Mois de la sensibilisation à la cybersécurité 2026 : comprendre la sécurité de l'IA est essentiel à la défense de l'entreprise

Le Mois de la sensibilisation à la cybersécurité est de retour, et si je puis me permettre, le thème général de 2026, « Ne facilitez pas la tâche aux cybercriminels », est sans doute un euphémisme majeur.

Bien que ce soit un bon point de départ pour les citoyens comme pour le personnel de sécurité, cette année a été particulièrement impressionnante en termes d'ampleur des changements pour le secteur de la cybersécurité, grâce à la mise en œuvre rapide et généralisée d'outils d'IA agentique en entreprise. « Ne pas faciliter la tâche » aux acteurs malveillants devient une mission globale pour la plupart des RSSI, qui ont besoin du soutien de toute leur organisation pour avoir un réel impact.

Nous avons atteint un point où la plupart des grandes entreprises d'IA ont publiquement appelé à un ralentissement mondial du développement de l'IA afin de permettre aux garde-fous de sécurité de rattraper leur retard. Pourtant, la réalité est que de graves problèmes de sécurité se sont déjà concrétisés. L'incident OpenAI/Hugging Face reste très présent et continue d'alimenter de nombreux débriefings techniques, soulignant le fait que, d'une certaine manière, la technologie a dépassé les paramètres de sécurité établis pour contrôler une surface d'attaque traditionnelle qui n'était pas augmentée par l'IA. La récente brèche Medicare n'a fait que renforcer ce constat.

Cela place d'innombrables responsables de la sécurité et équipes de direction dans une situation d'urgence, alors que les coûts financiers et les risques liés à la mise en œuvre de l'IA ne cessent de s'accumuler.

La surface d'attaque de l'entreprise s'est étendue de façon permanente (et elle continue de croître)

Nous devons accepter très rapidement le fait que la surface d'attaque de l'entreprise s'est fondamentalement et durablement étendue, car la définition même de qui « écrit du code » a changé. Avec l'essor des LLM génératifs, des plateformes low-code/no-code et des assistants agentiques, la création de logiciels n'est plus réservée aux départements d'ingénierie traditionnels. Aujourd'hui, les utilisateurs métiers de la finance, des RH, du marketing et des opérations (nos « développeurs citoyens ») créent des flux de travail personnalisés, intègrent des API et déploient des applications directement au cœur des fonctions métier essentielles.

‍Les études du secteur estiment que 70 % des nouvelles applications métier sont construites à l'aide d'outils low-code ou no-code, et que 80 % de ces utilisateurs travaillent en dehors des départements informatiques. Bien que cela accélère considérablement la productivité sur le papier, cela crée une empreinte de « code fantôme » difficile à contrôler, où les logiciels sont créés sans formation de base en sécurité ni gouvernance.

Cette démocratisation rapide du développement entraîne de graves conséquences en matière de sécurité. Des données récentes de la Cloud Security Alliance montrent que les commits de code assistés par l'IA exposent des secrets deux fois plus souvent que le code écrit par des humains (3,2 % contre 1,5 %), les outils d'IA générant des vulnérabilités de sécurité dans 45 % des tâches de développement et produisant globalement 2,74 fois plus de problèmes de sécurité. Notre propre référence, le SCW AI Trust Index, a également déterminé qu'il n'existe aucun modèle universellement « sûr », le code généré par l'IA comportant en moyenne 15 vulnérabilités par base de code.

Notamment, lors de sessions de codage intuitif avec leur LLM préféré, les employés non techniques sont régulièrement incités à stocker des clés API non chiffrées ou à déployer des applications dans des environnements non approuvés comme Cloudflare, étendant par inadvertance la surface d'attaque de l'entreprise faute de formation pour reconnaître le risque.

Il s'agit d'un problème insidieux et distinct qui nécessite la même urgence que celle accordée à des incidents très médiatisés comme la panne mondiale de CrowdStrike et l'attaque de la chaîne d'approvisionnement logicielle SolarWinds. Chaque commit peut causer des dommages.

Combler le fossé des connaissances en sécurité de l'IA pour chaque employé

Nous ne pouvons pas combler le fossé en matière de sécurité et de littératie de l'IA par de simples politiques de gouvernance passives ou des analyses automatisées. Dans un nouveau flux de travail omniprésent où les agents d'IA génèrent du code, examinent les pull requests et déclenchent des déploiements, sécuriser ce que l'IA omet devient la priorité absolue pour chaque humain au sein de l'organisation.

Vous souhaitez garder le contrôle sur la surface d'attaque ? Dans ce cas, tout le personnel qui génère ou soumet du code avec l'IA, des ingénieurs logiciels chevronnés aux développeurs citoyens, doit posséder des compétences en sécurité vérifiables, tant dans le contexte de ses fonctions que dans celui des outils utilisés. Les organisations doivent doter chaque employé du jugement pratique nécessaire pour auditer les résultats de l'IA, gérer les identifiants en toute sécurité et identifier les failles de sécurité avant que le code n'atteigne la production.

C'est pourquoi, en ce Mois de la sensibilisation à la cybersécurité, nous encourageons les responsables de la sécurité à aller au-delà de la simple sensibilisation pour renforcer les capacités de défense réelles et vérifiées de leurs équipes. Pour faciliter cette démarche avec un minimum de friction et un maximum de plaisir, j'invite tous nos clients et partenaires à participer à Cybermon 2026, qui débutera le lundi 5 octobre 2026.

Participez : Cybermon 2026

Axé sur le thème de cette année, « Construit par l'IA. Sécurisé par vous », Cybermon 2026 est un événement interactif gratuit de quatre semaines destiné aux clients de la plateforme Secure Code Warrior, conçu pour transformer la sensibilisation aux risques liés à l'IA en habitudes de codage sécurisé concrètes.

Tout au long de la campagne, les participants affrontent des monstres numériques « cybermon » gamifiés représentant des failles logicielles réelles, à travers des laboratoires de codage de 6 à 10 minutes et des défis interactifs. L'événement de cette année propose quatre nouvelles missions exclusives de niveau « Boss » axées sur l'IA, qui mettent les équipes au défi d'exploiter et de se défendre contre de nouvelles catégories de vulnérabilités liées à l'IA agentique. Entièrement localisé en 8 langues et accessible dans les principaux langages de programmation, Cybermon 2026 offre à toute votre entreprise un moyen engageant d'obtenir des badges numériques, d'organiser des compétitions amicales en interne et de vérifier les compétences en cybersécurité IA nécessaires pour protéger votre organisation.

Rendre la tâche plus difficile aux cybercriminels peut sembler insurmontable, mais nous savons à quel point un personnel qualifié et préparé peut réduire les facteurs de risque liés au code. Rejoignez-nous pour Cybermon 2026 et donnez à vos équipes les moyens de sécuriser l'avenir des logiciels pilotés par l'IA.