Mois de la sensibilisation à la cybersécurité 2026 : comprendre la sécurité de l'IA est essentiel à la défense de l'entreprise

Un nouveau Mois de sensibilisation à la cybersécurité commence, et si je puis me permettre, le thème général de 2026, « Ne facilitez pas la tâche des cybercriminels », pourrait bien être l'euphémisme du siècle.

Bien que ce soit un bon point de départ pour les citoyens comme pour le personnel de sécurité, cette année a été particulièrement impressionnante en termes d'ampleur des changements pour le secteur de la cybersécurité, grâce à la mise en œuvre rapide et généralisée d'outils d'IA agentique en entreprise. « Ne pas faciliter la tâche » aux acteurs malveillants devient une mission globale pour la plupart des RSSI, qui ont besoin du soutien de toute leur organisation pour avoir un réel impact.

Nous avons atteint un point où la plupart des grandes entreprises d'IA ont publiquement appelé à un ralentissement mondial du développement de l'IA afin que les garde-fous de sécurité puissent rattraper leur retard. Mais en réalité, de graves problèmes de sécurité se sont déjà matérialisés. L'incident OpenAI/Hugging Face pèse encore lourdement et continue d'alimenter de nombreux débriefings techniques. Tous soulignent que, d'une certaine manière, la technologie a dépassé les paramètres de sécurité que nous avions établis de longue date pour maîtriser une surface d'attaque traditionnelle qui n'était pas dopée à l'IA. La récente violation de données de Medicare n'a fait que renforcer ce constat.

Cela place d'innombrables responsables de la sécurité et équipes de direction dans une situation d'urgence, alors que les coûts financiers et les risques liés à la mise en œuvre de l'IA ne cessent de s'accumuler.

La surface d'attaque de l'entreprise s'est étendue de façon permanente (et elle continue de croître)

Nous devons accepter très rapidement le fait que la surface d'attaque de l'entreprise s'est fondamentalement et durablement étendue, car la définition même de qui « écrit du code » a changé. Avec l'essor des LLM génératifs, des plateformes low-code/no-code et des assistants agentiques, la création de logiciels n'est plus réservée aux départements d'ingénierie traditionnels. Aujourd'hui, les utilisateurs métiers de la finance, des RH, du marketing et des opérations (nos « développeurs citoyens ») créent des flux de travail personnalisés, intègrent des API et déploient des applications directement au cœur des fonctions métier essentielles.

‍Des études sectorielles estiment que 70 % des nouvelles applications d'entreprise sont développées à l'aide d'outils low-code ou no-code, et que 80 % de ces utilisateurs travaillent en dehors des services informatiques. Si cela décuple la productivité sur le papier, cela génère aussi une empreinte de « shadow code » incontrôlable et difficile à maîtriser, où des logiciels sont créés sans gouvernance ni formation élémentaire à la sécurité.

Cette démocratisation fulgurante du développement engendre de lourdes répercussions en matière de sécurité. Des données récentes de la Cloud Security Alliance révèlent que les commits de code assistés par IA exposent des secrets à un rythme plus de deux fois supérieur à celui du code écrit par des humains (3,2 % contre 1,5 %). De plus, les outils d'IA introduisent des failles de sécurité dans 45 % des tâches de développement et produisent globalement 2,74 fois plus de problèmes de sécurité. Notre propre baromètre évolutif, le SCW AI Trust Index, a également démontré qu'aucun modèle n'est universellement « sûr », le code généré par IA comportant en moyenne 15 vulnérabilités par base de code.

Notamment, lors de sessions de codage intuitif avec leur LLM préféré, les employés non techniques sont régulièrement incités à stocker des clés API non chiffrées ou à déployer des applications dans des environnements non approuvés comme Cloudflare, étendant par inadvertance la surface d'attaque de l'entreprise faute de formation pour reconnaître le risque.

Il s'agit d'un problème à part entière, pernicieux, qui exige la même urgence que celle accordée à des incidents majeurs comme la panne mondiale liée à CrowdStrike et l'attaque de la chaîne d'approvisionnement logicielle de SolarWinds. Chaque commit est susceptible de causer des dégâts.

Combler le fossé des connaissances en sécurité de l'IA pour chaque employé

Nous ne pouvons pas combler le fossé en matière de sécurité et de littératie de l'IA par de simples politiques de gouvernance passives ou des analyses automatisées. Dans un nouveau flux de travail omniprésent où les agents d'IA génèrent du code, examinent les pull requests et déclenchent des déploiements, sécuriser ce que l'IA omet devient la priorité absolue pour chaque humain au sein de l'organisation.

Vous souhaitez garder la maîtrise de votre surface d'attaque ? Dans ce cas, l'ensemble des collaborateurs qui génèrent ou soumettent du code avec l'IA — des ingénieurs logiciels chevronnés aux citizen developers des métiers — doivent posséder des compétences de sécurité vérifiables, tant dans le cadre de leurs fonctions qu'au sein des outils qu'ils utilisent. Les organisations doivent donner à chaque employé le discernement pratique nécessaire pour auditer les résultats de l'IA, gérer les identifiants en toute sécurité et repérer les failles de sécurité avant le déploiement du code en production.

C'est pourquoi, en ce Mois de sensibilisation à la cybersécurité, nous encourageons les responsables de la sécurité à dépasser la simple sensibilisation théorique pour bâtir de véritables capacités de défense concrètes et éprouvées au sein de leurs équipes. Pour faciliter cette démarche de façon ludique et sans friction, j'invite tous nos clients et partenaires à participer à Cybermon 2026, qui débutera le lundi 5 octobre 2026.

Participez : Cybermon 2026

Axé sur le thème de cette année, « Construit par l'IA. Sécurisé par vous », Cybermon 2026 est un événement interactif gratuit de quatre semaines destiné aux clients de la plateforme Secure Code Warrior, conçu pour transformer la sensibilisation aux risques liés à l'IA en habitudes de codage sécurisé concrètes.

Tout au long de la campagne, les participants affrontent des monstres numériques « cybermon » gamifiés représentant des failles logicielles réelles, à travers des laboratoires de codage de 6 à 10 minutes et des défis interactifs. L'événement de cette année propose quatre nouvelles missions exclusives de niveau « Boss » axées sur l'IA, qui mettent les équipes au défi d'exploiter et de se défendre contre de nouvelles catégories de vulnérabilités liées à l'IA agentique. Entièrement localisé en 8 langues et accessible dans les principaux langages de programmation, Cybermon 2026 offre à toute votre entreprise un moyen engageant d'obtenir des badges numériques, d'organiser des compétitions amicales en interne et de vérifier les compétences en cybersécurité IA nécessaires pour protéger votre organisation.

Rendre la tâche plus difficile aux cybercriminels peut sembler insurmontable, mais nous savons à quel point un personnel qualifié et préparé peut réduire les facteurs de risque liés au code. Rejoignez-nous pour Cybermon 2026 et donnez à vos équipes les moyens de sécuriser l'avenir des logiciels pilotés par l'IA.