"Chez Eramet, une purple team travaille directement sur les agents IA pour la cybersécurité"

En amont de sa participation à l'Excellence Sprint Cyber d'Alliancy du 24 juin prochain, Marc Tournier, Group CISO d'Eramet, partage son éclairage sur les réflexions qui peuvent le plus profiter à l'écosystème cyber actuellement.

L’impact de l’intelligence artificielle en cybersécurité peut prendre de nombreuses formes. Quelles sont celles qui vous préoccupent le plus en tant que CISO ?

Effectivement, quand on aborde l’IA et la cyber, il peut y avoir beaucoup de confusion : IA offensive, IA utilisée dans les outils de défense, IA en tant que stratégie de défense, sécurité de l’IA en elle-même, gestion des usages de « shadow AI », voire questionnements de confiance et de souveraineté... Pour moi, il s’agit avant tout de me recentrer sur mon cœur de métier. Les deux grandes catégories de risques principaux que je dois traiter chez Eramet sont la destruction du système d’information par malveillance et la fuite d’informations sensibles. Je pense qu’il est donc essentiel de se focaliser sur la cyberdéfense opérationnelle quand on est à un poste comme le mien.

À quel point l’IA a-t-elle changé la donne pour vous sur ce point ces dernières années ?

Nous avons tous entendu, depuis des années, les vendeurs de technologies nous dire qu’ils avaient ajouté de l’IA dans leurs outils pour nous aider à nous défendre au quotidien. Il faut garder à l’esprit que c’est une logique marketing normale, pour créer de la nouveauté et de l’intérêt. Dans les faits, le machine learning existe depuis longtemps en cyber. Ce qui change le plus ces derniers temps, c’est la puissance de calcul et l’optimisation des algorithmes, qui font que ce machine learning passe à une échelle différente d’une part, et l’accessibilité des LLM, qui ajoute une surcouche de « compréhension » d’autre part. De même, la parallélisation permise par l’agentique permet de décupler la puissance des modèles.

Au-delà du marketing intense sur le marché, la situation n’a-t-elle pas changé avec des actualités comme Mythos ?

Dans ma vision, le point clé est que Mythos ne va pas seulement chercher des « zero day » ou des vulnérabilités, comme nous le faisions avant, mais cette fois-ci à plus grande échelle. La différence est surtout qu’il vient valider le fait que ces vulnérabilités sont exploitables. Autrement dit, c’est une approche « KVE » plutôt que « CVE ». C’est plutôt l’équivalent de faire travailler une équipe de red team senior sur des scénarios d’attaque spécialisés et très concrets. Donc, quand j’entends que, via le consortium Glasswing, 10 000 vulnérabilités ont été trouvées par Mythos, je me dis qu’il faut surtout comprendre qu’il s’agit en fait de 10 000 confirmations de « pwn » (de compromission de sécurité avérée, NDLR). Cela marque la fin de la simple recherche de CVE : on ne doit plus en être là et passer du temps et de l’énergie à trier des milliers de signalements...

À quel niveau cela a-t-il le plus d’impact selon vous ?

Certains des clients pris pour exemple par le consortium ont des SLA de correction de vulnérabilités de deux heures après la publication du CVE... Ce qui est exigeant. Or, ces clients sont inquiets : pour eux, la confirmation d’un scénario d’exploitation fait que deux heures, cela devient une éternité ! Jusqu’à présent, beaucoup d’entreprises s’autorisaient pourtant un mois pour patcher une vulnérabilité sans que cela gêne grand monde... Cette dimension temporelle change complètement : on doit parler de minutes ou de secondes, car l’« agentic malware » va se paramétrer très rapidement. C’est un changement de rythme et de paradigme majeur. Nos KPI historiques de performance, basés sur le temps nécessaire pour corriger une vulnérabilité, ne vont plus vouloir dire grand-chose.

Qu’est-ce que cela implique comme réorganisation pour les équipes de cybersécurité et comme changements dans leurs outils ?

On l’a dit, tous les systèmes intègrent de l’IA et du ML... C’est très bien, mais dans ce cadre, l’IA ne reste qu’un outil. Pertinent, mais limité. L’IA amène une capacité à aller plus rapidement et plus finement vers de la pertinence, mais pas de l’intelligence à proprement parler. Oui, nos analyses vont être renforcées, pour le SIEM par exemple. On peut dire qu’il va trouver des aiguilles plus fines dans la botte de foin, qu’il ne voyait pas avant. Mais ce n’est pas pour autant qu’il va nous mettre face à de nouveaux scénarios d’attaque. Si les entreprises comptent seulement là-dessus pour renforcer « l’intelligence » dans leur stratégie et leurs tactiques, elles vont se planter.

Comment faire alors ?

La vraie intelligence ne peut être qu’humaine en cybersécurité. Il faut capitaliser sur l’innovation des équipes et sur le travail réalisé au niveau des tactiques. Prenons un peu de recul : si on découpe en trois grands ensembles les composants d’une cyberdéfense, on peut dire qu’il y a la stratégie de défense, les tactiques qui la traduisent et les outils techniques opérationnels.

