Se décrivant elle-même comme une « hackeuse en voie de réinsertion », Alissa Valentina Knight a passé la majeure partie des trois dernières décennies à pirater des réseaux informatiques et des systèmes de sécurité, soit de manière illicite, soit avec l'accord des dirigeants d'entreprises et des responsables gouvernementaux. Ce spécialiste de la cybersécurité, fort de 26 ans d'expérience, a fait ses débuts dès son adolescence en recherchant des astuces pour accéder sans autorisation à des informations commerciales confidentielles sur des BBS (Bulletin Board Systems). Mais depuis, elle a su tirer parti de son expérience dans les aspects les plus obscurs de l'informatique pour se forger une carrière florissante qui s'étend à la fois sur Internet et dans le monde réel. Découvrez quelques-unes de ses réalisations, telles que des missions de conseil très médiatisées pour le Pentagone, une série de crédits en tant que scénariste et producteur à Hollywood, ainsi que des ouvrages salués par la critique, comme le livre prémonitoire (et quelque peu terrifiant) * * , *Hacking Connected Cars*et **.
Aujourd'hui, ce créateur de contenu de renom, influenceur et ancien magnat de l'informatique dirige le Knight Group, un studio de capital-risque qui détient et gère toute une série de start-ups high-tech. Elle vient de dévoiler sa dernière création, Assail, une nouvelle start-up spécialisée dans l'IA agentique qui développe des agents autonomes destinés à aider ses clients du monde entier grâce à des fonctionnalités telles que les tests automatisés de vulnérabilité des API et les tests d'intrusion. (« Nous sommes une entreprise spécialisée dans l'IA adversaire, qui permet aux organisations d'identifier et de se prémunir contre les vulnérabilités de leur pile d'applications modernes », explique-t-elle.) Pour faire court : lorsqu’il s’agit d’explorer les limites des technologies émergentes et des solutions de cybersécurité, cet expert de premier plan – dont les activités commerciales englobent également des sociétés d’édition de programmes télévisés et de jeux vidéo – a pratiquement tout vu et tout fait.
Soucieux de savoir comment la nature et la forme des menaces en ligne évoluent à l’ère de l’intelligence artificielle et de l’automatisation, , le point de contact , a pu s’entretenir avec elle entre une succession apparemment interminable de vols et de réunions. Elle nous fait part ici de ses réflexions sur la manière dont les professionnels de la cybersécurité de demain pourront mieux faire face aux nouvelles menaces numériques, sur la façon dont les responsables informatiques peuvent adapter leurs stratégies et leur état d'esprit pour relever les défis émergents, et sur ce que l'avenir nous réserve à une époque où les menaces numériques évoluent à la vitesse des modèles de langage de grande envergure (LLM).
Q&A
Point clé : En quoi l'essor de l'IA et de l'automatisation a-t-il modifié le paysage des cybermenaces pour les organisations, tous secteurs confondus ?
Alissa Knight : D'un point de vue historique, même avant l'utilisation de l'IA pour des applications adversariales, les professionnels avaient beaucoup de mal à rivaliser avec un adversaire humain. J'ai toujours eu l'impression de courir après le temps et de ne faire que réagir. À l'heure où les adversaires utilisent des modèles linguistiques de grande, voire de petite taille, pour lancer de nouvelles menaces et attaques, le fossé entre les défenseurs et les attaquants ne cesse de se creuser. C'est avant tout une question de vitesse. Nous évoluons désormais à la vitesse et avec la puissance destructrice des machines : des personnes qui ne savent même pas comment compiler un exploit sont désormais rapidement capables de pirater des systèmes et de compromettre un réseau.
