'exactitude et la pertinence des informations.
-
Gouvernance, implications éthiques, juridiques et sociales de l'IA dans le domaine de l'OSINT. "Open Source Intelligence and AI : A Systematic Review" (Ghioni et al. 2023)
L'article passe en revue 571 études sur l'IA dans l'OSINT, sur l'utilisation de l'IA dans le renseignement de source ouverte (OSINT), en examinant ses implications en matière de gouvernance, d'éthique, de droit et de société. L'article constate que l'IA a élargi les capacités OSINT grâce à l'apprentissage automatique, à l'exploration de données et à la criminalistique visuelle, mais qu'elle a également soulevé des préoccupations pressantes en matière de protection de la vie privée, de responsabilité, de partialité et d'utilisation abusive. Les auteurs soulignent les lacunes de la réglementation, de la surveillance et de la transparence, appelant à des cadres plus solides pour garantir que l'OSINT alimenté par l'IA soutienne les opérations de renseignement sans porter atteinte aux droits, à la confiance ou à la responsabilité démocratique. -
Génération de rapports automatisés "AGIR : Automating Cyber Threat Intelligence Reporting with Natural Language Generation" (Perrina et al. 2023)
L'article présente AGIR, un système de génération de langage naturel qui crée des rapports CTI complets à partir de graphes d'entités formels. AGIR réduit le temps de rédaction des rapports de plus de 40% tout en maintenant une précision et une fluidité élevées, démontrant comment l'IA peut automatiser les tâches de rédaction et d'analyse des rapports, libérant ainsi les analystes pour qu'ils se concentrent sur l'interprétation et la stratégie de haut niveau.
Générer des données synthétiques
La génération de données synthétiques permet de créer des ensembles de données artificielles à des fins de formation, de test ou de simulation sans exposer les informations sensibles du monde réel.
Comment l'IA modifie la production de données synthétiques :
L'IA peut produire des échantillons réalistes de trafic réseau ou de logiciels malveillants pour une utilisation en laboratoire, combler les lacunes lorsque les données réelles ne sont pas disponibles, et protéger la vie privée tout en permettant l'expérimentation. Cela aide les éducateurs et les défenseurs à se préparer à des incidents réels sans risquer d'exposer des données sensibles.
Cas mis en évidence : Utilisation des GAN pour produire des données de formation sûres et réalistes
En 2022, Nukavarapu et al a mis au point MirageNet, un cadre qui utilise des réseaux adversaires génératifs (GAN) pour créer un trafic réseau synthétique réaliste. Le système peut reproduire des modèles de trafic DNS et d'autres protocoles d'une manière qui ressemble étroitement aux données du monde réel, mais sans exposer les informations sensibles des réseaux en direct.
Cette innovation est importante car les défenseurs et les éducateurs ont souvent besoin de données réalistes pour la formation, les tests et l'expérimentation, mais ne peuvent pas toujours utiliser le trafic opérationnel pour des raisons de confidentialité ou de sécurité. MirageNet permet des simulations sûres qui préparent les analystes à des attaques réelles tout en évitant les risques de divulgation. L'utilisation de l'IA, et dans ce cas des GAN, permet une expérimentation plus sûre et plus évolutive. Dans le même temps, il reste important de valider que les données synthétiques reflètent réellement les conditions opérationnelles réelles, afin de garantir la fiabilité de la formation et des tests.
-
Apprentissage profond pour la modélisation synthétique du trafic réseau - "STAN : Synthetic Network Traffic Generation with Generative Neural Models" (Xu et al. 2021)
L'article présente STAN (Synthetic network Traffic generation with Autoregressive Neural models), une architecture neuronale qui modélise les dépendances temporelles et d'attributs dans le trafic réseau afin de générer des ensembles de données réalistes. Les résultats montrent que les modèles de détection d'anomalies formés sur le trafic synthétique de STAN ont atteint une précision presque comparable à celle des modèles formés sur des données réelles, démontrant ainsi que l'apprentissage profond permet d'obtenir des ensembles de données synthétiques de haute qualité pour la formation et la simulation de la préparation tout en préservant la vie privée. -
Évaluation des méthodes de génération de trafic synthétique - "Génération de données synthétiques sur le trafic des réseaux : A Comparative Study" (Ammara et al., 2025)
L'étude évalue douze méthodes de génération de trafic synthétique, y compris des approches statistiques, d'IA classique et d'IA générative, en utilisant des ensembles de données standard. Les résultats montrent que les modèles basés sur le GAN offrent une fidélité et une utilité supérieures, tandis que les méthodes statistiques maintiennent l'équilibre des classes mais manquent de complexité structurelle.
