Attaques informatiques autonomes : les entreprises ont six mois pour accélérer leur défense

Un modèle a mené seul une compromission complète

Les attaques informatiques menées par des agents d’intelligence artificielle ne se limitent plus à l’exécution de tâches isolées, comme écrire du code malveillant ou analyser une vulnérabilité. Au moins un modèle de pointe a démontré qu’il pouvait gérer de manière autonome la compromission complète d’un réseau d’entreprise réaliste, de la recherche des points faibles jusqu’à l’exécution de l’attaque.

Le 2 septembre, Booz Allen a confirmé que Mythos 5 d’Anthropic avait opéré comme un hacker autonome dans un environnement d’entreprise en production. L’entreprise a présenté simultanément le Cyber Weapon Index, ou CWI, une métrique conçue pour évaluer conjointement deux capacités : identifier et exploiter des vulnérabilités, puis poursuivre l’opération contre une cible.

Mythos 5 a obtenu 80 points. Son concurrent le plus proche, Grok-4.5 de SpaceXAI, s’est arrêté à 49.

Ce résultat ne signifie pas que les systèmes autonomes sont déjà fiables dans tous les scénarios. Il montre toutefois que la chaîne offensive complète peut être réalisée techniquement sans nécessiter d’instructions humaines à chaque étape. C’est là le véritable changement d’échelle.

Brad Medairy, président de la division National Cyber de Booz Allen, estime qu’une quasi-parité pourrait s’installer entre les modèles de pointe et les modèles chinois d’ici environ six mois. Il ne s’agit pas d’une échéance certaine, mais d’une fenêtre de préparation : lorsque des capacités comparables seront disponibles sur plusieurs plateformes, le coût et l’échelle pourraient devenir plus importants que la première place du classement.

Les tests montrent une autonomie réelle, mais pas encore une fiabilité constante

Les résultats du CWI sont cohérents avec les évaluations menées par l’AI Security Institute, une structure du Department for Science, Innovation, and Technology du gouvernement britannique.

En juin, l’institut a indiqué que Mythos était parvenu à mener à bien une chaîne d’attaque end-to-end lors d’exercices de type capture-the-flag. Dans le même contexte, GPT-5.5 d’OpenAI a terminé une séquence composée de 32 étapes.

Les taux de réussite restent limités. Mythos a conclu l’attaque lors de trois tentatives sur dix, tandis que GPT-5.5 y est parvenu deux fois sur dix. Tous deux sont donc restés sous la barre des 50 %.

Ces chiffres doivent être interprétés avec prudence, sans pour autant être minimisés. Un taux de réussite de 20 ou 30 % peut sembler faible lorsqu’on évalue une tentative isolée ; il devient plus préoccupant lorsque l’attaquant peut multiplier les essais en parallèle, sans fatigue et avec des coûts marginaux de plus en plus faibles.

L’automatisation modifie également la nature du risque. Un système capable de conserver l’état entre les différentes étapes peut reconstituer la surface exposée, choisir un exploit, vérifier l’accès obtenu et rechercher de nouvelles cibles. Il ne se contente pas d’automatiser une commande : il orchestre un parcours.

Le classement actuel est donc moins important que la vitesse à laquelle les modèles les moins avancés peuvent rattraper leur retard. Si un système moins coûteux atteint des performances suffisantes, l’attaque autonome peut devenir rentable sans être parfaite.

L’attaque contre des serveurs taïwanais illustre la compression des délais

Les essais en laboratoire ne sont pas le seul signal. En juillet, un groupe de cybermenaces sinophone a attaqué des serveurs gouvernementaux taïwanais au cours d’une opération menée sur quatre jours.

Selon l’analyse de Tenable, les agents utilisés dans cette activité ont décidé de manière autonome quels systèmes cartographier, quelles techniques récupérer à partir de ressources publiques et quand étendre l’opération à d’autres secteurs. Ils n’auraient pas reçu d’instructions humaines détaillées pour chaque action.

Tenable a établi un lien entre ce cas et environ une demi-douzaine d’autres attaques assistées par l’intelligence artificielle. On ignore quelle part de l’opération était entièrement autonome et quelle part dépendait d’une supervision humaine. L’avantage opérationnel est néanmoins déjà visible : de nombreuses activités de reconnaissance, de sélection des techniques et d’exécution peuvent être concentrées sur une période beaucoup plus courte.

Cette évolution remet en question les délais de réponse couramment appliqués par les entreprises. Une intervention en moins de quatre heures peut être considérée comme rapide pour une équipe humaine, mais elle pourrait survenir après qu’un agent a déjà énuméré plusieurs systèmes, essayé différents chemins et entamé le mouvement latéral.

La supériorité ne repose pas nécessairement sur des exploits plus sophistiqués. Elle peut venir du volume : davantage de tentatives, sur un plus grand nombre d’actifs, menées simultanément.