«Nous fonctionnons désormais à la vitesse et avec la létalité des machines, à tel point que des personnes qui ne savent même pas comment compiler un exploit sont désormais rapidement capables de pirater des systèmes et de compromettre un réseau »Alissa Valentina Knight, PDG et directrice de l'IA chez Assail
Nous avons récemment développé une plateforme utilisant l'IA adversaire pour identifier les vulnérabilités d'un réseau. Et je peux vous dire que la plateforme que nous avons mise au point a permis de pirater sept banques en deux minutes et demie. Je ne vois pas comment les humains pourraient se défendre contre quelque chose d'aussi rapide et d'aussi mortel. Cela soulève de nombreuses préoccupations concernant le délai moyen de détection et d'intervention, qui ne fait qu'empirer.
Interlocuteur : Quelles sont certaines des hypothèses en matière de sécurité que les entreprises, dans leur empressement à adopter de nouveaux outils et technologies d'IA, se trompent dès le départ ?
Alissa Knight : En matière de défense, l'IA n'est plus simplement une fonctionnalité. C'est une compétence indispensable, et vous devez absolument vous y mettre. L'intelligence artificielle transforme radicalement les capacités de supériorité cognitive des solutions tant défensives qu'offensives. De ce fait, de nombreuses organisations recherchent désormais des solutions basées sur l'intelligence artificielle afin de pouvoir suivre le rythme. En substance, cette technologie offre aux défenseurs un avantage concurrentiel dans la lutte contre les attaques, et ceux-ci l'utilisent également pour renforcer leurs capacités en matière d'analyse judiciaire et de gestion des incidents.
Mais parallèlement, vous avez également des adversaires qui utilisent l'IA pour optimiser et renforcer leurs capacités afin de compromettre davantage de réseaux que jamais auparavant. Et pour s'introduire dans des systèmes auxquels ils n'auraient peut-être pas pu accéder auparavant, soit parce que l'exploit était trop cher à acheter sur le dark Web, soit parce qu'ils n'y avaient pas accès, etc. Ce que l'IA a fait, c'est véritablement démocratiser la nature même du piratage informatique. Cela permet à des personnes qui, autrement, n'auraient aucune idée de la manière de pirater, de le faire et de compromettre des systèmes, à condition qu'elles aient accès à un modèle d'IA hostile (c'est-à-dire un modèle dépourvu de mécanismes de sécurité ou qui a été « jailbreaké »).
Point clé : Lorsque les cybercriminels d'aujourd'hui compromettent un réseau ou une application, quelle est leur véritable cible ? Est-ce une question d'accès ? S'agit-il de données ? Est-ce l'influence du réseau ? Ou même l'accès aux modèles d'IA eux-mêmes ?
Alissa Knight : C'est drôle, quand je me suis lancée dans la cybersécurité, tout tournait vraiment autour du défacement de sites web et du fait de pouvoir dire que j'avais piraté la page d'accueil de NASA.gov, ou autre chose du genre. Aujourd'hui, la donne a changé et le piratage informatique est bel et bien une activité à but lucratif. Il existe des réseaux criminels transnationaux et des individus qui cherchent à tirer profit de vos données, à faire chanter une entreprise, puis à revendre ces données sur le Dark Web. Ajoutez à cela des États hostiles qui cherchent à obtenir un avantage militaire ou à construire ou à accéder à quelque chose qu’ils ne pourraient pas développer par eux-mêmes. Et voici le problème : les données ont plus de valeur que des ressources telles que le pétrole ou le Bitcoin, et c’est précisément ce que recherchent [les criminels].
Focal Point : Quels sont les indices qui permettent aux pirates de déterminer que le niveau de sécurité d'une entreprise, et en particulier celui lié à l'IA, pourrait être relativement faible ?
Alissa Knight : Je suis fermement convaincue que la meilleure défense, c'est d'avoir la meilleure attaque. Et si nous vivons aujourd’hui à une époque où nos adversaires ont recours à l’IA, nous devons nous demander pourquoi, en tant que défenseurs, certains d’entre nous continuent d’utiliser des scanners de vulnérabilités obsolètes qui reposent sur la reconnaissance de signatures, au lieu de recourir également à l’IA pour identifier et exploiter les vulnérabilités de notre environnement ? Vous devez utiliser les mêmes tactiques, techniques et procédures que celles employées par les cybercriminels pour cibler et s'introduire dans votre réseau. Ainsi, si nous, en tant que défenseurs, avons accès à l'IA, qu'il s'agisse de pare-feu basés sur l'IA, de contrôles de sécurité ou de toute autre solution, nous devons tirer parti de la même technologie que celle que nos adversaires utilisent contre nous.
