Dans le film de science-fiction « : Minority Report », les policiers n'attendent pas que les crimes soient commis. Ils arrêtent des suspects sur la base de visions de l'avenir, générées par des « précogs » flottant dans des cuves de culture. Ce système est rapide, efficace et profondément dérangeant. Elle garantit la sécurité en intervenant avant que le préjudice ne se produise. Cela soulève également une question évidente : que se passe-t-il lorsque la prévision est erronée ?
Deux décennies plus tard, les responsables de la cybersécurité sont confrontés à une question similaire. Et si l'on pouvait empêcher les attaques informatiques avant même qu'elles ne commencent ? Et si c'était un logiciel, et non des analystes, qui pouvait détecter les signes avant-coureurs d'une intrusion imminente et la bloquer automatiquement ?
Gartner estime que cet avenir est plus proche que beaucoup ne le pensent. D'ici 2030, le cabinet prévoit que les solutions de cybersécurité préventives représenteront 50 % des dépenses en sécurité informatique, contre moins de 5 % en 2024, remplaçant ainsi les solutions autonomes de détection et de réponse comme approche privilégiée pour se défendre contre les cybermenaces.
La grande question est de savoir si la cybersécurité s'oriente réellement vers sa propre version du « Precrime » ou si le terme « préventif » n'est qu'une nouvelle appellation pour désigner des outils qui existent depuis des années.
Ce que le terme « préventif » est censé signifier
Gartner définit la cybersécurité préventive comme le passage d'une attitude consistant à attendre que les attaques se produisent à une approche consistant à les anticiper et à les neutraliser de manière active. Dans son rapport « octobre 2025 » ($), «Emerging Tech Impact Radar : Preemptive Cybersecurity», le cabinet a fait valoir que les organisations doivent « faire évoluer leurs opérations de sécurité vers un système de défense proactif et dynamique, capable d’anticiper et de prévenir activement les attaques ».
Ce système s'appuierait sur l'intelligence artificielle et l'apprentissage automatique pour analyser le comportement du réseau, simuler des scénarios d'attaque et prédire les points où les attaquants sont susceptibles de frapper. Au lieu de réagir aux alertes une fois les dégâts survenus, les systèmes de défense interviendraient plus tôt, en bloquant l'accès, en reconfigurant les systèmes ou en induisant les attaquants en erreur avant qu'ils ne parviennent à prendre le dessus.
Dans la pratique, cela revient à « avancer » la détection, a expliqué Wendy Nather, directrice des initiatives de recherche chez 1Password, en faisant référence à la détection des activités suspectes à un stade plus précoce du cycle d'attaque, avant que des dommages réels ne se produisent.
« Nous avons toujours misé sur la prévention et la détection », a déclaré M. Nather. « Lorsque vous ne pouvez pas prévenir, vous devez détecter. » C'est une évidence. « Ce que cela vise réellement, c'est d'avancer le moment de la détection. »
La différence, du moins en théorie, réside dans l'automatisation. Au lieu que ce soient des analystes humains qui examinent les alertes et décident de la marche à suivre de manière entièrement autonome, les systèmes basés sur l'intelligence artificielle prendraient de plus en plus de décisions de manière autonome, avec des niveaux variables de supervision humaine.
La technologie à l'origine de cette vision
Pour que la « sécurité préventive » ne reste pas un simple mot à la mode, Gartner a indiqué que les entreprises devront mettre en place une nouvelle combinaison de technologies prédictives, adaptatives et de leurre, fonctionnant de concert.
Ces solutions reposent sur des plateformes de renseignements prédictifs sur les menaces, qui analysent des données historiques et en temps réel afin de prévoir les attaques susceptibles de se produire. Les outils automatisés d'évaluation des contrôles de sécurité vérifient en permanence si les configurations de sécurité fonctionnent correctement et identifient les failles avant que des pirates ne les exploitent.
Les plateformes de gestion préventive des vulnérabilités s'attachent à cartographier la surface d'attaque d'une organisation et à hiérarchiser les failles les plus susceptibles d'être ciblées. Les outils avancés de cyber-dissimulation déploient des leurres et des « honeypots » afin de tromper et de contrecarrer les intrus, tout en mettant au jour leurs tactiques.
Bon nombre de ces systèmes reposent sur des heuristiques, c'est-à-dire des règles simplifiées fondées sur des modèles tirés de comportements passés, qui aident les logiciels à déterminer ce qui constitue un comportement « normal » et à repérer les écarts par rapport à celui-ci.
