L’intelligence artificielle impacte nos métiers à une vitesse inédite : elle accélère l’innovation, simplifie les usages et rend la technique accessible au plus grand nombre. Mais à quel prix ? De l’empoisonnement des données (Data Poisoning) au Phishing sur-mesure, en passant par les risques du code généré, l’utilisation de l’IA dépasse la simple automatisation de nos usages : elle redéfinit entièrement la surface d’attaque. Pour naviguer dans cette nouvelle ère sans compromettre sa sécurité, une seule clé : adopter une posture éclairée et replacer la vigilance humaine au centre.
Qu’est-ce que l’intelligence artificielle ?
Lorsque nous parlons d’intelligence artificielle (IA), nous désignons un domaine informatique visant à simuler des tâches humaines complexes. Ces dernières années, l’explosion de l’IA ne s’explique pas uniquement par la diversification ou l’amélioration des algorithmes. Elle est avant tout le résultat de l’essor massif des données massives (Big Data).
Le duo gagnant : Big Data et Intelligence Artificielle
L’IA repose sur un duo indissociable : d’un côté, des modèles algorithmiques (basés sur les mathématiques, la physique, des concepts naturels comme les algorithmes génétiques ou encore le deep learning via les réseaux de neurones) ; de l’autre, les données, qui demeurent l’élément central. Ce sont précisément ces jeux de données qui ont permis l’émergence et le développement de tels systèmes.
« Les entreprises qui vont être capables de récolter des millions de données et de les faire ingurgiter à leur IA obtiennent aujourd’hui des modèles absolument fascinants », souligne Amine SERRAR, Consultant cybersécurité au sein de la practice sécurité opérationnelle chez Synetis.
Cependant, le Big Data présente une contrainte critique. La plupart de ces modèles exploitent des données récoltées à travers Internet :
- Des informations non maîtrisées et non contrôlées ;
- Des données parfois altérées ou injectées directement par des acteurs malveillants.
Bon à savoir :
69% des entreprises ont intégré l’IA en interne. (source : étude Opinionway pour CESIN- janvier 2025)
Quels sont les risques de l’intelligence artificielle ?
Le data poisoning : la nouvelle menace qui altère la fiabilité des IA génératives
Le data poisoning (ou empoisonnement des données) consiste à injecter délibérément de fausses informations ou du contenu altéré au sein de bases de données publiques. L’objectif ultime des attaquants est de perturber le comportement de l’IA générative en lui faisant produire des réponses inappropriées pour tromper les utilisateurs.
Cette technique constitue un nouvel axe d’attaque utilisé pour nuire à diverses organisations. Elle permet d’altérer les jeux de données d’apprentissage pour falsifier la réalité, parfois en mentant ouvertement pour promouvoir une entreprise au détriment de ses concurrents.
Note : la manipulation des jeux de données d’entraînement ne cherche pas uniquement à bloquer un système, mais à en altérer subtilement la logique pour fausser la prise de décision.
Cette menace est particulièrement préoccupante dans l’écosystème open source, largement exploité par les modèles d’IA pour apprendre à développer du code. Le mécanisme d’attaque se déroule généralement ainsi :
- Duplication de dépôts (repositories) : des individus malintentionnés répliquent des projets légitimes en y insérant du code contenant de fausses vulnérabilités et des failles stratégiques ;
- Saturation des données : l’objectif est d’impacter un volume massif de projets dupliqués dans un langage spécifique ;
- Infiltration du modèle : lors d’une demande de développement d’application, l’IA privilégie et propose le code le plus fréquemment identifié, c’est-à-dire celui créé par l’attaquant et porteur de la vulnérabilité.
Si l’intelligence artificielle générative ouvre de formidables perspectives pour accélérer le développement et faciliter l’accès à certains métiers, elle introduit également de nouvelles vulnérabilités qu’il convient de maîtriser.
L’usage direct de code produit par une IA peut conduire à l’intégration de failles bien connues dans une application. Si ce code est issu de modèles entraînés sur des répertoires vulnérables ou compromis, des acteurs malveillants peuvent facilement identifier la faille, remonter jusqu’à l’application déployée et l’exploiter. Selon le secteur touché, un service bancaire ou une infrastructure critique , l’impact financier et opérationnel peut être majeur.
Il n’est pas rare de retrouver des identifiants, jetons d’accès ou clés API oubliés par des développeurs dans des dépôts de code publics. Certains acteurs détournent les modèles d’IA à l’aide de prompts ciblés pour extraire automatiquement ces informations confidentielles stockées dans les bases d’entraînement.
Nos conseils pour un usage maîtrisé de l’IA
- Conserver un esprit critique (Human-in-the-loop) : l’IA est un outil d’assistance, pas un substitut à la revue de code. Chaque ligne produite doit être vérifiée, testée et remise en question avant tout déploiement.