Les modèles open-weight et les harness peuvent réduire le coût des attaques

L’accélération pourrait venir non seulement des modèles de pointe, mais aussi des systèmes open-weight. Ces modèles offrent un contrôle plus direct de l’exécution et peuvent réduire les coûts ainsi que les restrictions associées aux services propriétaires.

Nico Waisman, CISO de l’éditeur de sécurité offensive XBOW, souligne une amélioration significative de leurs capacités cyber. Si un modèle open-weight devient suffisamment efficace, l’automatisation offensive pourrait devenir l’option offrant le meilleur retour économique, au lieu de rester une démonstration expérimentale.

La rentabilité dépend d’au moins trois variables :

• le coût des tokens et de l’infrastructure nécessaire ;
• le pourcentage d’attaques menées à bien ;
• la capacité globale mesurée à l’aide d’indicateurs comme le CWI.

Le modèle de base ne constitue en outre qu’une partie du système. Les harness, c’est-à-dire l’ensemble des outils, procédures, éléments de mémoire opérationnelle, contrôles et composants d’orchestration qui permettent à l’IA d’agir, jouent un rôle déterminant.

XBOW a combiné des modèles disponibles sur le marché, des compétences humaines et des harness propriétaires pour identifier six vulnérabilités dans Google Chrome et les organiser en deux chaînes d’attaque. L’avantage ne venait pas d’un accès exclusif à un modèle plus puissant, mais de l’intégration entre les logiciels, les outils opérationnels et le personnel spécialisé.

Pour évaluer un agent offensif, il faut donc examiner les commandes qu’il peut exécuter, les sources auxquelles il peut accéder, le degré d’autonomie dont il dispose et sa capacité à conserver le contexte entre les différentes étapes. Les autorisations requises et la présence de contrôles humains sont également déterminantes.

Le manque de discrétion reste une limite, mais pourrait diminuer

Le Cyber Weapon Index ne mesure pas correctement la furtivité. Les agents actuels ont tendance à être bruyants : ils génèrent de nombreuses requêtes, tentatives et activités facilement observables, car ils n’ont pas été optimisés pour dissimuler leurs opérations.

Cette caractéristique procure un avantage temporaire aux défenseurs. Les analyses agressives, les authentifications répétées, les accès inhabituels et les séquences automatisées peuvent alimenter des règles de détection efficaces.

Il serait toutefois imprudent de considérer ce bruit comme une caractéristique permanente. Des harness plus matures pourraient réduire les tentatives inutiles, répartir les activités dans le temps et mieux sélectionner les techniques. L’intervention d’opérateurs expérimentés peut également rendre un agent plus discret.

À court terme, Booz Allen propose aussi des contre-mesures fondées sur la deception. La solution Guile introduit de fausses pistes, des itinéraires improductifs et des impasses conçues pour désorienter les agents automatisés.

Selon Medairy, les modèles échouent face à ces tromperies dans plus de 90 % des cas, tandis que les humains commettent rarement les mêmes erreurs. La deception peut donc ralentir l’automatisation, mais elle ne remplace ni la segmentation, ni le contrôle des accès, ni la supervision. Il s’agit d’une barrière supplémentaire.

Comment préparer une défense capable de réagir à la vitesse des machines

Se contenter d’appliquer des correctifs ne suffit pas. La correction des vulnérabilités reste essentielle, mais aucune organisation ne peut éliminer immédiatement toutes ses expositions. Un agent autonome peut rechercher le chemin encore ouvert pendant que l’équipe corrige celui qui vient d’être découvert.

La première priorité consiste à cartographier les actifs critiques, les dépendances et les chemins permettant d’étendre une compromission. Les comptes, les systèmes et les segments doivent disposer de privilèges limités, afin qu’une seule violation ne permette pas d’atteindre l’ensemble de l’infrastructure.

Il faut ensuite automatiser les tâches qui ralentissent aujourd’hui le cycle défensif :

• optimisation des règles de détection ;
• triage et enrichissement des événements ;
• priorisation des alertes ;
• isolation des actifs compromis ;
• application de contre-mesures répétitives ;
• vérification continue de l’efficacité des contrôles.

Les entreprises devraient également tester le confinement, et pas seulement la prévention. Une simulation utile doit mesurer la rapidité avec laquelle il est possible de bloquer des identifiants, de segmenter un système et d’interrompre le mouvement latéral.

Les six prochains mois ne constituent pas une prédiction certaine de l’arrivée d’une attaque universelle et infaillible. Ils correspondent plutôt à la période pendant laquelle il faut se préparer à la convergence de trois facteurs déjà observables : des modèles plus performants, de meilleurs harness et des coûts plus faibles.

Une défense reposant principalement sur des décisions manuelles part avec un handicap. L’objectif n’est pas de supprimer l’intervention humaine, mais de la réserver aux décisions critiques tout en automatisant la détection, la vérification et le confinement à la même vitesse que celle à laquelle les agents peuvent attaquer.