Cybersécurité : pourquoi la vitesse d'attaque dépasse désormais la capacité de réponse humaine

DGFiP, SFR, ANTS… pendant que les fuites de données s'accumulent côté grand public, un autre basculement s'opère en coulisses : celui de la vitesse à laquelle les attaques informatiques sont désormais exécutées. Dans ce nouvel épisode de L'Angle d'Attaque, Thibault Bougon, Field CTO chez SentinelOne, est revenu avec Yasmine Douadi sur ce constat, et sur la seule réponse qui, selon lui, reste tenable : arrêter de vouloir tout voir, pour mieux prioriser ce qui compte vraiment.

Le constat : des attaques exécutées en quelques secondes
‍

S'il fallait retenir une évolution majeure de la cybercriminalité selon le Sentinel Labs 2025 Review, ce ne serait pas un changement de méthode, mais un changement de tempo. « Globalement dans le playbook des attaquants, on ne voit pas un réel changement dans les méthodes qu'ils utilisent » constate Thibault Bougon. Phishing, exploitation de vulnérabilités, vol d'identité : les techniques restent les mêmes. C'est leur vitesse d'exécution qui a radicalement changé.

À lire aussi : VPN : les dangers, les arnaques et les limites de l’anonymat

L'exemple le plus frappant concerne les attaques par chaîne d'approvisionnement (supply chain). SentinelOne en a détecté trois rien qu'en juin 2026, contre une par trimestre auparavant. Parmi elles, la compromission du package JavaScript Axios, largement utilisé par les développeurs, n'a duré que trois heures, mais a suffi à toucher l'équivalent de 600 000 victimes. Pire encore : la première exploitation a eu lieu 89 secondes après la prise de contrôle du package par les attaquants. « Aujourd'hui, n'importe quel processus de réponse actuelle devient obsolète, » résume Thibault Bougon.
‍

Cette accélération s'accompagne d'un usage croissant de l'IA à d'autres étapes de l'attaque : automatisation du contournement des CAPTCHA, génération d'emails de phishing ultra-ciblés dans plusieurs langues, ou triage accéléré des données volées une fois un accès initial obtenu.
‍

La réponse : prioriser plutôt que tout détecter
‍

Face à ce tempo, la tentation serait de miser sur une détection toujours plus exhaustive. C'est précisément le piège que pointe Thibault Bougon à propos de Mythos, le modèle d'intelligence artificielle d'Anthropic. La fondation Mozilla a rapporté avoir découvert plus de 400 nouveaux bugs en un mois grâce à son utilisation, contre une cinquantaine auparavant. Un chiffre impressionnant, mais trompeur si on s'arrête là. « Il y a un gap entre la perception du nombre de vulnérabilités qu'on découvre et l'exploitation réelle de ce type de vulnérabilité par un attaquant » nuance-t-il. Sur les centaines de bugs identifiés, seule une fraction réduite s'avère effectivement exploitable.

Le vrai enjeu n'est donc plus la quantité de données ou de vulnérabilités détectées, mais la capacité à en extraire ce qui compte réellement, dans le contexte propre à chaque organisation. C'est ce que Thibault Bougon illustre avec un cas suivi par SentinelOne : une campagne d'infiltration attribuée à un acteur étatique nord-coréen, visant des entreprises IT occidentales via de faux profils d'employés légitimes. C'est en croisant des données RH (fuseau horaire, adresse déclarée) et des données de télémétrie cyber (VPN, machine de connexion) que ces attaquants internes ont pu être identifiés. Une démonstration concrète que la valeur ne vient pas du volume de données collectées, mais de leur mise en relation.

À lire aussi : IA générative et données d'entreprise : le nouveau risque

Cette même logique de priorisation traverse aussi les outils : la frontière historique entre SIEM (orienté enquête a posteriori) et XDR (orienté réponse en temps réel) s'efface, les deux architectures convergeant vers un même objectif de corrélation rapide. Et face à des attaquants qui adaptent leur mode opératoire à chaque cible, les indicateurs de compromission statiques perdent vite leur utilité. « Tout est nouveau et tout est expiré au bout de quelques secondes, » observe Thibault Bougon, d'où un basculement vers l'analyse comportementale, seule capable de suivre le rythme.
‍

Une automatisation encadrée, pas déléguée
‍

Face à la pénurie de talents dans le secteur, l'automatisation portée par l'IA devient, selon Thibault Bougon, un prérequis plutôt qu'une option. Les 89 secondes de la faille Axios ne laissant statistiquement aucune place à une réponse humaine seule. Mais cette automatisation doit rester sous contrôle : « Cette IA, il va falloir la gouverner, il va falloir l'encadrer, avoir des gardes de fou en interne » insiste-t-il. Le rôle de l'analyste SOC évolue ainsi vers une fonction de supervision, proche de celle d'un architecte encadrant les actions d'une IA autonome. Sa conclusion résume l'ensemble de l'échange : « Il faut une IA pour combattre l'IA. »