Il existe une question simple qui permet de déterminer si une organisation est simplement à la traîne ou si elle est incapable de se défendre contre les menaces liées à l'IA : « En tant que responsable informatique, utilisez-vous l'IA pour identifier les vulnérabilités de votre environnement ? » Je vous l'assure, nous sommes désormais entrés dans l'ère de la guerre entre machines. Il ne s'agit plus de protéger nos pyramides et nos fournisseurs de services cloud contre les menaces humaines. Nous les protégeons désormais contre les robots, contre les menaces venues des machines. En fin de compte, tout se résume à une confrontation entre les LLM et les LLM.
«En tant que responsable informatique, utilisez-vous l’IA pour identifier les vulnérabilités de votre environnement ? »Alissa Valentina Knight, PDG et directrice de l'IA chez Assail
Point clé : Si vous deviez conseiller une équipe de direction, quels conseils leur donneriez-vous pour se prémunir contre ce type de cybermenaces, sachant que beaucoup d'entre elles ont encore du retard à rattraper en matière d'informatique ?
Alissa Knight: I still firmly believe in 2026 that APIs remain the backdoors and side doors into our operating environments. La prolifération des API et les « API fantômes » constituent un problème majeur. Une grande partie des violations de sécurité actuelles est due au fait que les pirates informatiques se concentrent désormais sur les API, car ils savent que c’est là que se trouvent les données, qu’il s’agisse d’informations financières, de données de santé protégées (PHI), de données relevant des normes PCI ou HIPAA, ou de tout autre type de données transmises par ce biais. Je conseille aux dirigeants de recenser le nombre d'API présentes dans leur environnement et d'identifier celles qui traitent des données soumises à une réglementation. Cela permet de mettre en place des stratégies de sécurité à l'image des couches d'un oignon, en partant de là, plutôt que d'essayer de protéger chaque API individuellement et de recourir à une solution basée sur l'IA pour les identifier, les exploiter, y remédier et les défendre.
Point clé : À l'ère de l'IA et des modèles de langage à grande échelle (LLM), quelles compétences ou quels changements de mentalité les équipes de sécurité doivent-elles, selon vous, adopter pour se prémunir contre toutes ces attaques de plus en plus automatisées et intelligentes ?
Alissa Knight : Je sais que c'est un sujet très controversé, mais je ne crois pas qu'il faille impliquer les humains dans ce processus. Je pense que les humains doivent s'effacer pour que l'IA puisse fonctionner à la vitesse d'une machine et accomplir ce pour quoi nous l'avons conçue. À présent, nous disposons incontestablement d'une certaine maturité et du temps nécessaire pour nous consacrer au développement de [modèles de langage de grande envergure (LLM) et d'outils automatisés de haute technologie] plus avancés. Mais ce qui est inquiétant, c'est qu'à l'heure actuelle, la technologie se trouve à son niveau le plus bas qu'elle n'aura jamais en termes de capacités des modèles de langage à grande échelle (LLM) et des modèles de langage spécialisés (SLM). À partir de là, les solutions ne cessent de gagner en complexité et de présenter de nouveaux défis.
