La plupart des discours sur « l’IA et la cybersécurité » se trompent de sujet. Ils cherchent la nouvelle attaque spectaculaire. Or ce qui a changé n’est pas la nature des attaques : c’est leur économie. Une opération qui demandait une semaine à un attaquant compétent en demande désormais dix minutes à un attaquant médiocre.
Trois frontières se déplacent en même temps, et il faut les traiter séparément sous peine de confusion. La première est offensive : l’IA industrialise ce qui relevait de l’artisanat — l’usurpation d’identité, le prétexte crédible, le message parfaitement contextualisé. La deuxième est nouvelle : vos propres systèmes d’IA sont devenus une cible, avec des classes de vulnérabilités qui n’existaient pas dans vos référentiels il y a trois ans. La troisième est défensive : l’IA est aussi, à ce jour, le seul levier dont l’effet sur le coût d’une violation soit mesuré et significatif.
Une quatrième frontière, réglementaire, arrive en France : la transposition de NIS2 fera passer le périmètre des entités soumises à obligation de sécurité d’environ 500 opérateurs à près de 15 000 entités.
Cet article prend ces quatre mouvements dans l’ordre, avec les chiffres publiés en 2026 — et sépare explicitement ce qui est mesuré de ce qui est estimé.
1. Première frontière : l’économie de l’attaque s’est effondrée
L’ingénierie sociale reposait historiquement sur un goulot d’étranglement : produire un prétexte crédible coûtait du temps humain. Reconnaître une voix, repérer une faute de français, sentir qu’un message « sonne faux » — ces réflexes défensifs fonctionnaient parce que la contrefaçon de qualité était rare et chère.
Cette barrière est tombée. Trois secondes d’audio public suffisent aujourd’hui à cloner une voix exploitable. Le résultat n’est pas une attaque nouvelle : c’est la même fraude au président, produite à l’échelle industrielle et personnalisée à chaque cible.
Figure 1. Pertes déclarées liées aux deepfakes aux États-Unis
En millions de dollars. Estimations agrégées par les trackers du secteur.
L’ordre de grandeur cumulé avoisine 3,7 milliards de dollars de pertes déclarées, dont près de 90 % concentrés sur 2025 et le premier semestre 2026. Le cas le plus documenté reste celui du groupe d’ingénierie Arup : en janvier 2024, un collaborateur de la filiale de Hong Kong effectue quinze virements pour un total de 25 millions de dollars, après une visioconférence où tous les autres participants — dont le directeur financier — étaient des deepfakes.
Note méthodologique
Les agrégats de pertes liées aux deepfakes proviennent de trackers privés dont les méthodologies diffèrent et ne sont pas toujours auditables. À l’inverse, les chiffres d’IBM, de l’ANSSI et de l’OWASP cités plus bas sont issus d’études primaires au périmètre déclaré. Nous distinguons les deux dans tout l’article : la tendance des deepfakes est solide, la précision de ses montants ne l’est pas.
Ce déplacement a une conséquence opérationnelle immédiate : tous vos contrôles qui reposent sur la reconnaissance humaine sont désormais caducs. « J’ai reconnu sa voix », « c’est bien son visage à l’écran », « le mail vient de son adresse » — ces trois preuves ne prouvent plus rien. Elles doivent être remplacées par des contrôles qui ne dépendent pas de la perception : un canal de rappel indépendant, un secret partagé hors bande, un double seuil de validation sur les virements.
2. Deuxième frontière : vos systèmes d’IA sont devenus la cible
C’est le point le moins compris et le plus coûteux. Déployer un assistant interne, un agent de support ou un copilote métier revient à exposer une nouvelle surface d’attaque, avec des vulnérabilités qui ne figurent dans aucun de vos référentiels historiques.
L’OWASP — la référence en matière de classification des vulnérabilités applicatives — publie depuis 2023 un Top 10 dédié aux applications à base de modèles de langage. Dans l’édition 2025, l’injection de prompt occupe la première place pour la deuxième fois consécutive.
