Claude Mythos Preview a relancé le débat sur les cyberattaques pilotées par l'IA, mais le véritable changement ne réside pas dans ce que l'IA découvre, mais dans la rapidité avec laquelle les problèmes en périphérie du réseau peuvent avoir un impact. Cet article explore les changements intervenus et la manière avec laquelle la sécurité réseau doit s'adapter pour rester compétitive.

Pourquoi Claude Mythos est important ?

Claude Mythos Preview et les modèles IA similaires donnent une impression différente, non pas parce qu'ils ont découvert une nouvelle catégorie d'attaque, mais parce qu'ils accélèrent considérablement des attaques courantes. Les résultats de l’étude montrent que l'IA peut aider à identifier des vulnérabilités jusque-là inconnues à une vitesse et à une échelle qui étaient tout simplement impossibles auparavant. En parallèle, l'IA réduit le délai d'exploitation, permettant ainsi même à des adversaires moins compétents d'exploiter les vulnérabilités beaucoup plus rapidement.

C’est cette combinaison, à savoir la découverte plus rapide et la mise à l’œuvre plus rapide, qui a retenu l’attention des gouvernements, des entreprises et du secteur de la sécurité dans son ensemble. Même lorsque l'exploitation reste difficile, les gains incrémentaux en matière de vitesse d'attaque sont importants lorsque les défenseurs opèrent déjà sous de fortes contraintes.

Quel est le véritable changement pour la sécurité des réseaux ?

Le changement le plus important n’est pas que l’IA soit soudainement capable de tout exploiter, ni que tout ce que l’IA découvrira puisse être exploité. C’est plutôt que, grâce à l’utilisation de l’IA, l’écart entre l’exposition et l’action des adversaires sera réduit.

Les attaquants assistés par l'IA peuvent analyser les environnements plus rapidement, identifier les points faibles de manière plus cohérente et passer de la reconnaissance à l'action avec moins d'efforts. En parallèle, la plupart des organisations sont toujours confrontées à des cycles de patching, à des processus de gestion des changements chronophages et à des ressources de sécurité limitées.

Ce décalage accroît la pression en périphérie du réseau. Les pare-feu, les périphériques edge et les services d'accès à distance sont souvent exposés à Internet, hautement privilégiés et toujours actifs, ce qui en fait des cibles attrayantes lorsque les attaquants se déplacent à des vitesses très élevées.

Pourquoi est-ce important au-delà de Mythos lui-même ?

Claude Mythos Preview doit être considéré comme un Indicateur de leviers d’action, et non comme une valeur aberrante. La découverte des vulnérabilités assistée par IA deviendra moins coûteuse, plus courante et plus largement disponible au fil du temps.

Le fait qu'un modèle spécifique soit restreint ou largement diffusé importe moins que la tendance générale : les défenseurs doivent partir du principe que les attaquants continueront à gagner en vitesse, en échelle et en efficacité.

Conseils pratiques pour les équipes de sécurité réseau

Ce n’est pas le moment de paniquer, mais par contre c’est le moment de réévaluer vos hypothèses.

Premièrement, arrêtez de planifier un déploiement de correctifs parfait. Les retards dans le déploiement des correctifs sont inévitables en raison des tests, des interruptions de service et des risques opérationnels. Les stratégies (et les produits) de sécurité qui reposent sur une synchronisation parfaite s'effondrent sous la pression exercée par l'IA.

Deuxièmement, concentrez-vous sur la réduction de l'exposition par défaut. Limiter les services exposés, renforcer les configurations et supprimer les voies d'accès inutiles réduit les risques avant même qu'un attaquant ne se manifeste. Cette approche comprend la mise hors service de tous les produits non pris en charge ou en fin de vie sur le réseau, qui constituent une cible facile pour les attaquants.

Troisièmement, privilégiez la vitesse de détection et de réponse. Lorsque la prévention échoue, la détection rapide et le confinement déterminent l'impact.

Pourquoi Sophos Firewall et l’approche Secure by Design sont importants face à Mythos ?

Les menaces accélérées par l'IA n'exigent pas seulement plus de fonctionnalités de pare-feu, elles exigent une philosophie de conception différente. En périphérie du réseau, là où les appareils sont connectés à Internet, bénéficient de privilèges élevés et sont toujours actifs, la sécurité doit être intégrée dès la conception (Secure by Design) et non ajoutée a posteriori. 

Sophos Firewall est conçu selon les principes de l’approche Secure by Design (sécurité dès la conception) qui considèrent que des vulnérabilités, des erreurs de configuration et des retards dans la mise en œuvre des correctifs se produiront, et vise par défaut à réduire l'exposition et les risques opérationnels. Cette approche inclut des paramètres par défaut renforcés, une séparation stricte des privilèges, un système d'exploitation et un plan de contrôle renforcés. Elle contient également des mises à jour de sécurité automatisées et sans interruption de service qui raccourcissent la période pendant laquelle les problèmes connus peuvent être exploités, sans attendre les fenêtres de maintenance ou une administration parfaite.

Cette approche comprend également une surveillance de l'intégrité sur l'ensemble de la base installée Sophos à l'aide du capteur Linux Sophos XDR, permettant ainsi une détection précoce des altérations ou des activités suspectes sur n'importe quel pare-feu, profitant ainsi à toute la communauté Sophos Firewall.

La prévention seule ne suffit pas en périphérie du réseau, c'est pourquoi Sophos Firewall automatise également la réponse. Grâce à la sécurité synchronisée (Synchronized Security) et à la réponse active aux menaces (Active Threat Response), le pare-feu peut réagir immédiatement lorsqu'une activité suspecte est détectée, en isolant les systèmes affectés, en bloquant les déplacements latéraux et en coupant le trafic Command & Control sans attendre d'intervention manuelle. Cette possibilité est particulièrement importante pour les infrastructures exposées à Internet, où toute compromission peut avoir un impact direct sur l'ensemble du réseau.

De plus, ces réponses automatisées ne se limitent pas aux signaux Sophos. En effet, Sophos Firewall peut également exploiter les renseignements provenant de flux de menaces tiers, permettant une détection et un confinement cohérents même lorsque les menaces sont identifiées en dehors de l'écosystème Sophos, aidant ainsi les organisations à standardiser leur réponse dans des environnements complexes et multi-éditeurs.

Pour conclure : les points importants à retenir

Claude Mythos est important car il met en lumière une réalité à laquelle les défenseurs étaient déjà confrontés : les attaquants se déplacent plus vite, à plus grande échelle et avec moins de difficultés qu'auparavant.

Dans cet environnement, la sécurité réseau doit partir du principe que des failles zero-day se produiront, que des retards dans la mise à jour des correctifs existeront et que les configurations ne seront pas toujours parfaites. La vraie question n’est pas de savoir si l’IA va changer le paysage des menaces car c’est déjà le cas. La question est de savoir si vos défenses réseau sont conçues pour affronter cette réalité.

Billet inspiré de How AI-accelerated threat discovery is reshaping network security, sur le Blog Sophos.