À plus long terme, Gartner a mis en avant des technologies telles que l'émulation antagoniste autonome, la défense à cible mobile et les « plateformes de cybersécurité préventives », qui visent à simuler le comportement des attaquants, à modéliser les menaces futures et à tester en permanence les défenses.
Ensemble, ces systèmes sont conçus pour faire évoluer la sécurité d'une approche réactive vers une approche en adaptation constante, dans laquelle les réseaux s'autosurveillent, testent leurs propres faiblesses et ajustent leurs défenses en temps quasi réel.
Pourquoi les organisations en ont besoin
La cybersécurité préventive présente un grand intérêt. Les violations de sécurité sont coûteuses, perturbatrices et de plus en plus inévitables. Des ransomwares ont paralysé des hôpitaux. Les attaques visant la chaîne d'approvisionnement se sont propagées dans tous les secteurs d'activité. L'IA a abaissé la barrière à l'entrée pour les pirates.
Si les systèmes de défense pouvaient intervenir plus tôt, les organisations pourraient réduire la durée d'exposition, contrecarrer les intrusions, limiter les dégâts et éviter une grande partie des coûts induits par la gestion des incidents. Les systèmes préventifs pourraient également aider les équipes de sécurité à hiérarchiser leurs tâches, en se concentrant sur les risques qui, d'un point de vue statistique, sont les plus susceptibles d'avoir des conséquences importantes.
Pour les RSSI qui rendent compte aux conseils d'administration, les modèles prédictifs offraient un autre avantage : des chiffres. Si les systèmes pouvaient estimer la probabilité de menaces spécifiques, les dirigeants pourraient envisager les investissements en matière de sécurité sous l'angle financier, en liant les mesures de contrôle à une réduction mesurable des risques.
En théorie, cela confère à la cybersécurité un caractère plus stratégique et moins réactif.
Le point de vue du sceptique
Tous les praticiens ne sont pas convaincus.
Jim Routh, directeur de la confiance chez Saviynt et ancien responsable de la sécurité des systèmes d'information (RSSI), se demande si la « cybersécurité préventive » constitue une véritable rupture par rapport aux approches antérieures. « Le terme “préventif” me met mal à l’aise », admet-il.
Selon M. Routh, une grande partie de ce que les fournisseurs qualifient de « sécurité préventive » s'apparente à des techniques d'automatisation et d'analyse existant depuis longtemps. Il souligne que l'apprentissage automatique est utilisé depuis des années pour l'évaluation des risques et la détection des anomalies, et que les modèles les plus récents ne parviennent pas à surmonter ces limites fondamentales.
«« Le terme “préventif” me met mal à l’aise. »Jim Routh, responsable de la confiance chez Saviynt et ancien RSSI
M. Nather a fait part de préoccupations similaires. Elle a évoqué un incident au cours duquel un réseau gouvernemental semblait communiquer avec des serveurs situés en Roumanie, ce qui a éveillé des soupçons. Après vérification, il s'est avéré que ce trafic correspondait à des mises à jour légitimes provenant d'un fournisseur agréé.
« C’est le genre de problème que l’automatisation n’a pas encore entièrement résolu », a-t-elle déclaré.
Elle a fait remarquer que les relations commerciales, les particularités opérationnelles et les exceptions temporaires étaient rarement prises en compte dans leur intégralité dans les données. De ce fait, les alertes précoces se révélaient souvent être des faux positifs.
Pendant des années, de nombreuses organisations ont hésité à mettre en place des réponses entièrement automatisées pour cette raison. Même lorsqu'elles recevaient des flux automatisés d'indicateurs de compromission, a déclaré M. Nather, les entreprises tenaient souvent à procéder à une vérification manuelle avant d'agir. C'est pourquoi le recours à une approche impliquant l'intervention humaine reste très répandu et — du moins pour l'instant — essentiel.
Le problème des faux positifs
Les faux positifs ne sont pas seulement gênants. Dans un système préventif, ils peuvent s'avérer néfastes.
Si un agent d'IA interprète à tort un comportement inoffensif comme malveillant et agit ensuite de manière automatique, il pourrait mettre hors service des systèmes critiques, bloquer des utilisateurs légitimes ou perturber les opérations. Le coût d'une erreur peut augmenter proportionnellement au degré d'automatisation.