Figure 2. OWASP Top 10 pour les applications à base de LLM (édition 2025)
Classement des risques de sécurité propres aux applications d’IA générative.
Source : OWASP Top 10 for LLM Applications, édition 2025
L’injection de prompt mérite qu’on s’y arrête, car elle n’est pas un bug à corriger mais une propriété structurelle. Un modèle de langage reçoit les instructions et les données dans le même canal, sans séparation. Quand votre agent lit un e-mail, un ticket ou une page web, il ne dispose d’aucun moyen fiable de distinguer « voici du contenu à analyser » de « voici un ordre à exécuter ». C’est exactement le problème de l’injection SQL — sauf qu’il n’existe pas encore d’équivalent robuste des requêtes paramétrées.
Le risque se multiplie avec l’autonomie
Un chatbot victime d’une injection dit une bêtise. Un agent doté d’accès en écriture à votre CRM, votre messagerie ou votre système de paiement, victime de la même injection, exécute une action. L’OWASP a d’ailleurs publié fin 2025 un Top 10 distinct pour les applications agentiques, où figurent le détournement d’objectif, l’abus d’outils et l’empoisonnement de mémoire. Avant de donner à un agent le droit d’agir, il faut avoir répondu à une question simple : quel est le pire qu’il puisse faire si quelqu’un lui donne un ordre à votre place ?
Ces risques ne sont plus théoriques. Le rapport Cost of a Data Breach 2026 d’IBM, qui porte sur 602 organisations victimes d’une violation entre mars 2025 et février 2026, montre que plus de 20 % d’entre elles ont subi une attaque visant directement leurs modèles ou applications d’IA. Les deux causes principales sont d’une banalité éclairante.
Figure 3. Attaques sur les systèmes d’IA : causes et angles morts de gouvernance
Organisations victimes d’une violation de données, mars 2025 – février 2026.
Source : IBM, Cost of a Data Breach Report 2026 (602 organisations, 16 pays)
Ce 92 % dit l’essentiel. La quasi-totalité des organisations attaquées sur leur IA n’avait pas de contrôle d’accès sérieux autour de ces systèmes. On a branché un modèle sur des données de production sans lui appliquer la moindre des règles qu’on impose depuis vingt ans à n’importe quelle base.
3. Le point aveugle : l’IA que vous n’avez pas déployée
Le risque le plus rapide en progression ne vient pas des systèmes que vous avez mis en production. Il vient de ceux que vos équipes utilisent sans vous le dire — comptes personnels sur des services grand public, extensions de navigateur, assistants intégrés à des outils SaaS activés par défaut.
La part des incidents de sécurité impliquant cette « IA de l’ombre » a plus que doublé en un an.
Figure 4. Part des incidents de sécurité impliquant de l’IA non déclarée
Évolution sur un an.
Source : IBM, Cost of a Data Breach Report 2026
Plus de deux tiers des organisations reconnaissent n’avoir aucun processus de gouvernance pour encadrer ce phénomène. Ce n’est pas un problème de discipline des salariés : c’est un problème d’offre interne. Une équipe qui n’a pas d’outil validé, rapide et utile utilisera l’outil grand public — et y collera, dans le presse-papiers, exactement ce que votre politique de sécurité interdit d’exporter.
Interdire l’IA générative sans proposer d’alternative interne ne réduit pas le risque. Cela le rend simplement invisible : l’usage se poursuit, mais hors de tout journal, de tout contrôle et de toute possibilité d’audit.
4. Ce que ça coûte, et ce que la défense rapporte
Le coût moyen mondial d’une violation de données atteint 4,99 millions de dollars en 2026, en hausse de 12 % sur un an. Une violation sur quatre implique désormais l’IA côté attaquant, et ces violations-là coûtent environ un million de dollars de plus que la moyenne.
Figure 5. Coût moyen d’une violation de données en 2026
En millions de dollars.
mondiale
assistée par IA
financiers
Source : IBM, Cost of a Data Breach Report 2026
La contrepartie est le seul chiffre vraiment encourageant de tout le rapport. Les organisations qui utilisent massivement l’IA et l’automatisation dans leurs opérations de sécurité réduisent le coût moyen d’une violation de près de deux millions de dollars, et raccourcissent le cycle de vie de l’incident de 65 jours.