«Nous évoluons désormais à la vitesse et avec la létalité des machines, où des personnes qui ne savent même pas comment compiler un exploit sont désormais rapidement capables de pirater des systèmes et de compromettre un réseau. »Alissa Valentina Knight, PDG et directrice de l'IA chez Assail
Je vous conseille d'apprendre dès que possible à utiliser l'IA dans le cadre de votre travail. Ne vous laissez pas entraîner dans le débat qui consiste à se demander : « L'IA va-t-elle me remplacer ? » Écoutez, l'IA est déjà là. Rien ne peut l'arrêter. Nos ennemis s'en servent pour compromettre nos réseaux. Et demandez-vous : « Que pouvons-nous faire pour mieux intégrer l'IA dans notre quotidien ? » Cela fait désormais partie de notre travail quotidien et nous aide à gagner en efficacité, à améliorer nos performances en tant que défenseurs, à renforcer notre efficacité en tant que membres de l'équipe rouge et testeurs d'intrusion, et tout simplement à renforcer notre propre sécurité, n'est-ce pas ? Si vous ne pouvez pas les battre [c'est-à-dire ceux qui adoptent l'IA], rejoignez-les, comme je le dis toujours.
Point clé : Compte tenu de la vitesse à laquelle ce domaine évolue actuellement, comment voyez-vous la nature de la cybercriminalité évoluer à mesure que les cybercriminels commencent à utiliser à grande échelle des outils de piratage prêts à l'emploi basés sur l'intelligence artificielle ainsi que des agents IA autonomes ?
Alissa Knight : Voilà le fond du problème : la nécessité est la mère de l'invention. Étant donné que la Chine et d'autres États hostiles ne sont pas en mesure de se procurer des GPU destinés aux grands centres de données, tels que les puces « Hopper » ou « Blackwell » de Nvidia, il leur est extrêmement difficile de construire, d'exploiter, d'entraîner et d'effectuer des inférences sur ces modèles comportant 1 000 milliards de paramètres. Alors, que font-ils ? Ils développent actuellement de petits modèles linguistiques capables de fonctionner sur des cartes telles que la RTX 6000 , dotée de 96 gigas de DRAM. Je pense que cela restera la ligne de conduite de nos adversaires, et même du côté de la défense.
Pensez aux téléphones portables. Au début, les téléphones portables étaient vraiment volumineux, puis ils ont commencé à devenir de plus en plus petits au fil du temps. Je pense que c'est ce qui va se passer avec l'IA, où l'on commence avec ces modèles gigantesques comportant des milliers de milliards de paramètres. Nous allons nous rendre compte, à mesure que nous rendrons les modèles plus économes en énergie sur le plan matériel et plus performants, que nous cherchons à les rendre de plus en plus petits.
En résumé, vous pouvez donc disposer d'un petit modèle linguistique extrêmement puissant, capable de fonctionner sur un Raspberry Pi. Ou même le faire à partir d'un appareil qui tient dans votre poche, comme un smartphone capable de pirater un réseau sans fil local ou une antenne-relais de téléphonie mobile locale. À l'avenir, je pense que ces modèles deviendront plus petits et plus meurtriers.
Il fut un temps où, sur la courbe technologique, il fallait un an, voire plusieurs années, pour que les innovations voient le jour. Désormais, ce délai s'étend plutôt à environ six mois. Si l'on observe les entreprises spécialisées dans l'IA qui développent des modèles de pointe, on constate qu'elles s'orientent presque vers une sorte de cycle de lancement trimestriel pour leurs nouvelles fonctionnalités. L'innovation progresse désormais plus rapidement qu'auparavant et, ce faisant, nous faisons des bonds en avant bien plus importants.
Point clé : À la fois fascinant et inquiétant : compte tenu de cela, s’il y avait un conseil général que vous donneriez aux responsables informatiques pour sécuriser une entreprise à l’ère de l’IA, quel serait-il ?
Alissa Knight : On ne peut pas protéger ce dont on ignore l'existence. Vous devez recenser les technologies et les outils présents dans votre environnement informatique et les sécuriser en effectuant régulièrement des tests d'intrusion et en essayant de les pirater. Je suis un fervent partisan de la gestion continue de l'exposition aux menaces (CTEM) de . Il est important de continuer à vous « pirater » vous-même et d’utiliser les outils que votre adversaire emploie contre vous avant que d’autres ne s’en emparent.
