Proxitek - La tech nouvelle génération Par des passionnés. Pour des passionnés.

L’attaquant le plus dangereux de l’année ne semblait pourtant pas exceptionnel Signée par Nicole Beckwith, Senior Director, Security Engineering & Operations chez Cribl Dans son analyse d’une année de cyberattaques assistées par l’IA, Anthropic attribue son score maximal à une campagne d’espionnage étatique interrompue en novembre 2025. Pourtant, avec 30 techniques réparties sur 13 tactiques MITRE ATT&CK, celle-ci ressemblait aux opérations de nombreux acteurs classés à risque moyen. Ce décalage met en évidence une limite des approches de détection : le nombre de techniques utilisées constitue, à lui seul, un indicateur limité du niveau de risque. L’enjeu est surtout de comprendre comment ces techniques sont combinées, enchaînées et exécutées dans le temps. Les indicateurs ont toujours été le maillon fragile Depuis vingt ans, les équipes de sécurité s’appuient sur les traces laissées par les attaquants, malwares, adresses IP malveillantes ou domaines suspects, pour identifier les menaces connues et bloquer des attaques déjà observées. La Pyramid of Pain de David Bianco mettait déjà en évidence cette faiblesse en 2013. Les indicateurs les plus faciles à exploiter pour les défenseurs sont également les plus simples à modifier pour les attaquants. Une empreinte peut changer avec le fichier, tandis qu’une adresse IP peut simplement être remplacée. Les techniques et procédures nécessaires pour atteindre un objectif sont, elles, beaucoup plus difficiles à modifier. L’IA générative accentue cette faiblesse en réduisant le coût de la variation. De nouvelles variantes de malwares peuvent être produites rapidement, les campagnes de phishing industrialisées et les outils offensifs assemblés avec moins d’expertise spécialisée. La durée de vie de certains indicateurs peut ainsi devenir plus courte que le temps nécessaire pour les identifier, les partager et les exploiter. Ces flux restent utiles pour bloquer les menaces connues à grande échelle, enrichir les enquêtes et analyser rétrospectivement une campagne. Ils ne peuvent toutefois plus constituer, à eux seuls, le socle d’une stratégie de détection. Une technique isolée reste un signal faible L’étude d’Anthropic a analysé 832 comptes bannis pour activité cybermalveillante entre mars 2025 et mars 2026, soit 13 873 actions, 482 techniques et les 14 tactiques ATT&CK. Le nombre de techniques variait pourtant peu selon le niveau des attaquants. Les acteurs les moins expérimentés en utilisaient en moyenne environ 16, contre 20 pour les plus avancés. La plateforme utilisée ne modifiait pas ce constat. Ce résultat reflète aussi la réalité des environnements d’entreprise. Une identification de comptes peut signaler une attaque comme une opération d’administration légitime. Une technique prise isolément nécessite donc presque toujours d’être replacée dans son contexte. C’est la corrélation entre plusieurs activités qui leur donne tout leur sens. Une identification de comptes suivie d’un accès aux identifiants, d’un déplacement vers un autre système puis d’une préparation à l’exfiltration de données dans un intervalle réduit dessine une séquence beaucoup plus significative. L’ordre des actions, l’identité concernée, les systèmes traversés et ce qui se produit ensuite deviennent alors des éléments à part entière de la détection. L’IA intervient plus profondément dans la chaîne d’attaque Même automatisée, une attaque exigeait jusqu’ici qu’un opérateur interprète les résultats et choisisse l’étape suivante. Lorsque l’IA prend en charge une partie de cette décision, le temps entre les différentes étapes peut fortement diminuer. Les données d’Anthropic montrent que l’usage de l’IA se déplace vers les phases post-compromission. Son utilisation pour identifier des comptes dans des environnements compromis a progressé de 8,9 %, tandis que le phishing assisté par IA a reculé de 8,6 %. La part des acteurs classés à risque moyen ou supérieur est passée de 33 % à 56 %. La vitesse ne prouve rien à elle seule. Mais une séquence plausible sur plusieurs heures pour un administrateur prend un autre sens lorsqu’elle traverse plusieurs systèmes en quelques minutes. Le temps doit donc entrer dans la détection. C’est le principe d’APEX, pour Adversarial Pattern Extraction and Correlation, un cadre de détection comportementale développé autour des constats d’Anthropic. Il analyse les combinaisons de techniques, leur ordre, leur rythme et les entités impliquées afin d’identifier des chaînes plus durables que les signaux isolés. Les cadres de référence doivent évoluer MITRE ATT&CK décrit les techniques utilisées pendant une intrusion, mais ne permet pas encore de représenter l’orchestration agentique qui les relie. Un système capable d’interpréter un résultat, de choisir l’action suivante et de progresser avec peu d’intervention humaine reste donc difficile à représenter. Anthropic travaille avec MITRE pour intégrer ce comportement. Pour les responsables de la sécurité, l’enjeu est immédiat. Reconnaître une chaîne comportementale suppose de corréler les signaux issus des terminaux, des identités, des réseaux et du cloud. Accumuler davantage de télémétrie ne suffit pas si les données restent fragmentées ou arrivent trop tard. Ce que les attaquants ne peuvent pas changer Plus de dix ans après la Pyramid of Pain, le principe reste valable : les comportements changent moins facilement que les indicateurs. APEX cherche à le traduire en logique de détection en observant leur séquence, leur rythme et leur contexte. Car si l’IA facilite la modification des éléments visibles d’une attaque, elle ne change pas ses exigences opérationnelles. Pour voler des données, un attaquant doit toujours accéder à l’environnement, le comprendre, obtenir des privilèges suffisants puis extraire l’information. Les outils peuvent varier, pas cette trajectoire. C’est précisément ce qui rend l’évolution des approches de détection plus urgente à l’heure de l’IA.

