Au sein de la clientèle de CGI, trois approches distinctes en matière de cybersécurité émergent face aux capacités de cybersécurité fondées sur une intelligence artificielle (IA) de pointe, comme Claude Mythos et Fable d’Anthropic ou encore GPT-5.5 Cyber d’OpenAI. Chacune d’elles est pertinente, mais exige une stratégie distincte.
Avant d’aller plus loin, il est utile de remettre les choses en contexte. Dans son plus récent billet de blogue La défense en matière de cybersécurité au rythme de l’évolution de l’IA : le nouveau défi de la résilience opérationnelle, Ray Daoud présente les répercussions stratégiques de l’IA de pointe sur la cybersécurité : ce qui a changé, ce qui reste constant et ce qui constitue désormais le principal goulot d’étranglement.
En résumé, les règles de cybersécurité présentées par Ray s’appliquent toujours, mais les délais d’intervention sont réduits. La décision du gouvernement américain, le 12 juin, de suspendre Fable 5 et Mythos 5 pour des motifs de sécurité nationale (qui a été mise en place en moins de deux heures) a exposé cette compression en temps réel. Les organisations qui avaient conçu des flux de travaux automatisés à partir de Fable 5 ont perdu un outil essentiel l’après-midi même de la suspension.
Ce billet de blogue porte sur cette réalité opérationnelle. Accompagnant l’analyse de Ray, il présente les mesures que peuvent prendre les organisations au cours des 60 prochains jours.
Trois approches, un impératif
Intervention en situation de crise « Il faut agir immédiatement. »
En quelques jours, certains clients, surtout ceux responsables d’infrastructures essentielles, ont composé des équipes d’intervention, accéléré l’évaluation de leurs fournisseurs et mandaté l’élaboration de plans d’action de 30 jours.
Un important client de l’énergie en Amérique du Nord a mis sur pied une équipe d’environ 60 personnes répartie en sept axes de travail menés en parallèle : réduction des surfaces d’attaque, gestion des identités et début de la vérification systématique, gestion des vulnérabilités et des correctifs, développement sécurisé du carnet de commandes, risques liés aux tiers, détection des anomalies et évaluation des risques fondée sur l’IA. L’ampleur des efforts a confirmé l’importance d’une intervention coordonnée, qui concerne tant les équipes et les technologies que l’ensemble de l’écosystème.
Analyse « Nous devons comprendre les implications. »
Ces clients cherchent à distinguer le signal du bruit, à vérifier les hypothèses et à établir une feuille de route avant d’agir.
Une évaluation structurée des effectifs, des processus et des technologies permet d’y voir plus clair. En évaluant la posture de risque, la gestion des correctifs et des solutions de rechange, les actifs, les surfaces d’attaque, la gouvernance des identités ainsi que l’état de préparation en matière de sécurité en IA, les organisations obtiennent un aperçu clair de leur état de préparation et peuvent élaborer un plan concret pour combler les écarts les plus importants.
Observation « Nous nous en occuperons plus tard. »
Le risque n’est peut-être pas encore inscrit à l’ordre du jour du conseil, mais il n’attendra pas qu’on l’y invite. La suspension de Fable 5 a fait son chemin dans les boîtes de courriel de tous les chefs de la sécurité de l’information, qu’ils aient déjà considéré les risques liés à l’IA de pointe comme une priorité stratégique ou non.
Un atelier d’une heure pour les responsables et une page de synthèse pour la direction restent un bon point de départ, mais le contexte a changé. Ce risque n’appartient plus au futur; il est déjà présent.
Peu importe l’approche retenue, un même impératif s’impose : il faut agir de façon claire et proactive sans céder à la panique ni à la complaisance.
Cinq mesures à prendre dans les 60 prochains jours
Le point de départ approprié variera en fonction de l’approche, mais les cinq mesures suivantes peuvent aider à se préparer aux cybermenaces et à renforcer la résilience au cours de 60 prochains jours.
- Réduire la surface d’attaque. Retirez, isolez ou segmentez les systèmes obsolètes, exposés ou inutiles. Priorisez les actifs accessibles sur Internet, les plateformes existantes et les dépendances importantes.
- Tester les correctifs en simulation de crise. Effectuez une simulation au cours de laquelle trois à cinq vulnérabilités importantes surviennent dans la même semaine. La contrainte est rarement la détection, mais plutôt le processus décisionnel, l’établissement des priorités et la coordination.
- Évaluer l’exposition dans l’ensemble de l’écosystème. Déterminez les sources de risque liées aux fournisseurs, aux composants à source ouverte, aux outils d’IA, aux agents et aux flux de données. Priorisez les contrôles des accès, l’imputabilité et la gouvernance.