Figure 6. L’effet mesuré de la défense augmentée
Organisations utilisant massivement l’IA et l’automatisation en sécurité, comparées à celles qui ne les utilisent pas.
Mais l’adoption défensive reste très partielle :
Source : IBM, Cost of a Data Breach Report 2026
Le déséquilibre saute aux yeux : la moitié des organisations déploient des agents pour chasser les menaces, moins d’une sur cinq pour réduire la surface qui les rend possibles. C’est l’équivalent d’investir dans des caméras de surveillance en laissant les portes ouvertes. La détection est visible et valorisante ; la gestion des vulnérabilités est ingrate et invisible. Les budgets suivent la visibilité, pas le risque.
5. Où en est la France
Le Panorama de la cybermenace 2025 de l’ANSSI donne la mesure locale : 3 586 événements de sécurité traités, 2 209 signalements et 1 366 incidents caractérisés. Le volume d’incidents reste stable par rapport à 2024, mais très supérieur à 2023 (1 112) et 2022 (831). La répartition sectorielle mérite d’être regardée de près.
Figure 7. Secteurs les plus touchés en France
Répartition des 1 366 incidents traités par l’ANSSI en 2025.
Source : ANSSI, Panorama de la cybermenace 2025
À cette pression opérationnelle s’ajoute un changement de régime réglementaire. La directive NIS2, transposée en droit français par la loi dite « Résilience », étend massivement le périmètre : d’environ 500 opérateurs sous NIS1 à près de 15 000 entités réparties dans 18 secteurs. Les sanctions peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour une entité essentielle.
Figure 8. NIS2 en France : où en est-on
Séquence de mise en œuvre attendue.
L’ANSSI publie le Référentiel Cyber France (ReCyF) : 20 objectifs de sécurité pour les entités essentielles, 15 pour les entités importantes.
Enregistrement des entités concernées auprès de l’ANSSI, une fois la loi Résilience promulguée.
Premiers contrôles sur le respect des objectifs de sécurité.
Régime de sanctions pleinement applicable : jusqu’à 10 M€ ou 2 % du CA mondial.
Sources : ANSSI ; calendrier de transposition de la loi Résilience (au 31 juillet 2026)
Le piège du calendrier
La transposition française a pris du retard et la date de promulgation reste incertaine à la date de publication de cet article. Beaucoup d’organisations en concluent qu’elles ont le temps. C’est une lecture dangereuse : les mesures attendues — inventaire des actifs, gestion des accès, journalisation, plan de réponse, sécurisation de la chaîne d’approvisionnement — demandent entre douze et vingt-quatre mois de travail réel. Ce sont par ailleurs exactement les mesures qui protègent des attaques décrites plus haut, indépendamment de toute obligation légale.
6. Ce qui change dans les contrôles
La plupart des contrôles restent valides. Ce sont ceux qui reposent sur le jugement humain d’authenticité qui s’effondrent, et ceux qui n’existaient pas parce que la surface n’existait pas qui doivent être créés.
| Objet | Contrôle d’hier | Contrôle à mettre en place |
|---|---|---|
| Identité d’un interlocuteur | Reconnaissance de la voix ou du visage | Rappel sur un canal indépendant, secret partagé hors bande |
| Virement exceptionnel | Validation hiérarchique sur instruction orale | Double validation asynchrone, délai plancher, seuil indépendant du demandeur |
| Détection du phishing | Sensibilisation aux fautes et incohérences | Authentification forte résistante au phishing, filtrage côté protocole |
| Entrées d’un système d’IA | Inexistant | Traitement de tout contenu externe comme non fiable, cloisonnement instructions / données |
| Permissions d’un agent | Inexistant | Moindre privilège, actions sensibles sous validation humaine, journalisation exhaustive |
| Usage de l’IA par les équipes | Note de service d’interdiction | Alternative interne utilisable, inventaire des usages, filtrage sortant |
| Sorties d’un modèle | Inexistant | Validation avant consommation par un système en aval, jamais d’exécution directe |
7. Par où commencer
Aucune de ces quatre étapes ne suppose d’acheter une plateforme. Elles supposent de savoir ce que vous exposez.