« C’est pourquoi, avant d’aller trop loin dans l’automatisation et de nous éloigner trop de nos principes, nous devons vraiment réfléchir à la manière dont nous allons valider tout cela », a déclaré M. Nather. « Vous allez devoir faire preuve de plus d'assurance que jusqu'à présent. »
«C’est pourquoi, avant d’aller trop loin dans l’automatisation et de nous éloigner trop vers la gauche, nous devons vraiment réfléchir à la manière dont nous allons valider tout cela. »Wendy Nather, directrice des initiatives de recherche chez 1Password
De telles garanties exigent non seulement une supervision humaine, mais également des capacités supplémentaires, telles que des renseignements sur les menaces en temps réel et une gestion continue des risques, rendues possibles par des systèmes informatiques autonomes permettant de distinguer avec précision les signaux du bruit. Les membres de l'équipe de sécurité chargés de la surveillance devront également disposer d'informations en temps réel sur l'ensemble de leurs terminaux afin de déterminer avec certitude si un changement soudain constitue un écart réel et grave.
Dans un rapport intitulé « » () rédigé pour l’Institute for Critical Infrastructure Technology (ICIT), M. Routh a fait valoir que l’automatisation précoce fonctionne mieux lorsqu’elle repose sur des modèles déterministes qui se déclenchent en cas d’écarts manifestes par rapport à un schéma établi. Les environnements plus complexes, a-t-il écrit, peuvent nécessiter que l'IA générative prenne en compte de multiples variables, mais uniquement sous une surveillance rigoureuse. Il a averti que le fait de confier à des systèmes probabilistes le contrôle de dispositifs de défense à fort impact sans validation rigoureuse augmente le risque opérationnel au lieu de le réduire.
M. Routh a également évoqué la probabilité comme un obstacle concret. Même si un modèle estimait à 70 % la probabilité d'une attaque, les dirigeants pourraient tout de même contester ce chiffre, surtout si les mesures d'atténuation s'avéraient coûteuses.
« Ils vont vous demander : “Comment vous est venue cette idée ?” » a-t-il déclaré. « Et ils ne voudront pas faire quoi que ce soit tant qu’ils ne seront pas pratiquement sûrs d’en avoir besoin. »
Pour commencer
Si une approche préventive vous intéresse, les experts affirment qu'il faut toujours commencer par les bases.
« Vous feriez mieux d’améliorer votre hygiène », a déclaré Nather. « Faites un inventaire précis de ce dont vous disposez. » « Être en mesure d'en contrôler les modifications. »
En l'absence d'une gestion précise des actifs, d'une gestion des configurations et d'une visibilité adéquate, les systèmes prédictifs ne disposaient que de très peu de données fiables sur lesquelles s'appuyer.
À partir de là, les entreprises pourraient commencer à mettre en place progressivement l'automatisation. Cela pourrait inclure une évaluation continue des contrôles, des plateformes de gestion des expositions et certaines formes de réponse automatisée, telles que l'isolation des terminaux suspects ou le blocage des identifiants à risque.
M. Routh a cité la gestion des accès privilégiés comme l'un des domaines dans lesquels cette approche est déjà mise en œuvre. Dans son rapport à l'ICIT, il a décrit des systèmes qui surveillent en temps réel le comportement des utilisateurs privilégiés, le comparent à des références établies et révoquent automatiquement les droits d'accès lorsque les schémas de comportement s'écartent fortement de la norme. Les équipes de sécurité sont informées a posteriori, a-t-il écrit, ce qui permet à l'automatisation de contenir les menaces potentielles avant qu'elles ne se propagent.
De nombreuses organisations testent également des modèles dits « human-in-the-loop », dans lesquels les systèmes d'IA proposent des actions mais doivent obtenir l'accord d'un analyste avant de les mettre en œuvre.
M. Routh a décrit l'automatisation comme un moyen de valoriser les talents plutôt que de les remplacer. Dans le cadre des recherches qu'il a menées avec l'Institut Scientia, il a constaté que l'automatisation aidait les analystes débutants à atteindre un meilleur niveau de performance, mais qu'elle n'éliminait pas pour autant la nécessité de faire appel au jugement d'analystes expérimentés.
« Il y a toujours beaucoup de travail d'enquête qui ne peut pas être effectué à titre préventif », a-t-il déclaré.
Défis structurels
Même avec des bases solides, la sécurité préventive se heurte à des obstacles structurels.
