- L'IA multiplie à la fois les capacités de défense et les risques, rendant la sécurité périmétrique traditionnelle insuffisante.
- Le modèle Zero Trust évolue vers un modèle centré sur les données et le contrôle d'agents d'IA dotés d'une « marge de manœuvre minimale ».
- L'association de l'IA, du Zero Trust et des services gérés permet la visibilité, l'automatisation et la réponse en temps réel.
- Le succès dépend autant de la technologie que d'un changement culturel qui normalise la méfiance envers le numérique de manière délibérée.
L'essor de l'intelligence artificielle générative a bouleversé la cybersécurité : les mêmes technologies qui stimulent l'innovation permettent également des attaques plus rapides, plus crédibles et automatisées . Les équipes de sécurité sont désormais contraintes de défendre des infrastructures hybrides, intégrant utilisateurs distants, services cloud et systèmes industriels connectés, tandis que la réglementation se durcit et que les budgets ne suivent pas toujours le rythme.
Dans ce contexte, il apparaît de plus en plus évident que l'ancien modèle de « périmètre de sécurité » est obsolète et que la philosophie Zero Trust est devenue la nouvelle norme . Le défi consiste désormais à l'adapter à un monde où il est nécessaire de contrôler non seulement les personnes et les appareils, mais aussi les modèles d'IA, les agents autonomes et les flux de données qui circulent à la vitesse de la machine entre les plateformes, les applications et les clouds.
Pourquoi l'IA remet en question le modèle de sécurité traditionnel
L'intelligence artificielle est devenue une arme à double tranchant : elle renforce les défenses, mais enrichit aussi l'arsenal des cybercriminels . Aujourd'hui, il est très facile de générer des campagnes d'hameçonnage ultra-personnalisées, des deepfakes vocaux ou vidéo, des logiciels malveillants polymorphes ou des fraudes automatisées grâce à l'IA générative.
Parallèlement, les organisations gèrent des infrastructures de plus en plus hétérogènes : environnements multicloud (AWS, Azure, Google Cloud, Oracle), SaaS, leurs propres centres de données, réseaux OT industriels et des milliers de télétravailleurs . Le tout dans un contexte de données critiques dispersées, de chaînes d’approvisionnement numériques complexes et de pressions réglementaires croissantes (NIS2, DORA, réglementations sectorielles).
Les experts en cybersécurité s'accordent à dire que le problème ne réside pas dans les attaques bloquées, mais dans celles qui passent inaperçues . Les attaquants se camouflent au sein du trafic légitime, exploitent des identifiants volés , abusent des API et s'appuient sur l'IA pour se déplacer latéralement avec une grande discrétion, tirant souvent parti de points d'accès « de confiance » mal contrôlés.
Face à ce scénario, les architectures traditionnelles centrées sur le périmètre — VPN traditionnels , réseaux plats, confiance implicite dans ce qui se trouve « à l'intérieur » —
De la sécurité périmétrique à l'approche Zero Trust
Pendant des années, la sécurité informatique s'est appuyée sur la métaphore d'un château fortifié : à l'intérieur, tout est digne de confiance ; à l'extérieur, tout est suspect . Pare-feu en périphérie, VPN pour l'accès, et une fois à l'intérieur, accès illimité au réseau interne. Ce modèle s'effondre lorsque les employés travaillent de n'importe où, que les applications sont hébergées dans le cloud et que les données circulent entre fournisseurs, partenaires et objets connectés.
Pour répondre à cette évolution, Forrester a popularisé en 2010 le modèle Zero Trust, conceptuellement initié par John Kindervag, avec une idée aussi simple que radicale : « ne jamais faire confiance, toujours vérifier ». Peu importe que la connexion provienne « de l’intérieur » ou « de l’extérieur », tout accès doit être authentifié, autorisé et surveillé en permanence.
Les principes fondamentaux du modèle Zero Trust reposent sur trois piliers : une vérification rigoureuse et indépendante de l’origine, un accès avec le principe du moindre privilège et la prise en compte permanente du risque de compromission . Autrement dit, on part du principe que le réseau peut être compromis et que tout utilisateur, même interne, peut représenter une menace, par erreur ou intentionnellement.
Au fil du temps, cette approche est passée d'un concept théorique à un ensemble de directives concrètes. La publication de la norme NIST SP 800-207 et du modèle de maturité CISA a marqué un tournant , en fournissant des architectures de référence pour les réseaux, les applications et les données. Parallèlement, en Europe, les recommandations NIS2 et ENISA incitent les secteurs critiques à intégrer l'authentification forte, la segmentation et le contrôle d'accès continu.
Confiance zéro à l'ère de l'IA : quand les agents autonomes bouleversent les codes
La première vague du modèle Zero Trust a été conçue pour des personnes et des appareils relativement statiques : utilisateurs humains, équipes d’entreprise, applications métier traditionnelles. Mais l’IA a profondément bouleversé cette réalité.
