Nouveaux modèles d’IA : le secteur financier est-il prêt à suivre le ryhtme ?

Claude Mythos promet d’accélérer l’identification, la qualification et la priorisation des vulnérabilités logicielles. Si cette trajectoire se confirme, les prochaines générations de modèles pourraient analyser automatiquement des volumes inédits de vulnérabilités complexes.

Cette perspective soulève plusieurs questions structurelles. Que se passera-t-il lorsque l’identification et la qualification des vulnérabilités ne constitueront plus le principal facteur limitant ? Quelles seront alors les implications pour les RSSI sur les plans économique, organisationnel et de la gouvernance ?

Quelles conséquences sur les coûts de cybersécurité ?

Depuis une décennie, la majorité des investissements cybersécurité s’est concentrée sur un triptyque : visibilité, détection et réponse. L’objectif est de mieux inventorier les actifs, détecter les menaces, corréler les événements, enrichir les alertes et orchestrer les premières actions de remédiation.

Cette logique a progressivement conduit à un foisonnement d’outils : plateformes de gestion de l’exposition, scanners de vulnérabilités et autres solutions de détection et réponse aux incidents de sécurité.

L’IA pourrait modifier profondément cet équilibre. En automatisant une grande partie du travail nécessaire pour transformer une vulnérabilité détectée en action de remédiation exécutable, la technologie tend à déplacer le centre de gravité économique de la détection vers la remédiation. L’enjeu ne sera plus seulement d’identifier les vulnérabilités à traiter, mais de déterminer combien pourront être corrigées, et à quelle vitesse.

Cette évolution pourrait modifier la structure même des coûts de cybersécurité. Les dépenses humaines représentent aujourd’hui la majeure partie du coût de sécurité dans le secteur « banques et assurances ».

Demain, une partie des activités réalisées par des équipes spécialisées pourrait être absorbée par des mécanismes automatisés, des workflows industrialisés et des capacités d’intelligence artificielle. L’intervention humaine restera néanmoins indispensable pour superviser ces dispositifs, arbitrer les priorités et piloter leur mise en œuvre.

Remédiation : quand la capacité de traitement devient le facteur limitant

À mesure que les capacités de détection et de qualification progressent, le volume de corrections exécutables augmente. Les organisations ne seront bientôt plus limitées par leur capacité d’analyse, mais par leur capacité à déployer, tester, valider et mettre en production les correctifs.

Le poste budgétaire consacré à la remédiation pourrait ainsi croître de manière significative.

Cette tension est déjà perceptible. Entre 2022 et 2025, le nombre de vulnérabilités connues à traiter a été multiplié par 6,5¹. Dans le même temps, le volume de vulnérabilités restant non corrigées après 28 jours a été multiplié par près de six.

Les outils et les processus de remédiation ont progressé, mais pas suffisamment pour absorber de tels volumes.

Banques et assurances : quelle évolution de l’appétence au risque face aux changements en production ?

Les acteurs de l’industrie financière sont fidèles à un principe simple : limiter le risque opérationnel lié aux mises en production. Pour y parvenir, ils s’appuient sur des mécanismes éprouvés : fenêtres de maintenance, campagnes de tests, validations et gouvernance des changements.

Si les nouveaux modèles d’IA accélèrent le rythme des remédiations, ce nouvel équilibre pourrait être remis en question. Le nombre et la fréquence des mises en production augmenteraient dans des proportions inédites, mettant sous tension les processus de mise en production.

Le défi dépassera alors la sécurisation des systèmes. Le vrai sujet sera l’arbitrage entre deux risques : conserver une vulnérabilité ou introduire une instabilité opérationnelle par une correction trop rapide.

La maturité ne reposera plus uniquement sur l’automatisation. Elle dépendra aussi de la capacité des organisations à faire évoluer leur gouvernance des changements pour concilier réactivité et maîtrise des risques.

De la détection à la remédiation : un changement de paradigme

Pendant des années, les entreprises ont concentré leurs efforts sur l’identification des vulnérabilités. Si les promesses des nouveaux modèles d’IA se confirment, cet équilibre pourrait changer de nature.

À mesure que la détection et la qualification s’automatiseront, l’enjeu ne sera plus d’identifier les vulnérabilités, mais de traiter les remédiations qu’elles généreront.

L’intelligence artificielle contribuera à accélérer cette transformation, sans pour autant supprimer la nécessité des arbitrages humains. C’est donc moins la technologie que l’organisation qui fera la différence : une gouvernance adaptée et des processus de décision plus agiles seront indispensables pour transformer cette accélération en avantage durable.

 

[1] . 2026 – Qualys Threat Research Unit – The Broken Physics of Remediation

 

Auteur Fabien COULON