MtoM Mag - Le journal de l'MtoM.

Selon une nouvelle étude menée par le Threat Labs de Netskope, la prolifération rapide des applications d’IA générative (genAI), ainsi que la persistance du Shadow AI entraînent des violations des règles de données, malgré l’adoption d’outils d’IA gérés en interne et approuvés par les organisations. Par ailleurs, cette étude souligne que les mesures prises en vue de contrôler et de surveiller l’utilisation de l’IA générative ont minoré la capacité des équipes en charge de la sécurité à accomplir des progrès significatifs dans des domaines classiques tels que le phishing et la perte de données avec des applications personnelles, certains problèmes ayant même tendance à s’aggraver.

Les principales conclusions du Cloud and Threat Report 2026 sont les suivantes :

 Les violations de règles de données associées à l’utilisation d’applications d’IA générative ont plus que doublé par rapport à l’année précédente, les entreprises enregistrant en moyenne 223 incidents par mois.
 Au cours de la période de référence, les applications cloud personnelles ont été à l’origine de pertes de données significatives, 60 % des incidents liés à des menaces internes impliquant des instances d’applications cloud personnelles ; les données règlementées, la propriété intellectuelle, le code source et les identifiants ont tous été exposés à des niveaux préoccupants.
 Le phishing représente encore une part importante des tentatives d’accès initiales, une baisse modeste du nombre de clics d’utilisateurs étant enregistrée d’une année sur l’autre.

Risque « génératif » : le défi de l’IA générative

Au cours de l’année qui s’est achevée, les entreprises ont accompli d’importants efforts pour proposer des versions approuvées d’outils d’IA générative tels que ChatGPT et Gemini. La majorité des utilisateurs interrogés dans le cadre de l’étude utilisent des outils validés par leur entreprise, seulement 47 % d’entre eux continuant d’utiliser exclusivement des applications d’IA générative personnelles contre 78 % il y a un an. En outre, 90 % des organisations étudiées ont mis en place des règles visant à bloquer activement une ou plusieurs applications d’IA générative potentiellement problématiques, contre 80 % en 2024.

Le nombre total d’utilisateurs d’applications d’IA générative a augmenté de 200 % l’année dernière, tandis que le volume des requêtes a bondi de 500 %. Le nombre global de violations de règles relatives aux données d’IA générative a également augmenté d’une année sur l’autre : en moyenne, les entreprises ont enregistré 223 incidents par mois, soit le double de l’année précédente ; le quart supérieur des entreprises les plus touchées ont essuyé chaque mois au moins 2 100 incidents de violation des règles relatives aux données d’IA générative.

Les anciens problèmes ne disparaissent pas

Même si la priorité est désormais accordée aux problèmes de sécurité liés à l’IA, les défis historiques tels que l’utilisation d’applications personnelles pour le stockage en cloud ou la prévalence de l’hameçonnage demeurent sensibles pour la sécurité.

Le téléchargement par les utilisateurs de données règlementées, qu’elles soient personnelles, financières ou médicales, constitue la première cause de violations des règles (54 %).

Tandis que la susceptibilité à l’hameçonnage a diminué de 27 % en variation annuelle, les entreprises ont constaté que chaque mois, 87 utilisateurs sur 10 000 continuent de cliquer sur des liens suspects.

« Les équipes en charge de la sécurité évoluent dans un environnement en perpétuelle évolution et se trouvent confrontées à de nouveaux risques à mesure que leur entreprise se développe et que leurs adversaires redoublent d’innovativité, explique Ray Canzanese, directeur du Netskope Threat Labs. Cependant, l’adoption de l’IA générative a changé la donne. L’IA générative représente un profil de risque qui a surpris de nombreuses équipes par son ampleur et sa complexité, à tel point qu’elles ont du mal à suivre le rythme et négligent certains fondamentaux. Ces équipes doivent élargir leur posture de cybersécurité pour "intégrer l’IA", faire évoluer leurs règles et élargir le rayon d’action des outils existants tels que la prévention des pertes de données (DLP) dans l’optique d’atteindre l’équilibre entre innovation et sécurité à tous les niveaux. »

Principales conclusions pour les entreprises

Les organisations proactives réduisent les risques encourus en appliquant certains contrôles essentiels. Pour améliorer leur posture de sécurité, l’application des mesures suivantes est préconisée à propos des canaux existants — courrier électronique ou applications cloud — ainsi que des applications d’IA générative (personnelles ou gérées en interne) :

 Inspecter la totalité des téléchargements HTTP et HTTPS (web, cloud et IA), qu’ils proviennent d’un navigateur ou d’une application native, afin d’empêcher les malwares d’infiltrer le réseau.
 Bloquer l’accès aux applications qui ne répondent à aucun objectif métier légitime ou présentent un risque disproportionné pour l’entreprise. Dans un premier temps, l’entreprise peut mettre en place une règle autorisant les seules applications réputées fiables et bloquer toutes les autres. Par exemple, de nombreuses entreprises bloquent purement et simplement des applications qui, à l’image de ZeroGPT ou DeepSeek, exigent un partage excessif d’informations ou affichent une transparence limitée autour de problématiques telles que la souveraineté des données.
 Utiliser des règles de prévention des pertes de données (DLP) pour détecter les informations potentiellement sensibles (code source, données règlementées, mots de passe et clés de sécurité, propriété intellectuelle et données chiffrées), qui sont envoyées vers des instances d’applications personnelles, des applications ou d’autres emplacements non autorisés. La prévention des pertes de données représente un outil particulièrement performant pour limiter l’envoi de données sensibles vers les applis personnelles et d’IA.
 Utiliser la technologie d’isolation du navigateur distant (RBI) pour assurer un niveau de protection supplémentaire lorsque l’utilisateur doit visiter des sites web qui appartiennent à des catégories susceptibles de présenter un risque élevé (domaines nouvellement observés ou nouvellement enregistrés, par exemple).