Les modèles d'IA, notamment les grands modèles de langage (LLM) et les agents autonomes, fonctionnent de manière dynamique, franchissent les frontières des systèmes et manipulent des données sensibles en quelques secondes . Ils peuvent lire des courriels, lancer des flux de travail, modifier des fichiers, interagir avec des API ou prendre des décisions sans supervision humaine constante.
Dans son rapport « Top 10 des risques liés à l'IA générale et aux systèmes de gestion de l'apprentissage », l'OWASP met en garde contre ce qu'on appelle « l'excès de pouvoir d'action » : lorsque l'IA se voit accorder une autonomie ou une capacité d'action trop importante . Des agents qui envoient des courriels au nom des dirigeants, des bots qui effectuent des virements entre comptes, des assistants qui modifient les systèmes de production… Chacune de ces fonctions ouvre de nouvelles failles de sécurité si elle n'est pas correctement encadrée.
Les approches Zero Trust centrées sur l'humain présentent des limites : elles ne permettent pas de gérer les milliers de décisions prises chaque minute par les algorithmes . Appliquer manuellement le principe du moindre privilège à chaque action de chaque agent est tout simplement irréalisable. C'est là qu'intervient une évolution majeure : passer de l'identité aux données.
Le modèle Zero Trust est axé sur les données : les données comme nouveau plan de contrôle.
Dans un environnement dominé par l'IA, ce qui compte vraiment, ce n'est plus seulement qui accède aux données, mais quelles données elles consultent, comment elles sont transformées et avec qui elles sont partagées . Le périmètre du réseau perd son sens, et le nouveau périmètre devient les données elles-mêmes.
Des analystes comme Forrester, qui proposent des cadres de gouvernance de l'IA tels qu'AEGIS, soulignent que la sécurité doit s'orienter vers l'observabilité, le contexte et la traçabilité des données . Cela implique de favoriser l'innovation grâce à l'IA, mais sous un contrôle rigoureux fondé sur la classification des informations, la traçabilité des données et des règles d'utilisation auditables. Afin de protéger les informations sensibles, il est conseillé de mettre en œuvre des pratiques et des contrôles permettant de réduire les risques de fuites et de vols de données.
Les plateformes spécialisées combinent les fonctionnalités de DSPM (Gestion de la posture de sécurité des données) et d'AI-SPM (Gestion de la posture de sécurité de l'IA) pour identifier l'emplacement des données sensibles dans les environnements cloud, SaaS et hybrides , leur utilisation et les systèmes d'IA qui y accèdent. Des politiques de gouvernance sont ensuite appliquées pour détecter les comportements à risque (incitations malveillantes, exfiltration de données, activités inhabituelles) et automatiser le blocage ou les alertes.
Ce changement transforme le modèle Zero Trust en une architecture vivante, axée sur les données et capable d'évoluer grâce à des agents autonomes et des modèles d'apprentissage automatique. Au lieu de faire aveuglément confiance à l'IA pour agir « de manière appropriée », des mécanismes de protection dynamiques sont mis en place afin de limiter ses possibilités d'accès et d'action en fonction de la sensibilité et du contexte.
L’IA comme alliée : SOC de nouvelle génération et « agentivité minimale »
L'IA ne se contente pas de créer des problèmes ; elle est aussi un élément clé pour maintenir le modèle Zero Trust à grande échelle . Le volume considérable de signaux de sécurité actuels (journaux, télémétrie réseau, activité cloud, événements d'identité, etc.) est accablant pour toute équipe humaine sans assistance automatisée.
Les fournisseurs de solutions de cybersécurité intègrent l'IA avancée à leurs plateformes de protection, de détection et de réponse . Cela va des moteurs qui analysent des centaines de milliards d'événements pour déceler les anomalies, aux agents intelligents au sein du SOC capables d'enquêter sur les incidents, de corréler les alertes et d'exécuter des actions sans intervention manuelle.
Les entreprises leaders expérimentent le concept de SOC agentiques : des centres d’opérations de sécurité pilotés par des agents d’IA qui collaborent étroitement avec les analystes . Ces agents comprennent le contexte de l’infrastructure, recommandent des mesures de confinement, rédigent des rapports, automatisent les procédures et, dans certains cas, exécutent directement les réponses dans des limites bien définies.
La solution réside dans l'application à l'IA d'un principe similaire à celui du moindre privilège, mais adapté : le modèle de « pouvoir d'action minimal » recommandé par l'OWASP . Ce modèle restreint non seulement les données auxquelles un agent peut accéder, mais aussi les actions spécifiques qu'il peut effectuer. Aucun bot ne devrait se voir attribuer le pouvoir de « tout faire » en production, sauf en cas d'absolue nécessité.