- Prendre conscience des sources d’entraînement : les IA s’appuient sur des bases de données publiques contenant du code parfois obsolète, non optimisé ou non sécurisé.
- Respecter le contexte et l’architecture de l’entreprise : un extrait de code généré de manière générique ne prend pas en compte les exigences de sécurité, les standards d’architecture ni les processus propres à votre organisation.
L’IA au service du Social Engineering
La consommation quotidienne d’Internet laisse une empreinte numérique constante. Des réseaux sociaux aux démarches en ligne, la collecte et le partage de nos données personnelles se sont généralisés. Dans ce contexte, l’ingénierie sociale (Social Engineering), cette méthode d’attaque qui vise l’humain pour compromettre un système, connaît une transformation majeure sous l’impulsion de l’Intelligence Artificielle (IA).
Les deux visages de la menace : phishing et spear phishing
Auparavant, la collecte d’informations sur une cible nécessitait des compétences techniques approfondies en développement et en cybersécurité. Désormais, l’émergence des modèles d’Intelligence Artificielle (IA) permet à des individus ne possédant pas de connaissances informatiques particulières de concevoir des scénarios d’attaque élaborés.
Nous assistons ainsi à un double changement d’échelle :
- N’importe quel attaquant peut cibler n’importe quelle victime ;
- Une seule personne est désormais capable d’attaquer simultanément un nombre massif d’utilisateurs, avec un taux de pénétration bien plus élevé qu’autrefois.
Les acteurs malveillants exploitent nos données numériques à travers différentes méthodes :
- Le hameçonnage classique (Phishing) : l’envoi d’un courriel contenant un lien frauduleux menant vers une page contrefaite (par exemple, une fausse page d’authentification Amazon). Lorsque l’utilisateur y saisit son identifiant et son mot de passe, ses accès sont dérobés ;
- Le hameçonnage ciblé (Spear Phishing) : une attaque sur mesure qui exploite les habitudes précises de la victime. Grâce au « double numérique » analysé par l’IA, l’attaquant peut modéliser la routine d’un individu (par exemple, identifier la fréquentation régulière d’un établissement à une heure précise). Il envoie ensuite un message prétextant l’oubli d’un document personnel dans cet établissement, accompagné d’un faux lien vers une photo.
La parfaite concordance entre le scénario d’attaque et le quotidien réel de la victime rend le Spear Phishing particulièrement redoutable, augmentant considérablement son taux de réussite.
À chaque navigation sur un site web, utilisation d’une application ou commande en ligne, nous renseignons des informations sensibles : adresses électroniques, identifiants, mots de passe et données comportementales.
Il est crucial de prendre conscience que l’ensemble de ces données est stocké, géré et partagé avec des équipes commerciales, marketing ou d’autres entreprises à travers le monde. Cette circulation globale constitue le réservoir dans lequel les cyberattaquants puisent pour affiner leurs cibles.
Bon à savoir :
Le phishing reste en tête des attaques subies par les entreprises. 60% des entreprises ont été impactées par ce vecteur d’attaque. (source : étude Opinionway pour CESIN- janvier 2025)
Notre conseil d’expert
La protection de votre identité face à l’ingénierie sociale commence par la prise de conscience des traces que vous laissez en ligne et par la maîtrise du cadre juridique, notamment le Règlement Général sur la Protection des Données (RGPD).
Pour reprendre le contrôle de votre empreinte numérique :
- Exercez vos droits : vous avez le droit de demander aux entreprises quelles données elles possèdent sur vous et de fixer des exigences de suppression de vos données personnelles ;
- Adoptez une démarche rigoureuse : bien que ces actions soient longues et fastidieuses, il est essentiel de comprendre où se trouvent vos informations et d’effacer régulièrement vos traces sur Internet pour en limiter l’impact potentiel ;
- Développez un usage averti : faites preuve de vigilance lors de l’utilisation des services en ligne. Comme le rappelle très justement Florian SEZILLE, Consultant cybersécurité au sein de la practice sécurité opérationnelle : « Si utiliser Internet est gratuit, c’est que quelque part, c’est nous le produit. »
Lire aussi : Phishing et IA : comment Synetis protège votre entreprise ?
De la biométrie au piratage du cerveau
À l’ère où l’expérience utilisateur prime, la quête de la simplicité et de l’optimisation du temps a profondément transformé nos usages numériques. Pour accéder à une application bancaire ou déverrouiller un smartphone, les manières de s’authentifier ont évolué. Mais cette quête de confort soulevait déjà une question fondamentale : comment concevoir des mécanismes d’authentification totalement infalsifiables ?
Lorsqu’un mot de passe est compromis ou qu’un certificat numérique est volé, la réponse reste simple : nous pouvons révoquer le certificat et modifier le mot de passe.