- Renforcer les contrôles d’identité et de lutte contre la fraude. Élargissez l’authentification multifacteur contre l’hameçonnage, éliminez les privilèges permanents et préparez des guides d’intervention face aux attaques par hypertrucage, hameçonnage par téléphone et abus de fausses identités.
- Piloter des essais d’IA défensive dans des scénarios d’utilisation contrôlés. Utilisez l’IA dans la révision du code, les vérifications d’intégration et de déploiement continus, le tri des vulnérabilités et l’accompagnement à la remédiation tout en maintenant une supervision humaine et une imputabilité clairement définie.
Quatre mesures à éviter
Dans les 60 prochains jours, il faudra savoir accélérer l’exécution des mesures pertinentes tout en limitant les erreurs coûteuses. Voici quatre mesures à éviter :
- Dépendre d’un seul modèle d’IA de pointe pour les flux essentiels sans avoir défini un plan de rechange documenté. La suspension de Fable 5 du 12 juin a même perturbé les processus automatisés qui en dépendaient, non pas progressivement ni au cours d’une période de transition, mais immédiatement. Assurez la continuité des activités grâce à des modèles de rechange, des procédures manuelles et des plans de basculement éprouvés.
- Acheter une nouvelle plateforme d’IA de façon précipitée. Le marché évoluera sans doute considérablement dans les 12 prochains mois. Avant d’ajouter une nouvelle plateforme, évaluez comment l’intégration de l’IA dans les outils et les flux de travaux existants peut apporter une valeur ajoutée.
- Être tributaire d’un seul modèle ou fournisseur d’IA. Il n’existe pas de modèle dominant et constant en cybersécurité, et les étalonnages indépendants changent régulièrement. Des processus flexibles qui dirigent les tâches vers le modèle approprié peuvent s’adapter davantage que ceux qui dépendent d’une seule option.
- Mettre en place un nouveau programme lorsque le renforcement d’un programme existant est possible. La majorité des organisations n’ont pas besoin de multiplier les initiatives. Elles doivent piloter les programmes de gestion des vulnérabilités, des identités et des interventions en cas d’incident à un rythme plus soutenu, en s’appuyant sur une capacité d’intensification et des guides opérationnels préautorisés.
Une remarque sur les systèmes existants et la dette technique
Plusieurs entreprises disposent de systèmes difficiles à sécuriser pour des raisons opérationnelles valables : applications existantes, intégrations peu entretenues, plateformes en fin de vie qui génèrent encore des revenus et fournisseurs qui gèrent des infrastructures difficiles à remplacer. Ces éléments posent depuis longtemps les plus grands défis liés à la gestion des vulnérabilités. L’IA de pointe redéfinit désormais l’évaluation des risques associés à cette dette technique en réduisant le délai dont disposent les organisations pour identifier, évaluer et traiter leur exposition.
Ollie Whitehouse, chef de la direction technologique du NCSC, a décrit la période à venir comme un « tsunami de correctifs visant à résorber des décennies de dette technique ». Cette comparaison reflète la constatation de CGI pour l’ensemble des infrastructures essentielles, des services financiers et des gouvernements. La solution n’est pas une modernisation immédiate à l’échelle de l’entreprise, mais plutôt l’identification des systèmes existants qui cumulent une exposition importante, une grande importance pour les activités et des délais de remédiation lents, puis l’application de mesures de contrôle compensatoires ciblées, comme la segmentation, les changements de configuration, le resserrement des restrictions d’accès, la surveillance accrue et l’acceptation des risques documentée, en plus de définir un processus de modernisation à plus long terme.
Pour plusieurs organisations, c’est ici que l’appui de la haute direction compte le plus. Les décisions liées à la dette technique qui étaient peut-être acceptables en 2024 deviennent de plus en plus difficiles à justifier en 2026.
Par où commencer
Si vous souhaitez discuter de la position de votre organisation par rapport à ces trois approches, ou de la manière de traduire ces mesures en engagement concret, notre pratique de cybersécurité peut vous fournir des services-conseils, des services de sécurité en mode délégué et de gouvernance de l’IA ainsi qu'une prestation de services sécurisée. Vous trouverez un résumé de notre engagement à aider nos clients à renforcer leur cyberrésilience à l’ère de l’IA de pointe sur cgi.com : La cybersécurité et la cyberrésilience à l’ère de l’IA de pointe.
À propos de l’auteur
Pierre Le Calvez
Vice-président, services-conseils, Canada
Pierre Le Calvez est un haut dirigeant accompli avec plus de 20 ans d’expérience en technologie de l’information, y compris plus de 17 ans dans le domaine de la cybersécurité. En tant que vice-président, services-conseils, il dirige la pratique nationale de cybersécurité au Canada, supervisant ...