Inventorier l’IA réellement utilisée
Pas celle du plan stratégique : celle des journaux du proxy et des dépenses sur carte bancaire. Tant que la liste n’est pas écrite, aucune politique n’est applicable.
Traiter vos modèles comme des bases de données
Contrôle d’accès nominatif, moindre privilège, rotation des secrets, journalisation des requêtes. Le fameux 92 % se règle avec des pratiques vieilles de vingt ans, appliquées à un objet neuf.
Sortir la validation d’identité du canal attaqué
Toute demande sensible arrivée par voix, visio ou message doit être confirmée par un canal différent, sur un annuaire interne — jamais sur le numéro fourni par le demandeur.
Borner l’autonomie avant de l’accorder
Pour chaque agent : périmètre d’outils explicite, actions irréversibles sous validation humaine, budget d’exécution plafonné, et une trace rejouable de chaque décision.
Cinq mesures applicables ce trimestre
- Instaurer un mot de passe verbal partagé entre la direction générale et la direction financière, pour toute demande de virement hors circuit habituel.
- Imposer un délai plancher incompressible entre la demande et l’exécution d’un virement exceptionnel — la fraude au président repose sur l’urgence.
- Déployer une authentification résistante au phishing (clés matérielles ou passkeys) sur les comptes à privilèges, avant de la généraliser.
- Publier une liste blanche d’outils d’IA validés et la rendre plus pratique que les alternatives grand public, sinon elle sera contournée.
- Passer en revue les permissions de chaque agent ou intégration IA déjà en production : la question n’est pas ce qu’il fait, mais ce qu’il pourrait faire.
Conclusion
La formule « l’IA change tout en cybersécurité » est à la fois vraie et inutile. Ce qu’elle change précisément, c’est le rapport entre le coût de l’attaque et le coût de la défense. Produire une contrefaçon crédible ne coûte presque plus rien ; vérifier une identité coûte toujours le même effort humain. Tant que cet écart reste ouvert, chaque contrôle fondé sur la perception se dégrade mécaniquement.
La bonne nouvelle est que le rééquilibrage est documenté et chiffré : près de deux millions de dollars et 65 jours d’écart entre une organisation qui a outillé sa défense et une qui ne l’a pas fait. Le problème n’est donc pas de savoir si l’investissement se justifie — la réponse est publiée — mais de constater que seules 36 % des organisations l’ont fait sur l’ensemble du cycle.
Pour les entreprises françaises, l’échéance NIS2 transforme cet arbitrage en obligation. Autant s’en servir : les mesures qu’elle impose sont exactement celles qui referment les angles morts décrits dans cet article. La conformité, pour une fois, va dans le même sens que la sécurité réelle.
Sources
- IBM, « Cost of a Data Breach Report 2026 » — 602 organisations victimes d’une violation entre mars 2025 et février 2026, 16 pays.
- ANSSI, « Panorama de la cybermenace 2025 » (CERT-FR) — événements, signalements et incidents traités en France.
- OWASP, « Top 10 for LLM Applications », édition 2025, et « Top 10 for Agentic Applications », annoncé fin 2025.
- ANSSI, Référentiel Cyber France (ReCyF), publié en mars 2026 ; calendrier de transposition de la directive NIS2 par la loi Résilience.
- Agrégats de pertes liées aux deepfakes : trackers privés du secteur, méthodologies variables (voir note méthodologique).
- Cas Arup, Hong Kong, janvier 2024 — 25 M$ détournés via une visioconférence intégralement falsifiée.
Savez-vous ce que vos agents IA ont le droit de faire ?
Nous inventorions vos usages d’IA réels, cartographions les permissions de vos intégrations et vous remettons la liste des actions qu’un attaquant pourrait déclencher à votre place.
Demander un audit d’exposition