L’IA transforme la cybersécurité : le pentesting devient continu

Le dilemme impossible des directeurs de sécurité

« Quand j’étais CIO, la partie la plus difficile de mon travail était de décider ce que je n’allais pas faire », confie Snehal Antani, CEO de la plateforme de pentesting Horizon3.ai. « Et si je choisissais de ne pas corriger une vulnérabilité parce que je n’avais pas les ressources ou que je ne la jugeais pas importante, et que c’était justement par là qu’on se faisait pirater plus tard, j’allais passer une très mauvaise journée. »

Cette angoisse quotidienne des responsables de la sécurité informatique prend une dimension inédite en 2026. L’intelligence artificielle, en démocratisant les capacités d’analyse automatisée, découvre désormais des failles de sécurité à une cadence jamais vue. Selon les estimations du secteur, les CISOs reçoivent aujourd’hui jusqu’à 10 fois plus d’alertes de vulnérabilités qu’il y a trois ans. Mais leurs équipes, elles, n’ont pas proportionnellement augmenté.

Le résultat ? Un backlog ingérable qui transforme la gestion de la sécurité en exercice permanent de triage sous pression. Chaque vulnérabilité non traitée devient un risque documenté, une responsabilité potentielle, une bombe à retardement dans un système d’information de plus en plus complexe.

Quand l’IA arme les deux camps

L’intelligence artificielle agit comme un multiplicateur de force, mais elle ne discrimine pas entre défenseurs et attaquants. D’un côté, les outils d’analyse automatisés scrutent le code, les configurations, les infrastructures pour y débusquer la moindre faiblesse. De l’autre, ces mêmes capacités permettent aux pirates de scanner massivement les cibles potentielles et d’identifier les failles exploitables.

Cette course aux armements asymétrique crée un déséquilibre fondamental : l’IA accélère la détection des problèmes beaucoup plus vite que notre capacité à les résoudre. La découverte d’une vulnérabilité est instantanée et automatisée. Sa correction, elle, reste largement manuelle, nécessite de la coordination entre équipes, des tests, des déploiements – bref, du temps et des ressources humaines qualifiées.

« Les attaquants ont aussi accès à plus de failles à exploiter », souligne Antani. Cette réalité transforme chaque vulnérabilité non corrigée en fenêtre d’opportunité pour une compromission. Et avec l’explosion du nombre de failles découvertes, ces fenêtres se multiplient dangereusement.

Du pentesting annuel à la vigilance permanente

Traditionnellement, les entreprises réalisaient des tests d’intrusion une ou deux fois par an. Des experts simulaient des attaques, identifiaient les failles, rédigeaient un rapport, et les équipes IT avaient quelques mois pour corriger avant le prochain audit. Ce modèle, confortable et prévisible, appartient désormais au passé.

« Le pentesting annuel crée des fenêtres d’exposition critiques », explique un analyste du secteur. Entre deux tests, des vulnérabilités peuvent être découvertes – par l’entreprise elle-même ou, pire, par des attaquants – et rester non corrigées pendant des mois. Dans un environnement où l’IA permet de scanner et d’exploiter des failles en quelques heures, cette latence devient inacceptable.

La sécurité offensive se transforme donc en processus continu : scanning permanent, détection en temps réel, priorisation dynamique, correction itérative. Ce changement de paradigme bouleverse l’organisation des équipes de sécurité, leurs budgets, leurs compétences requises et même leur culture de travail.

Le paradoxe de la transparence

Ironiquement, cette visibilité accrue sur les vulnérabilités ne se traduit pas nécessairement par une meilleure sécurité. Au contraire, elle peut créer ce que certains experts appellent le « paradoxe de la transparence » : plus on voit les problèmes, plus on risque d’être paralysé pour agir.

Face à un backlog de centaines ou milliers de vulnérabilités, comment décider lesquelles traiter en priorité ? La sévérité théorique (le fameux score CVSS) ne suffit plus. Il faut prendre en compte l’exploitabilité réelle, le contexte métier, la surface d’attaque exposée, les données accessibles, les contrôles compensatoires en place… Un calcul complexe que peu d’organisations maîtrisent.

Cette surcharge informationnelle génère ce qu’on observe déjà chez les médecins face à trop de données diagnostiques : une fatigue décisionnelle qui peut mener à l’inaction, au burnout, ou à de mauvais choix effectués sous pression. « Le vrai problème n’est pas technique mais psychologique et organisationnel », note un chercheur spécialisé dans la gestion du risque cyber.

Vers une priorisation intelligente

L’impossibilité de tout corriger force paradoxalement une maturation du secteur. Les organisations les plus avancées développent des modèles de risque sophistiqués qui vont bien au-delà du simple score de vulnérabilité. Ces systèmes intègrent :

• L’exploitabilité réelle observée dans la nature (existe-t-il un exploit public ?)
• Le contexte d’exposition (le système vulnérable est-il accessible depuis Internet ?)
• La criticité métier (quelles données ou processus sont impactés ?)
• Les contrôles compensatoires (d’autres mesures de sécurité limitent-elles le risque ?)
• La complexité et le coût de la correction

Certaines entreprises vont jusqu’à créer des « war rooms permanentes » dédiées aux vulnérabilités, avec des représentants de la sécurité, du développement, des opérations et du métier. L’objectif : prendre des décisions de priorisation rapides et éclairées, avec une acceptation formelle du risque pour les vulnérabilités non traitées.