De manière générale aujourd’hui, tout le monde converge vers la même stratégie de défense dans les grandes lignes, bien sûr adaptée selon le contexte et les objectifs de l’entreprise, son analyse des risques et ses actifs stratégiques ; mais on ne peut pas imaginer des stratégies fondamentalement différentes entre chaque acteur. De même, nous atteignons progressivement tous le même niveau sur l’opérationnel et les outils techniques grâce aux référentiels du marché : les différents aspects détaillés par le NIST, avec la protection des actifs, la capacité de détection, la réaction, la préparation au pire et la reprise d’activité (« recovery »)...

Je pense que c’est vraiment sur la couche intermédiaire entre les deux que se situe tout l’enjeu pour les défenseurs. Sur quelles tactiques peut-on s’appuyer et qu’est-ce qui est pertinent vis-à-vis du contexte d’une attaque ? On ne peut pas tous avoir les mêmes et on ne peut pas non plus tout déployer pour couvrir tous les cas de figure. Il y a des choix à faire. Trop souvent, les tactiques se basent sur ce que proposent les outils des offreurs, par facilité... mais c’est faire un contresens.

Et si, sur le marché, il y a une grande maturité autour d’un référentiel comme MITRE ATT&CK pour les tactiques offensives, quand on regarde son pendant, MITRE D3FEND, c’est beaucoup moins le cas. Le travail à faire reste énorme.

Quel exemple de tactique vous paraît pertinent dans ce contexte IA ?

Mon cheval de bataille est notamment autour de la « deception », c’est-à-dire le leurrage, renforcé par l’agentique. Comment peut-on tromper l’adversaire au moment où il nous cible ? Pour y parvenir, il faut avoir de l’information sur l’attaque et l’attaquant, mais notre objectif, en tant qu’entreprise privée, ce n’est pas de faire du renseignement, c’est d’éviter de se faire « pwn ». Alors la tactique ne peut pas se limiter à faire du renseignement sur la menace : ce dont j’ai besoin, c’est d’avoir la certitude de l’existence d’une attaque, de la détecter et d’agir pour éviter qu’il y ait des dégâts.

Avec l’IA partout, j’imagine un monde où nous aurons des malwares complètement adaptés au contexte de leur cible, certes ; mais, en miroir, il faudra avoir des tactiques défensives capables du même « morphing » pertinent, au même rythme, pour les défenses. Ce dont je parle, ce sont des honeypots qui s’adaptent directement : un faux Active Directory, une fausse base de données, un faux réseau... Selon ce que cherche l’attaquant, l’environnement « ciblé » se mettrait automatiquement en face de lui. Si l’attaquant vient chercher un serveur de fichiers, on lui présente automatiquement ce type de serveur pour lui faire perdre du temps et pouvoir le contrer. Autrement dit, cela revient à faire de la threat intelligence et du threat hunting automatisés avec l’IA.

Est-ce que vous voyez déjà des acteurs du marché cyber se positionner sur une telle proposition de valeur ?

Les vendeurs n’y sont pas pour le moment. Un éditeur va logiquement sur un marché où il y a un business. Et à ce jour, un vendeur d’EDR fera plus de chiffre d’affaires s’il doit couvrir 100 % du périmètre et tous les endpoints d’une entreprise, plutôt que de s’adapter à une tactique « smart » dès la conception. La question du business model se pose pour voir de vraies évolutions.

Évidemment, les start-up essaieront de se créer cet espace, mais elles font face à l’empreinte et au marketing importants des grands éditeurs. Je garde bon espoir : il y a quelque temps, mon équipe CSIRT a fait un retour d’expérience autour d’un incident important et a imaginé des tactiques de défense adaptées. Ses membres ont depuis monté une start-up avec succès !

Reste la difficulté à convaincre des CISO de sélectionner ce genre d’alternatives. Je pense que nous n’avons pas d’autre choix que de prendre ce genre de risque. Se contenter d’acheter ce qui est en haut à droite du quadrant Gartner n’évitera pas de se faire avoir malgré tout. Surtout si nous nous rangeons tous derrière les mêmes approches globalisantes… c’est un piège.

Faut-il du coup faire plus de « make » et moins de « buy » ?

Le mot d’ordre que j’emploie souvent, c’est « People, Process, Tools »... mais à l’ère de l’IA, il est encore plus important de l’aborder dans le bon ordre. Il faut commencer par les personnes, les compétences et l’intelligence, avant de s’intéresser aux outils. Trop souvent, on voit l’inverse.

Celui qui espère réduire la taille de ses équipes et faire des économies grâce à l’automatisation en cyber, je pense qu’il se met le doigt dans l’œil. Il ferait mieux de s’intéresser à ses équipes, à leur capacité à comprendre et à utiliser l’IA.

Chez Eramet, nous avons par exemple une purple team qui travaille elle-même sur les agents, plutôt que de se dire que tout passera par une solution clé en main du marché. C’est la montée en compétence qui est importante : nous devons garder l’intelligence chez nous, et cela passe par l’apprentissage de l’usage de l’IA.