Gestion des identités et des accès (IAM)
La gestion des identités et des accès (IAM) garantit que seuls les utilisateurs autorisés ont un accès approprié aux systèmes et aux ressources.
Comment l'IA modifie la gestion des identités et des accès :
L'IA renforce l'IAM en détectant les schémas de connexion anormaux qui peuvent signaler une utilisation abusive des informations d'identification, en recommandant des politiques d'authentification adaptatives et en automatisant les contrôles de routine. En cas d'incident, elle peut rapidement signaler les comptes compromis et déclencher des contrôles renforcés pour contenir les menaces.
Cas mis en évidence : Détection des accès inhabituels et inappropriés
En 2024, Vente a mené une étude de validation de concept sur l'application de l'IA aux systèmes IAM. En intégrant un modèle de détection des anomalies dans une plateforme IAM en direct, le système a été en mesure de signaler les comportements de connexion inhabituels et les privilèges d'accès inappropriés. Cette approche permet aux organisations de détecter plus rapidement les comptes compromis ou les abus d'initiés et d'adapter les politiques d'authentification de manière dynamique lorsque des risques sont détectés. L'étude a mis en évidence des gains d'efficacité évidents, tout en soulignant la nécessité d'une surveillance humaine pour interpréter les anomalies signalées et éviter les perturbations inutiles. L'IA permet donc de renforcer le contrôle d'accès au quotidien et peut transformer l'IAM en une ligne de défense plus adaptative et proactive.
-
Audit des infrastructures critiques - "AI-Powered IAM Audit for Anomaly Detection in Critical Infrastructure" (Rodriguez et al. 2025)
Cet article propose un cadre d'audit IAM alimenté par l'IA qui combine l'ingénierie des caractéristiques, la détection non supervisée des anomalies et la classification supervisée pour analyser les journaux IAM. Sur un ensemble de données synthétiques modélisé d'après une infrastructure critique, le système a atteint un taux de détection de 92% avec un taux de faux positifs inférieur à 3%. Les résultats démontrent comment l'IA améliore l'audit des journaux IAM, permettant une détection proactive des menaces d'initiés et des anomalies d'accès subtiles que les méthodes traditionnelles manquent souvent.
Analyse du journal
L'analyse des journaux examine les journaux du système et de la sécurité afin de détecter, d'étudier et de comprendre les incidents.
Comment l'IA modifie l'analyse des logs :
L'IA peut traiter des volumes massifs de journaux en temps réel, mettre en évidence des séquences d'événements inhabituels et générer des résumés concis. Cela améliore la détection et permet d'accélérer l'enseignement et les simulations d'incidents.
Cas mis en évidence : Agents d'intelligence artificielle pour l'analyse des journaux et la découverte de modèles de menaces
En 2025, Karaarslan et al a examiné comment les agents d'intelligence artificielle pourraient faciliter l'analyse des nombreux journaux générés par les pots de miel Cowrie. Les pots de miel imitent délibérément des systèmes vulnérables pour attirer les attaquants, mais il en résulte un volume écrasant de données brutes que les analystes humains ont du mal à interpréter.
Les chercheurs ont montré que les agents d'intelligence artificielle peuvent analyser et résumer automatiquement ces journaux, en extrayant les schémas d'attaque récurrents et en générant des rapports concis. Cette automatisation réduit le travail manuel, améliore la connaissance de la situation et permet aux défenseurs de détecter les tendances et d'ajuster les mesures de sécurité plus rapidement. L'étude illustre la manière dont l'IA peut transformer des ensembles de données ingérables en renseignements exploitables, tout en soulignant la nécessité de valider soigneusement les résultats afin de ne pas se tromper dans l'interprétation des tactiques adverses évolutives ou trompeuses.