Exemples concrets : le modèle Zero Trust et l’IA dans les secteurs de la banque, de l’énergie, de l’industrie et de l’agroalimentaire.
La théorie est bien belle, mais c'est sur le terrain, dans les secteurs critiques , que le modèle Zero Trust fait ses preuves, là où une seule erreur peut entraîner la fermeture d'une usine, la défaillance d'un service financier ou priver des millions d'utilisateurs d'électricité.
Dans le secteur bancaire, les préoccupations portent sur la fraude, l'usurpation d'identité et les violations de données . Les institutions financières s'efforcent de mettre en place des centres d'opérations de sécurité (SOC) hautement évolutifs, combinant télémétrie massive, analyses basées sur l'IA et automatisation. L'objectif est d'anticiper les schémas de fraude, de bloquer les activités suspectes en temps réel et de passer d'un modèle purement réactif à un modèle proactif. La capacité à récupérer et à sécuriser les comptes compromis est essentielle pour atténuer l'impact de ces attaques.
Dans le secteur de l'énergie, les acteurs tels que les grandes entreprises d'électricité sont confrontés à un périmètre d'exposition considérable : des millions de compteurs intelligents, des milliers de postes de transformation et des équipes de terrain accédant aux systèmes centraux . De plus, il existe souvent une séparation très stricte entre les environnements IT et OT, fréquemment considérés comme mutuellement non fiables. Dans ce contexte, la migration vers le modèle Zero Trust implique d'obtenir une visibilité unifiée et de distinguer, au sein du centre des opérations de sécurité (SOC), ce qui constitue une attaque, par exemple, d'une mise à jour massive et planifiée des équipements.
Dans le secteur manufacturier, où la continuité de la production est primordiale, le modèle Zero Trust est une réalité bien concrète : si un automate programmable ou un robot s’arrête, l’impact est immédiat . Les fabricants dont les produits ont une durée de vie de plusieurs décennies doivent composer avec des technologies OT obsolètes, des protocoles non sécurisés et une connectivité cloud toujours plus importante. L’un des principaux défis consiste à unifier la visibilité et le contrôle de cet ensemble de solutions IT et OT, afin de disposer d’une interface unique affichant l’ensemble des informations, du réseau de machines au cloud du client.
Dans les entreprises agroalimentaires dotées d'usines automatisées, le risque est qu'un accès distant non autorisé aux équipements industriels ait un impact direct sur la production . Le principe est clair : aucun fournisseur ne doit accéder à un automate programmable ou à un robot sans une session strictement contrôlée, surveillée et révocable en temps réel, avec enregistrement des activités et expiration des autorisations.
Chaînes d'approvisionnement numériques, LLM et risque de violation de données
Au-delà de leur infrastructure interne, de nombreuses organisations constatent que leur principale faiblesse réside dans leur chaîne d'approvisionnement numérique . Elles collaborent quotidiennement avec des banques, des partenaires technologiques, des intégrateurs, des fintechs, des fournisseurs de services cloud et bien d'autres, tous connectés d'une manière ou d'une autre aux systèmes de l'entreprise.
Chaque lien représente un point d'entrée potentiel : un tiers aux pratiques de sécurité défaillantes peut devenir la porte dérobée d'une attaque de plus grande envergure . Il est donc indispensable d'évaluer minutieusement les accès B2B, de restreindre les autorisations, de segmenter les environnements et de surveiller les intégrations basées sur les API.
À cela s'ajoute une préoccupation croissante concernant le recours à des LLM externes : le risque que des informations internes alimentent des modèles public-privé sans contrôle ni traçabilité . Des documents stratégiques, des données clients ou du code propriétaire peuvent être divulgués par inadvertance lorsqu'ils sont utilisés comme contexte dans des outils d'IA sans mesures de protection adéquates.
L'application du principe Zero Trust à l'IA implique ici la mise en place de contrôles DLP (prévention des pertes de données) robustes , la réglementation des données pouvant être envoyées à chaque modèle, l'exigence de la résidence des données et, lorsque cela est possible, l'option de déploiements privés ou de « jardins clos » où l'organisation a un contrôle réel sur ce qui est entraîné et ce qui ne l'est pas.
Mise en œuvre du modèle Zero Trust avec l'IA : étapes pratiques et défis
Mettre en œuvre une stratégie Zero Trust ne se résume pas à installer quelques outils ; c’est un processus stratégique, technique et culturel . Néanmoins, certaines étapes pratiques peuvent être définies pour bien démarrer.
La première étape consiste à obtenir une visibilité complète : recenser les actifs, les données, les identités et les flux . Il est essentiel de connaître les systèmes existants, les informations critiques qu’ils gèrent, les personnes (ou les agents d’IA) qui y accèdent et leur provenance. Les outils de découverte et de classification des données permettent d’identifier les données les plus sensibles dans les clouds publics, les environnements SaaS et les environnements sur site.