Active DirectoryActus AutomatiséesActus TechAuthentificationInnovationMaintenanceSciencesSécurité

L’Active Directory est-il en phase terminale ?

Krigs

03/11/2026

9 0

485Actus AutomatiséesActus TechSciencesTest

Probably Stolen

Krigs

03/11/2026

7 0

Actus AutomatiséesActus TechBons PlansBons plans smartphonesMarquesProduitsSciencesSmartphones

À 109 € pour le Black Friday, voici le smartphone le plus abordable signé Xiaomi

Krigs

03/11/2026

7 0

Actus AutomatiséesActus TechBricolagehardware-diy/gadgets-crowdfundingmesureSciencestélémètre lasertélémètre laser HOTO

Test du télémètre laser de poche HOTO – précis à 2 mm

Krigs

03/11/2026

8 0

Actus AutomatiséesActus TechConsoles de jeuxGamingGNU/LinuxMarquesOSSciences

Le Steam Deck a mystérieusement disparu de Steam : que prépare Valve ?

Krigs

03/11/2026

11 0

Actus AutomatiséesActus TechHyundaiMarquesSciencesSurvoltésTestsVoitures électriques

J’ai essayé la Hyundai Ioniq 3 : un coffre géant et une autonomie XXL, mais une concurrence impitoyable

Krigs

03/11/2026

10 0

Actus AutomatiséesActus TechChatGPT (OpenAI)Intelligence artificielleMarquesOpenAIPCSciences

ChatGPT : les agents IA Dots deviennent plus puissants et encore plus autonomes

Krigs

03/11/2026

11 0

Actus AutomatiséesActus TechBons PlansBons plans TVMarquesProduitsSciencesTCL

Oubliez Samsung : ce TV Mini LED TCL (144 Hz) qui imite un tableau à la perfection chute à 699 € au Black Friday

Krigs

03/11/2026

12 0

Actus AutomatiséesActus TechIntelligence artificielleMarquesMicrosoftMicrosoft CopilotOSSciences

Votre PC a-t-il assez de RAM pour l’IA ? Microsoft prépare une classification en 4 niveaux et 8 Go de RAM suffisent

Krigs

03/11/2026

8 0

Actus AutomatiséesActus TechMotos ÉlectriquesSciencesSurvoltésZero Motorcycles

Moins de 8 000 € pour 130 km/h en permis A1 : Zero Motorcycles veut secouer la moto électrique avec Project Ventura

Krigs

03/11/2026

8 0

Menu

💡 Notre petit plus : PubTonProjet !