-
Analyse auto-supervisée des logs - "AI-Driven Log Analysis Using Transformer Constructs" (Pan 2023)
Cette étude explore la manière dont l'IA peut soutenir l'analyse des journaux pour la détection et l'investigation des incidents. À l'aide d'un modèle Transformer formé sur des entrées de journaux normales, l'approche applique l'augmentation des journaux pour l'apprentissage auto-supervisé des caractéristiques et affine ensuite le modèle avec l'apprentissage par renforcement sur un petit ensemble de données étiquetées. Les résultats indiquent que cette méthode peut surmonter les difficultés liées à l'hétérogénéité des sources de données et à la rareté des données étiquetées, ce qui laisse présager un déploiement pratique et réel dans les opérations de cybersécurité. -
Analyse des journaux basée sur l'apprentissage profond pour la détection des intrusions - "Cyberattack event logs classification using deep learning with semantic feature analysis" (Alzu'bi et al. 2025)
Cette étude propose un cadre basé sur l'apprentissage profond qui utilise la vectorisation sémantique et les encastrements BERT pour analyser les journaux d'événements afin de détecter les intrusions. En catégorisant les journaux par type d'événement et d'attaque avec une IA explicable, l'approche améliore la précision de la détection, atteignant plus de 99% de rappel et de précision, et surpasse les modèles existants.
Analyse des logiciels malveillants
L'analyse des logiciels malveillants permet de comprendre leur comportement, leur origine et leur impact potentiel.
Comment l'IA modifie l'analyse des logiciels malveillants :
L'IA accélère la classification en identifiant les similitudes de code entre les familles de logiciels malveillants et en générant des explications sur l'exécution en bac à sable. Elle aide les analystes à comprendre rapidement le fonctionnement des logiciels malveillants, ce qui permet une réponse plus rapide et des mesures d'atténuation plus efficaces.
Cas mis en évidence : Désassemblage de logiciels malveillants assisté par l'IA
En 2025, Apvrille et Nakov a évalué R2AI, un plugin d'IA pour le désassembleur Radare2, sur des échantillons récents de logiciels malveillants Linux et IoT. Le système intègre les LLM dans le processus de rétro-ingénierie, aidant les analystes à décompiler les fonctions, à renommer les variables et à identifier les comportements suspects. Leur étude a montré que l'assistance de l'IA pouvait réduire le temps d'analyse de plusieurs jours à environ la moitié, tout en maintenant une qualité égale ou supérieure à celle d'une analyse réalisée uniquement par des humains. Par exemple, dans le cas du logiciel malveillant Linux/Devura, l'IA a correctement déduit des formats d'arguments que les analystes humains n'avaient pas détectés. Toutefois, des limites subsistent : les modèles ont parfois produit des hallucinations, des exagérations ou des omissions, et ont nécessité une validation constante par des experts qualifiés. Les résultats suggèrent que le désassemblage assisté par l'IA est plus efficace en tant que multiplicateur de force, en accélérant le triage et en découvrant des détails plus rapidement, tout en s'appuyant sur la supervision humaine pour garantir l'exactitude et éviter les erreurs d'interprétation.
-
Segmentation sémantique pour la classification - "Deep Learning with Semantic Segmentation for Malware Classification" (Chen et al. 2025)
L'étude démontre que l'application de l'IA à des parties sélectionnées de fichiers de logiciels malveillants, plutôt qu'à des séquences entières de fichiers, peut améliorer considérablement les performances. En se concentrant sur les données d'en-tête des fichiers exécutables portables, leur modèle a atteint une précision de 99,54% dans la classification des familles de logiciels malveillants. Cela suggère que le fait de cibler les sections de code les plus informatives permet une détection plus rapide et plus fiable des menaces. -
Apprentissage en quelques clics pour les nouveaux logiciels malveillants "A few-shot malware classification approach for unknown family recognition using malware feature visualization" (Conti et al. 2022)
L'article propose d'utiliser l'apprentissage à partir d'une poignée d'exemples pour classer les familles de logiciels malveillants, ce qui évite de devoir entraîner à nouveau les modèles à chaque fois qu'un nouveau logiciel malveillant fait son apparition. En visualisant les binaires de logiciels malveillants sous forme d'images à trois canaux et en testant deux architectures (CSNN et Shallow-FS), l'étude montre une grande précision dans la classification des logiciels malveillants traditionnels et nouveaux. Cela démontre le potentiel des approches à faible impact pour améliorer l'adaptabilité et la rapidité de la détection des menaces émergentes.