En revanche, le passage à l’authentification biométrique (empreintes digitales, reconnaissance faciale ou vocale) modifie radicalement la gestion du risque. En cas de fuite ou de vol de ces données :
- Vos empreintes digitales ne peuvent pas être régénérées ;
- Votre visage ne peut pas être changé.
Ces informations étant extrêmement personnelles, leur divulgation s’avère catastrophique. Ce constat rappelle l’enjeu central de la donnée dans les modèles d’intelligence artificielle (IA) et redonne tout son sens aux consignes de prudence traditionnelles.
Pour dépasser ces limites, les recherches se tournent vers l’étude des ondes cérébrales afin d’établir des profils d’authentification uniques basés sur nos pensées.
Exemple d’authentification par la pensée
Si vous pensez au mot « éléphant », l’image mentale que vous vous faites génère un profil d’ondes cérébrales spécifiques. Même si une autre personne pense au même mot, son profil sera totalement différent.
Les nouveaux implants cérébraux s’appuient sur des modèles d’IA capables d’analyser ces signaux. En mesurant l’intensité des ondes et la sollicitation de zones spécifiques du cerveau, l’IA peut interpréter une idée, un mot, ou même reconnaître un état émotionnel (joie, tristesse, faim). Ce traitement en amont permet ensuite de valider une identité.
Des bénéfices médicaux aux risques d’intrusion intime
Si ces avancées offrent des perspectives prometteuses, notamment pour l’identification et le diagnostic de maladies graves, l’usage des Interfaces Homme-Machine (IHM) et Cerveau-Machine comporte des risques inédits.
En accédant directement aux informations contenues dans le cerveau humain, la gravité des compromissions change d’échelle :
- Interception des pensées et secrets les plus profonds : atteinte directe à l’intégrité, l’authenticité et la sécurité de la personne ;
- Exploitation commerciale et manipulation : si une entreprise accède à ces profils d’ondes (patterns), elle pourrait détecter vos préférences personnelles (par exemple une appétence pour le café) et exploiter ces données sensibles pour cibler vos comportements ;
- Absence de garde-fous éthiques : alors que les questions de cybersécurité ont été intégrées très tôt dans le développement de l’IA, la dimension morale et éthique de l’extraction de données cérébrales reste aujourd’hui insuffisamment encadrée.
L’utilisation malveillante ou non régulée de données directement issues du cerveau humain représente un danger majeur, capable de ruiner la vie d’un individu. Il devient donc urgent d’appliquer une rigueur éthique stricte face à ces technologies émergentes.
Lire aussi : IA et détection cyber : perspectives opérationnelles pour les SOC
Conclusion : solutions et recommandations : reprendre le contrôle
Dans un contexte où les innovations technologiques s’enchaînent rapidement, la gestion des risques et la protection des accès restent des priorités majeures. Pourtant, une question essentielle persiste : comment se protéger efficacement tout en continuant d’innover ?
Historiquement, le budget consacré à la cybersécurité en entreprise demeure inférieur à celui alloué au développement de nouvelles fonctionnalités. En effet, pour 81 % des entreprises, la part du budget IT allouée à la sécurité est de 10 % ou moins (dont 41 % y consacrent même moins de 5 %)*. Pour changer de paradigme, il convient d’inverser cette approche en intégrant la sécurité dès la phase d’amont des projets.
L’objectif est d’évoluer d’une posture réactive vers une démarche proactive et axée sur la prévention. Plutôt que de mettre en place des filtres a posteriori, qui risquent de dégrader l’expérience utilisateur, concevoir des garde-fous dès la genèse des systèmes (Security by Design) garantit un équilibre optimal entre protection et confort d’utilisation.
Se protéger implique également d’adopter une posture éclairée face aux technologies et l’utilisation de l’IA :
- Prendre le temps d’analyser les enjeux : évitez d’utiliser un outil sans en maîtriser le fonctionnement ni en appréhender les limites ;
- Évaluer les risques : identifiez clairement ce qu’il est possible de réaliser, ainsi que les dangers potentiels liés à l’usage de nouvelles solutions ;
- S’engager en tant que citoyen : participez aux réflexions, forums et discussions publiques pour faire entendre votre voix sur ces problématiques éthiques et techniques.
Les modèles émergents d’intelligence artificielle (IA) doivent intégrer des mécanismes de contrôle natifs afin d’assurer une gestion responsable des données. Il ne s’agit pas nécessairement d’augmenter les budgets, mais d’investir le temps nécessaire pour concevoir des systèmes plus intelligemment et de manière pérenne.
D’ailleurs, le premier enjeu identifié par les entreprises est l’adaptation des solutions et des processus de sécurité aux transformations numériques, notamment avec le développement de l’IA (source : étude Opinionway pour CESIN- janvier 2025).
*Baromètre de la cybersécurité des entreprises – janvier 2025 – Opinionway pour CESIN.