L’automatisation de la correction, prochain défi

Si l’IA a créé le problème, peut-elle aussi le résoudre ? C’est le pari des solutions émergentes de remediation automatisée. Ces outils tentent d’appliquer automatiquement des correctifs pour les vulnérabilités les plus simples – les « low-hanging fruits » qui encombrent les backlogs sans représenter de risques critiques.

Mais l’automatisation de la correction se heurte à des limites fondamentales. Contrairement à la détection, qui peut se permettre des faux positifs, la correction automatique d’une vulnérabilité peut casser des fonctionnalités, créer des incompatibilités, ou introduire de nouveaux bugs. Le risque opérationnel est réel, et les équipes restent prudentes.

La question reste ouverte : l’IA de remediation pourra-t-elle un jour rattraper l’IA de détection, ou ce déséquilibre est-il structurel ? Pour l’instant, l’humain reste indispensable dans la boucle, au moins pour valider et superviser.

Les implications pour les organisations

Cette transformation de la sécurité offensive en nécessité continue a des répercussions concrètes pour toutes les organisations. Les budgets de sécurité doivent évoluer d’un modèle de projet ponctuel vers un modèle opérationnel récurrent. Les grandes entreprises augmentent déjà leurs investissements dans ce domaine de 10 à 15%.

Mais au-delà de l’argent, c’est toute la relation entre équipes de développement et équipes de sécurité qui doit être repensée. Le modèle traditionnel – où la sécurité jouait le rôle de « police » venant bloquer les déploiements – ne fonctionne plus. La correction rapide des vulnérabilités nécessite une collaboration symbiotique entre dev et sécu, intégrée dans les processus DevSecOps.

Peu d’organisations sont structurellement prêtes pour cette transformation. Elle nécessite de revoir les KPIs (mesurer le temps de correction plutôt que le nombre de vulnérabilités trouvées), les processus (intégration continue de la sécurité), et même la culture d’entreprise (acceptation formalisée du risque résiduel).

Questions juridiques et réglementaires

L’accumulation de vulnérabilités documentées mais non corrigées soulève des questions juridiques inédites. En cas de violation de données, qui sera tenu responsable ? Le CISO qui a priorisé d’autres failles ? Le CEO qui n’a pas alloué suffisamment de budget ? L’éditeur du logiciel vulnérable ?

Les régulateurs commencent à s’intéresser au sujet. La directive européenne NIS2, par exemple, pourrait imposer des délais maximum de correction pour certaines catégories de vulnérabilités. Mais comment les entreprises s’y conformeront-elles avec des ressources limitées ? Le risque est de créer une conformité de façade où les organisations cochent des cases sans améliorer réellement leur sécurité.

Les assureurs cyber, eux, adaptent déjà leurs exigences. Certains commencent à demander des preuves de pentesting continu avant d’accorder une couverture, créant de facto un nouveau standard de marché. Cette pression externe pourrait accélérer l’adoption, mais aussi exclure les organisations – notamment les PME – qui n’ont pas les moyens de suivre.

Une opportunité déguisée ?

Malgré les défis, certains experts y voient une opportunité de maturation forcée du secteur. « L’impossibilité de tout corriger nous oblige à développer une approche plus intelligente de la gestion du risque », note un CISO d’une grande entreprise technologique. « Plutôt que de traiter toutes les vulnérabilités ‘high’ de la même façon, nous développons des modèles sophistiqués basés sur le risque réel pour notre contexte spécifique. »

Cette approche crée aussi un nouveau type d’actif informationnel : le « vulnerability intelligence » en temps réel. Les organisations qui accumulent des données sur quelles vulnérabilités sont réellement exploitées, dans quels contextes, et avec quels impacts, développent un avantage concurrentiel. Ces données pourraient alimenter un nouveau marché de threat intelligence spécialisé, voire des modèles d’IA pré-entraînés.

Le marché de la sécurité offensive connaît d’ailleurs une croissance explosive. Les plateformes tout-en-un qui combinent détection, priorisation et remediation attirent les investissements. Une consolidation est probable, les outils ponctuels étant progressivement absorbés par des écosystèmes intégrés.

Conclusion : Naviguer l’incertitude

L’IA a fondamentalement changé l’équation de la cybersécurité. Elle offre une visibilité sans précédent sur les vulnérabilités, mais crée simultanément une charge cognitive et opérationnelle que peu d’organisations peuvent gérer. Le passage d’une sécurité offensive ponctuelle à une vigilance continue n’est pas qu’une évolution technique – c’est une transformation organisationnelle, culturelle et stratégique.

Les entreprises qui réussiront cette transition seront celles qui acceptent l’impossibilité de tout corriger et développent des cadres de décision sophistiqués pour prioriser intelligemment. Celles qui s’accrochent au modèle ancien – l’illusion du contrôle total – risquent la paralysie ou l’épuisement de leurs équipes.

Une question demeure ouverte : dans un monde où les vulnérabilités sont découvertes plus vite qu’elles ne peuvent être corrigées, devons-nous repenser fondamentalement notre approche de la sécurité ? Plutôt que de chercher l’invulnérabilité, faut-il concevoir des systèmes qui assument d’être compromis et se concentrent sur la résilience et la limitation des dégâts ? La réponse déterminera la cybersécurité de la prochaine décennie.