Formation et laboratoires
Les formations et les laboratoires offrent des environnements contrôlés pour des exercices pratiques et des simulations en matière de cybersécurité.
Comment l'IA modifie la formation et les laboratoires :
L'IA peut générer des scénarios de laboratoire dynamiques adaptés aux progrès de l'apprenant, créer des défis adaptatifs de difficulté variable et automatiser le retour d'information et l'évaluation. Cela permet une formation plus réaliste et plus évolutive.
Cas mis en évidence : Des champs de tir cybernétiques alimentés par l'IA pour une formation adaptative
En 2025, Sisodiya et ala présenté une cyber-gamme alimentée par l'IA, conçue pour améliorer le réalisme et l'efficacité de la formation à la cybersécurité. Contrairement aux laboratoires statiques traditionnels, la plateforme utilise l'IA pour ajuster la difficulté des scénarios en fonction des progrès de l'apprenant, injecter des événements d'attaque réalistes et fournir un retour d'information automatisé.
L'étude a montré que les étudiants formés dans cet environnement ont atteint une plus grande précision de détection et réduit les délais d'intervention par rapport aux approches conventionnelles. Pour les éducateurs, le système permet d'échelonner les exercices, de personnaliser les défis et d'intégrer dans les simulations les leçons tirées d'incidents réels.
Sur le plan technique, la recherche a également démontré que les architectures hybrides, combinant l'évolutivité de l'informatique dématérialisée et la fidélité des systèmes physiques, permettent d'obtenir des scénarios plus réalistes et plus adaptables. Les résultats mettent en évidence la manière dont l'IA peut transformer la formation d'exercices fixes en environnements d'apprentissage dynamiques qui préparent mieux les étudiants et les professionnels aux cybermenaces réelles.
-
Méthodes de formation à la cybersécurité - "A Systematic Review of Current Cybersecurity Training Methods" (Prümmer et al. 2024)
L'article montre qu'un large éventail d'approches de formation à la cybersécurité, y compris des méthodes basées sur le jeu, améliore le comportement de l'utilisateur final et les résultats en matière de sécurité organisationnelle. Les résultats mettent en évidence l'efficacité des programmes de formation structurés, mais révèlent également des difficultés telles que la petite taille des échantillons et les conceptions non expérimentales. Cela souligne la valeur de l'intégration de l'IA dans la formation et les laboratoires afin d'étendre les interventions, de personnaliser le contenu et de générer des exercices adaptatifs qui surmontent les limites des méthodes traditionnelles.
Questions de discussion
- Quelle phase du cycle de vie des cyberincidents (prévention, préparation, réaction, rétablissement) est la plus susceptible d'être transformée par l'IA à l'avenir, et quelle est la phase dans laquelle l'IA fait actuellement la plus grande différence ? Où l'IA semble-t-elle la moins efficace ?
- L'IA modifie-t-elle l'équilibre des forces dans le cyberespace en faveur des défenseurs, ou aide-t-elle surtout les attaquants à garder le dessus ?
- Les outils d'IA à code source ouvert et largement disponibles permettront-ils aux petits défenseurs de jouer à armes égales, ou les systèmes propriétaires avancés continueront-ils à donner un avantage écrasant aux grandes organisations ?
- Comment la capacité de l'IA à automatiser la détection, le triage et la réponse modifie-t-elle la vitesse et la nature des opérations défensives ? Cela pourrait-il rendre les "modèles SOC traditionnels" obsolètes ?
- Les défenseurs pourraient-ils devenir trop dépendants de l'IA, ce qui entraînerait des angles morts si les modèles échouaient, étaient empoisonnés ou trompés par des données adverses ?
- Qui porte la responsabilité si les systèmes d'IA passent à côté de menaces critiques ou font des recommandations erronées : les développeurs, les organisations qui les déploient ou les analystes humains qui s'appuient sur eux ?
- Comment les décideurs politiques devraient-ils encourager l'utilisation responsable de l'IA dans la défense sans étouffer l'innovation ou limiter l'accès des éducateurs et des petites organisations ?
- À mesure que les attaquants et les défenseurs adoptent l'IA, les cyberconflits se transformeront-ils en un concours de "défense autonome contre attaque autonome" ?