La qualité des données reste inégale. De nombreuses organisations opèrent à la fois sur des systèmes fragmentés et dans des environnements cloud, ce qui limite la visibilité. Les modèles d'IA entraînés à partir de données incomplètes ou biaisées héritent de ces défauts.
[À lire également : Qu'est-ce que l'IA agentique ? Ce qu'il faut savoir sur ce nouveau type d'IA]
L'intégration constitue un autre obstacle. Les approches préventives sont plus efficaces lorsque les outils partagent des données et coordonnent leurs interventions. Dans la pratique, les piles de sécurité restent cloisonnées, avec une interopérabilité limitée.
Il existe également une barrière culturelle. Passer d'une enquête menée par des humains à une action pilotée par des machines nécessite de la confiance. Cette confiance se construit progressivement, surtout après des échecs très médiatisés de l'IA.
Les pirates continuent d'étudier les systèmes de défense et d'en tester les limites. À mesure que les outils prédictifs se généralisent, les attaquants testent de nouvelles techniques pour échapper à la détection, manipuler les modèles et exploiter leurs angles morts. Ce cycle continu exerce une pression constante sur les organisations pour qu'elles adaptent leurs systèmes, affinent leurs contrôles et actualisent leurs hypothèses.
Un avenir qui continue de se dessiner
La vision de Gartner est ambitieuse. Cette approche envisage des systèmes de sécurité qui fonctionnent davantage comme des systèmes immunitaires : ils détectent les menaces, s'adaptent en permanence et neutralisent les risques de manière autonome.
«Je vois un système immunitaire numérique pour l’entreprise… »« L'IA fait partie intégrante de cette transformation. »Jim Routh, responsable de la confiance chez Saviynt et ancien RSSI
M. Routh a décrit un concept similaire dans ses travaux menés à l'ICIT, qu'il qualifie de « système immunitaire numérique ». Dans ce modèle, les systèmes basés sur l'IA surveillent en permanence les écarts par rapport aux schémas habituels et déclenchent des réponses automatisées en quelques millisecondes, ne faisant appel à l'intervention humaine qu'en cas de nécessité. L'objectif, a-t-il écrit, est de rivaliser avec la rapidité des attaques modernes sans devoir compter sur des analystes pour déclencher chaque action défensive.
« Je vois un système immunitaire numérique pour l’entreprise », a déclaré M. Routh. « L'IA fait partie intégrante de cette transformation. »
La différence réside dans les attentes. Gartner a présenté la sécurité préventive comme une évolution à court terme. Les professionnels ont décrit ce processus comme une évolution progressive, limitée par les contraintes organisationnelles.
Pour l'instant, la plupart des entreprises devraient opter pour une approche intermédiaire et tester des outils tels que la cyber-dissimulation. Ils peuvent recourir à l'analyse prédictive, à la gestion de l'exposition et à l'automatisation pour améliorer les délais de réponse et réduire le bruit. Les êtres humains continueront à jouer un rôle prépondérant dans l'interprétation des signaux et la gestion des risques.
Une véritable prédiction, à la manière de « Precrime », reste difficile à réaliser.
Quels avantages pourrait-on en tirer ?
Si la sécurité préventive venait à s'imposer, les retombées pourraient être considérables. Les organisations pourraient réduire leur surface d'attaque avant qu'elle ne soit exploitée. Elles pourraient réduire les épidémies de ransomware, limiter les mouvements latéraux et empêcher que de petits incidents ne se transforment en crises. Les équipes de sécurité pourraient consacrer moins de temps à la gestion des urgences et davantage à l'amélioration de la résilience.
Cela pourrait également redéfinir la manière dont les entreprises appréhendent le risque, en faisant passer les discussions de l'analyse a posteriori à la prévention.
Mais cet avenir dépend d'une mise en œuvre rigoureuse, d'attentes réalistes et d'un investissement soutenu dans les fondements.
Comme l’a fait remarquer Nather : « Avant de changer les règles du jeu concernant les mesures que vous souhaitez prendre, vous feriez mieux de vous assurer que vous souhaitez réellement les mettre en œuvre. »
Le système de « pré-criminalité » d’ , présenté dans *Minority Report*, a fini par s’effondrer sous le poids de ses propres erreurs. La version dédiée à la cybersécurité est encore en cours d'élaboration. Que cela devienne un réseau d'alerte précoce fiable ou une énième vision aux promesses exagérées dépendra moins des algorithmes que de la manière dont les organisations les utiliseront de manière réfléchie.
Pour l'instant, les précognes restent des êtres humains.
