Pendant longtemps, la cybersécurité ressemblait un peu à un détecteur de fumée. Une attaque commençait, quelque chose brûlait, une alerte apparaissait et les équipes intervenaient. Utile, évidemment. Mais pas idéal. Avec l’intelligence artificielle, le principe change progressivement : repérer les petits comportements inhabituels qui précèdent parfois une attaque, avant que les dégâts deviennent sérieux.
Ce changement est déjà visible dans les banques, le cloud, le commerce électronique et de nombreux services numériques. L’objectif n’est pas de prédire l’avenir comme dans un film de science-fiction. Il est beaucoup plus concret : comprendre ce qui est « normal », puis remarquer très vite ce qui ne l’est plus.
Chercher l’anomalie plutôt que le virus connu
Les systèmes traditionnels reposent beaucoup sur des signatures et des règles. Une adresse IP est connue comme malveillante ? On la bloque. Un fichier correspond à la signature d’un malware ? Alerte.
Cela fonctionne toujours et reste indispensable. Le problème arrive lorsqu’une attaque est nouvelle. L’IA apporte alors une autre logique : observer le comportement.
Imaginons qu’un employé se connecte généralement depuis Paris, consulte une dizaine de fichiers et travaille entre 9 heures et 18 heures. Soudain, son compte télécharge 8 000 documents à 3 heures du matin depuis une localisation inhabituelle. Aucun fichier n’est forcément malveillant. Pourtant, quelque chose cloche sérieusement.
C’est précisément le terrain de l’apprentissage automatique et de la détection d’anomalies. Amazon explique par exemple que GuardDuty utilise le machine learning, l’analyse comportementale et des renseignements sur les menaces pour surveiller continuellement les environnements AWS. Le service peut notamment détecter des appels API ou des connexions qui s’éloignent du comportement habituel.
Les banques avaient une longueur d’avance
Le secteur financier utilise ce principe depuis longtemps, notamment contre la fraude bancaire. Et les chiffres donnent une bonne idée de la vitesse nécessaire.
Visa Advanced Authorization analyse plus de 500 attributs de risque associés à une transaction. L’objectif est d’identifier une opération suspecte au moment de l’autorisation, et non trois jours plus tard lorsque le titulaire de la carte téléphone à sa banque, assez peu ravi.
Les modèles regardent notamment l’historique comportemental et les schémas inhabituels. Visa indique également que son système Decision Manager attribue aux transactions un score de risque allant de 0 à 99 en exploitant des centaines de points de données en temps réel et les informations provenant de milliards de transactions.
Le résultat est intéressant : la sécurité devient moins binaire. Ce n’est plus simplement « autorisé/interdit ». Chaque action possède un contexte et un niveau de risque.
Du e-commerce au casino en ligne, le même problème
Cette logique concerne pratiquement toute plateforme manipulant des comptes et des paiements. Un casino en ligne comme TonyBet doit par exemple gérer simultanément connexions, transactions, vérification des comptes et comportements inhabituels. Dans ce type d’environnement numérique, l’analyse automatisée des signaux de risque peut aider à repérer rapidement des activités atypiques, comme elle le fait dans l’e-commerce. L’intérêt pour l’utilisateur est simple : renforcer la sécurité tout en évitant de transformer chaque connexion parfaitement normale en interrogatoire de police.
Les boutiques en ligne rencontrent exactement ce dilemme. Trop peu de contrôles et la fraude passe. Trop de contrôles et un vrai client abandonne son panier parce qu’acheter une paire de baskets commence à ressembler à une demande de visa.
L’IA permet justement d’affiner ce compromis grâce au scoring en temps réel. Mastercard indique par exemple que Decision Intelligence Pro analyse le contexte des transactions, le comportement du titulaire et les relations avec les commerçants. Mastercard annonce une amélioration moyenne de 20 % de la détection de fraude avec cette technologie.
Dans le cloud, les petits signaux deviennent précieux
Le cloud montre encore mieux le passage vers une cybersécurité prédictive. Une infrastructure moderne génère une quantité gigantesque d’événements. Impossible pour une équipe humaine de regarder chaque connexion, requête DNS ou appel API.
Les outils modernes établissent donc des références comportementales. AWS GuardDuty peut, par exemple, considérer comme suspecte l’utilisation inhabituelle d’une API depuis l’extérieur du VPN lorsqu’elle ne correspond pas aux habitudes observées auparavant.
Microsoft avance dans la même direction. Son Dynamic Threat Detection Agent corrèle alertes, événements, anomalies et renseignements sur les menaces afin de découvrir des menaces cachées que les systèmes fondés uniquement sur des règles pourraient manquer.
C’est une différence importante. Une anomalie isolée peut être innocente. Cinq anomalies liées entre elles racontent parfois une histoire beaucoup moins sympathique.
L’humain ne disparaît pas, heureusement
Tout cela ne signifie pas que l’IA va remplacer les analystes en cybersécurité. Les faux positifs existent. Les modèles peuvent se tromper et les attaquants cherchent eux-mêmes à contourner ces systèmes.
Le vrai progrès est plutôt dans le partage des tâches. La machine surveille des millions de signaux, détecte des corrélations étranges et classe les risques. L’humain enquête, comprend le contexte et décide.
On passe ainsi progressivement d’une sécurité qui demande «que s’est-il passé ?» à une sécurité capable de demander « pourquoi ce comportement commence-t-il à devenir bizarre?».
Et c’est probablement la partie la plus enthousiasmante. La meilleure cyberattaque n’est pas forcément celle qu’on arrête brillamment après une bataille de douze heures. C’est celle qui commence à peine… et qui n’a finalement jamais vraiment l’occasion de commencer.
