Temps de lecture : 4 min
Points clés à retenir
- Saturation des équipes : l’explosion du nombre de vulnérabilités découvertes par IA risque de submerger les spécialistes en cybersécurité dans les 3 ans.
- Accès inégal aux modèles : faute d’accès aux IA les plus performantes (comme Mythos 5), les défenseurs sont en position de faiblesse face aux attaquants.
- Bonnes pratiques avant tout : cloisonnement, gestion des accès et mises à jour restent le rempart le plus efficace, même face aux menaces boostées par l’IA.
L’alerte du patron de l’Anssi
Auditionné ce mercredi par la commission des affaires économiques du Sénat, Vincent Strubel, directeur général de l’Anssi, a livré un message sans fard : la cybersécurité française s’apprête à vivre « au moins trois années très secouées ». En cause, l’irruption de l’intelligence artificielle dans la découverte de vulnérabilités. Là où ces failles étaient jusqu’ici repérées manuellement ou avec des outils semi-automatisés, l’IA permet désormais de les identifier à un rythme exponentiel. Ce n’est plus une projection : « ça va secouer », insiste-t-il.
Sur le fond, Strubel reconnaît que mieux repérer les failles est « une bonne chose ». Mais le revers de la médaille est brutal : les équipes chargées de corriger ces vulnérabilités risquent tout simplement d’être saturées. « L’explosion du nombre de vulnérabilités à corriger dans un temps très court pose un problème de cadence », explique-t-il. Un constat qui rejoint celui du Campus cyber, qui alertait récemment sur le « mur du patch ».
L’arbre Mythos qui cache la forêt
Derrière cette alerte, un psychodrame géopolitique couve : l’accès aux modèles d’IA les plus performants. L’affaire Mythos 5, le modèle d’Anthropic réservé aux entreprises américaines, a provoqué un séisme. L’Anssi, comme d’ailleurs l’agence européenne Enisa, n’y a pas accès – ou de manière très floue. L’Enisa avait été évoquée pour rejoindre le programme « Glasswing », mais sans reconnaissance officielle.
Strubel relativise : selon lui, Mythos 5 « c’est un peu l’arbre qui cache la forêt ». D’autres modèles, déjà accessibles, montrent des performances impressionnantes en cybersécurité. L’Anssi mène d’ailleurs ses propres tests sur ces IA pour évaluer leur capacité à détecter des failles. « On mesure cet accroissement », assure le directeur. Ce qui compte vraiment, c’est de ne pas se focaliser sur un seul modèle, mais de tirer parti de l’ensemble de l’écosystème.
Le retour aux fondamentaux
Passons au concret : que faire face à cette menace boostée par l’IA ? Pour Strubel, la réponse est presque décevante tant elle semble évidente : respecter les bases de la sécurité. « Le premier rempart, c’est le cloisonnement des environnements, la gestion des accès et des identités, et la mise à jour des logiciels. » Il martèle que cette protection reste la plus efficace, même contre des attaques dopées à l’IA.
Décortiquons ça en pratique : un attaquant équipé du meilleur modèle d’IA ne pourra rien si vos accès internes sont bien segmentés et que vos correctifs sont à jour. C’est le même message que répètent les homologues européens et américains de l’Anssi. Sans langue de bois, force est de constater que la cyberhygiène de base – mots de passe solides, double authentification, mises à jour régulières – demeure le bouclier le plus rentable pour les PME et les ETI.
Trois ans pour se préparer
Le cap des trois ans fixé par Strubel n’est pas un chiffre en l’air. Il correspond au temps nécessaire pour que l’IA devienne un outil courant des cyberattaquants, et pour que les éditeurs de logiciels adaptent leurs processus de correction. En pratique, les TPE/PME doivent dès maintenant anticiper : former leurs équipes, auditer leurs systèmes, et surtout ne pas attendre que la vague les submerge. Le coût d’inaction est exponentiel.
Sur le terrain, je vois déjà les premiers signes : des clients qui reçoivent soudainement des dizaines d’alertes de vulnérabilité via leurs outils, sans avoir les ressources pour les traiter. Le mur du patch n’est pas une métaphore – c’est une réalité opérationnelle. Ce qui compte vraiment, c’est d’investir dans une stratégie de priorisation : patchs critiques d’abord, segmentation réseau, et automatisation des déploiements. L’IA ne remplacera jamais le jugement humain sur la criticité d’une faille.
Et après ?
L’alerte de l’Anssi est aussi une opportunité : celle de repenser sa posture cybersécurité sans se laisser paralyser par la hype. Pendant que certains cherchent à tout prix l’IA qui sauvera, d’autres misent sur les fondamentaux et tiennent le choc. À vous de choisir votre camp. Une chose est sûre : dans les trois ans à venir, ceux qui auront investi dans la formation et la rigueur opérationnelle seront les mieux armés.
Rédigé par Mathias Courtois, expert infrastructure cloud et cybersécurité – juillet 2026
Ingénieur systèmes et architecte cloud pendant 8 ans chez un leader européen de l’hébergement, reconverti dans l’analyse tech et business. Passionné par l’intersection entre infrastructure IT, IA générative et transformation digitale des entreprises. J’aide les décideurs et les équipes techniques à naviguer dans l’écosystème tech sans bullshit marketing.