L'adoption de l'intelligence artificielle transforme les centres de sécurité

Les centres d'opérations de sécurité des grandes entreprises constatent une augmentation rapide des alertes générées par les outils et agents d'intelligence artificielle. Cette croissance concerne l'empreinte numérique quotidienne des organisations qui utilisent ces technologies, plutôt que des attaques directes contre l'intelligence artificielle elle-même. Les développeurs exécutant des agents de codage et le personnel non technique utilisant des outils de consommation sur des comptes corporatifs sont les principaux moteurs de ce phénomène.

L'analyse de l'activité liée à l'intelligence artificielle dans de nombreux environnements d'entreprise révèle que ces alertes ne représentent encore que 0,43 % de l'ensemble des alertes de sécurité. Toutefois, cette part augmente chaque mois, avec une progression de 685 % entre février et juin 2026. Cette tendance montre que l'intelligence artificielle constitue à la fois une petite fraction du flux d'alertes actuel et la portion qui croît le plus rapidement.

La composition de ces alertes est plus importante que leur volume pour les équipes de sécurité. La répartition des alertes déclenchées par les agents d'intelligence artificielle se divise en trois catégories : 94,1 % de bruit, 5,8 % de risques réels et 0,02 % d'attaques confirmées. Le coût principal pour les centres de sécurité n'est donc pas les violations de données, mais une marée montante d'alertes alarmantes qui sont presque toujours fausses, noyant un petit nombre d'expositions réelles.

L'adoption de l'intelligence artificielle dans les entreprises se manifeste sous deux formes distinctes. La première est technique : les développeurs installent des agents de codage qui créent des coquilles, lisent les magasins de credentials, ouvrent des tunnels réseau et téléchargent des paquets. Ces actions, bien que légitimes, sont indistinguables des premières étapes d'une intrusion pour les moteurs de détection. La seconde forme est plus discrète : les employés accordent des consentements OAuth à des applications tierces et collent des documents dans des outils génératifs. Cette activité déclenche rarement une détection sur le poste de travail, mais c'est là que les données quittent l'entreprise.

Sur les 16,9 millions d'alertes de sécurité examinées, environ 73 000 étaient liées à l'intelligence artificielle. La croissance est monotone, chaque mois complet étant supérieur au précédent, avec une accélération marquée en mai 2026. Seuls 5,4 % de ces alertes ont été escaladées à un analyste humain, le reste étant marqué pour un suivi. Une alerte de haute sévérité ne signifie pas nécessairement une menace réelle. Par exemple, une détection unique chez un client a représenté 55 % des alertes critiques signalant un binaire Windows comme un transfert d'outil latéral. L'inspection a révélé qu'il s'agissait d'un agent de codage configurant un environnement de travail, un comportement normal pour ce type de tâche.

Les attaques réelles détectées dans cette classe d'alertes ne sont jamais des compromissions causées par l'agent d'intelligence artificielle de l'organisation. Les alertes titrées « agent d'intelligence artificielle exécutant mimikatz » ou « coquille inverse depuis un outil de codage » se sont révélées être du travail légitime ou des fausses détections. La menace réelle observée est une campagne de hameçonnage active qui utilise les noms de marques d'intelligence artificielle comme appâts. Ces e-mails malveillants exploitent la familiarité des employés avec ces produits, car les notifications de ces marques sont devenues courantes dans les environnements professionnels.