A dans les entreprises adoption rapide et faible visibilité un appel urgent pour la sécurité

L'adoption de l'intelligence artificielle dans les entreprises n'est plus une promesse lointaine : elle est intégrée dans les applications, les data pipes, les plateformes cloud et même les systèmes d'identité. Mais d'après une étude récente basée sur 300 entretiens avec des dirigeants américains de la sécurité, cette expansion se déroule plus rapidement que la capacité des organisations de la voir et de la protéger correctement. Le rapport Rapport de référence sur les tests de l'IA et de l'adversaire 2026 de Pentera sert de radiographie de cette tension : adoption intense, faible supervision et outils qui, dans de nombreux cas, n'ont pas été conçus pour les comportements uniques des systèmes IA.

Une des conclusions les plus inquiétantes est le manque de visibilité. Plus des deux tiers des répondants reconnaissent avoir une vision limitée de l'utilisation des capacités de l'IV au sein de leur organisation. Ce n'est pas seulement une préoccupation théorique : lorsque vous ne savez pas ce que les modèles d'identité utilisent, quelles données peuvent être consultées ou comment ils réagissent aux défaillances de contrôle, il devient pratiquement impossible d'évaluer le risque avec rigueur.

Une grande partie du problème provient de la nature répartie des projets d'AI. Contrairement à une application traditionnelle avec une équipe et un propriétaire clairs, les capacités IA naissent souvent dans des équipes de produits, des départements de données ou même des initiatives locales au sein de l'entreprise. Il en résulte des processus centraux de surveillance et de gouvernance dilués qui n'atteignent pas tous les vecteurs d'exposition.

Contrairement à ce que beaucoup pourraient penser, l'étude montre que l'argent n'est pas le principal obstacle : les organisations semblent disposées à investir. Le plus gros frein identifié est lié à la pénurie de compétences internes spécialisées pour évaluer et protéger les environnements où l'IV opère. Autrement dit, il y a une volonté financière, mais il y a un manque de connaissances pratiques pour traduire cet investissement en défense efficace.

Ce manque d'expérience explique pourquoi la plupart des entreprises utilisent des contrôles hérités : pare-feu, outils de protection des terminaux, sécurité du cloud ou défense des API. Ces contrôles offrent une couverture initiale, mais ne saisissent pas pleinement comment l'IV introduit de nouveaux modèles d'accès, des décisions autonomes ou des canaux indirects entre les systèmes. Le rapport note qu'une petite partie seulement des organisations ont déjà des solutions spécifiquement conçues pour assurer l'infrastructure de l'IV.

La bonne nouvelle est qu'il existe des cadres et des ressources pour guider la réponse. Des initiatives telles que NIST Cadre de gestion des risques de l'IA proposer des principes et des pratiques pour gérer les risques d'IA, tandis que des projets tels que OWASP AI Top 10 commencer à cartographier les menaces spécifiques au cycle de vie des modèles. Au niveau européen, des organismes comme l'ENISA ont publié des travaux sur l'image des menaces associées à l'IA qui sont utiles pour comprendre les vecteurs émergents.

Des recommandations pratiques ne sont pas surprenantes, mais urgentes : créer de véritables inventaires de l'endroit et de la façon dont l'IV est utilisé, énoncer des responsabilités claires entre les équipes et établir des capacités de surveillance qui suivent la piste des modèles, des données et des références. Tout cela devrait être complété par des tests actifs: tests négatifs, enseignement en réseau et simulations qui montrent si les commandes fonctionnent contre des attaques réelles ou des défaillances de conception.

Il sera essentiel de former des talents internes et d'attirer des profils spécialisés. Des études sur le manque de compétences en cybersécurité montrent que la demande de professionnels qualifiés continue de dépasser l'offre, et l'arrivée massive de projets d'IA ne fait qu'amplifier cette tension. Les organisations peuvent accélérer le processus en combinant une formation interne ciblée, des partenariats avec des fournisseurs spécialisés et un appui externe dans les premiers programmes de test et de validation.

Il n'est pas juste de considérer la sécurité de l'IV comme une couche isolée : c'est un défi systémique. Les modèles peuvent agir en tant qu'acteurs privilégiés dans une architecture, déclencher des dépendances et créer des routes d'accès involontaires. Par conséquent, adapter les contrôles existants sans comprendre de nouveaux comportements peut donner un faux sentiment de sécurité. Les éléments de preuve suggèrent que, sur une base temporaire, de nombreuses entreprises font précisément cela: adapter ce qu'elles ont déjà en attendant d'elles à des outils et pratiques spécifiques matures.

Pour les gestionnaires techniques et les équipes de gestion des risques, la feuille de route devrait comprendre à la fois la gouvernance et l'ingénierie: la gouvernance pour décider de l'AI autorisé, quelles données peuvent être touchées et quelles mesures de comportement devraient être surveillées; l'ingénierie pour mettre en œuvre la détection, la traçabilité et les tests négatifs qui valident les hypothèses dans des conditions réelles. Ressources publiques d'organismes tels que CISA et les cadres des organismes de normalisation aident à hiérarchiser les actions et à coordonner les efforts entre la sécurité, les données et les produits.

Le rapport de Pentera ne trompe pas : il existe des inquiétudes et il y a une prise de conscience du problème, mais des lacunes fondamentales restent à combler. La tâche n'est pas seulement technologique, elle est organisationnelle et culturelle. Renforcer la visibilité, développer l'expérience et cartographier les risques dans les environnements où l'IA opère déjà sont des étapes qui ne permettent pas de retarder si les entreprises veulent que l'automatisation et l'innovation ne finissent pas par générer des vulnérabilités évitables.

Si vous souhaitez approfondir les données complètes et les recommandations, vous pouvez télécharger le rapport Pentera dans ce lien: Rapport de référence sur les tests de l'IA et de l'adversaire 2026. Pour compléter la lecture par des cadres et des guides pratiques, voir NISTE AU FGR recommandations OWASP concernant les risques d'IA et CISA sur la sécurité dans les environnements intelligents.