Vient ensuite l'évaluation des risques et la définition des politiques : classification des processus métier selon leur impact, définition des personnes autorisées à accéder à quoi et dans quelles conditions . Cela inclut des politiques d'accès précises, la segmentation du réseau, la définition de « zones » OT/IT, la protection des API et des règles claires concernant l'utilisation des services d'IA.
La mise en œuvre se déroule généralement par étapes : elle commence par l’identité (authentification multifacteur résistante au phishing, authentification unique, gestion moderne des privilèges), suivie de ZTNA/SASE pour le contrôle d’accès, puis de la microsegmentation et de la protection renforcée des données . Chaque étape fait l’objet d’une surveillance continue afin d’ajuster les politiques et d’éviter que des mesures trop restrictives ne paralysent l’activité.
Tout au long de ce parcours, des obstacles familiers surgissent : résistance au changement, complexité technique, système hérité difficile à adapter et outils fragmentés . La formation, la gestion du changement et la consolidation sur des plateformes intégrées (SSE, SASE, suites d’observabilité) sont des leviers essentiels pour éviter d’être victime du succès.
IA, authentification intelligente et services gérés
L'IA transforme également l'authentification. Au lieu de s'appuyer uniquement sur les mots de passe ou des facteurs statiques, les systèmes modernes utilisent une authentification adaptative basée sur les risques . Ils analysent la localisation, l'appareil, les habitudes d'utilisation, la vitesse de frappe et même le comportement de la souris pour déterminer si une requête est légitime ou suspecte.
Ce type d'authentification par IA est parfaitement adapté au modèle Zero Trust : chaque tentative de connexion est évaluée dynamiquement, pouvant exiger des facteurs d'authentification supplémentaires, limiter les autorisations ou bloquer l'accès en cas de risque élevé. Tout cela se déroule de manière quasi transparente pour l'utilisateur légitime, qui bénéficie d'une expérience utilisateur optimale.
Un autre domaine où l'IA excelle est celui de la réponse automatisée : si un appareil commence à exfiltrer des données, si un agent malveillant se déplace latéralement ou si un utilisateur télécharge des volumes anormaux d'informations , les moteurs de détection peuvent isoler le point de terminaison, révoquer les jetons, fermer les sessions et lancer des enquêtes presque instantanément.
Pour de nombreuses organisations, notamment les PME, développer ce niveau de sophistication en interne s'avère complexe. C'est là qu'interviennent les services de cybersécurité managés, qui proposent un SOC disponible 24h/24 et 7j/7, une surveillance avancée, une gestion des accès basée sur l'IA et une automatisation de la sécurité, sans contraindre l'entreprise à tout développer de A à Z.
Changement culturel : la « génération Zéro confiance » et la fracture numérique
Au-delà de la technologie, le modèle Zero Trust exige un changement culturel dans la conception de la confiance au sein des environnements numériques . Il ne s'agit pas de « se méfier des gens », mais d'accepter que tout système peut tomber en panne et que la meilleure façon de protéger les utilisateurs et les entreprises est de ne jamais présumer qu'un incident grave se produira.
Il est intéressant de constater que les jeunes générations, qui ont grandi avec les réseaux sociaux, les jeux vidéo en ligne et les services numériques depuis leur enfance, connaissent bien les environnements où la confiance se mérite et où les règles sont strictes . Ce groupe commence à être appelé, non sans ironie, la « génération zéro confiance ».
À l'autre extrémité de la fracture numérique, certains cadres supérieurs peuvent percevoir les mesures de sécurité comme des obstacles inutiles ou comme un signe de méfiance . L'essentiel est alors d'expliquer clairement l'objectif de chaque contrôle, de présenter des exemples concrets d'incidents et de réaffirmer que le but est de protéger à la fois l'organisation et ses employés.
L’authentification multifacteurs, la segmentation des accès ou la vérification continue cessent d’être considérées comme des « nuisances » lorsqu’on comprend qu’un simple clic sur un courriel malveillant peut déclencher des attaques extrêmement sophistiquées, soutenues par l’IA , avec de graves conséquences économiques, juridiques et de réputation.
À court et moyen terme, tout porte à croire que le modèle Zero Trust et l'intelligence artificielle continueront de converger, devenant les deux faces d'une même pièce : l'IA comme moteur d'observation, d'analyse et de réaction en temps réel ; et le Zero Trust comme cadre de limitation, de vérification et de gouvernance des actions des personnes, des machines et des modèles. Les organisations qui parviendront à trouver un équilibre entre autonomie et contrôle, en protégeant les données sans freiner l'innovation, seront les mieux placées dans un environnement numérique où la confiance ne sera plus acquise, mais construite.
